Хортой кодын дайжест сарын тойм: Тавдугаар сар

Xygeni Malicious Code Digest сэтгүүлийн 5-р сарын дугаарт тавтай морилно уу. Энэ сард манай аюулгүй байдлын судалгааны баг олон нийтийн багцын бүртгэл, хөгжүүлэгчдийн хэрэгсэл, хиймэл оюун ухааны тусламжтайгаар хийгдсэн ажлын урсгал болон орчин үеийн програм хангамжийн хангамжийн сүлжээний аюул заналхийллийн хувьсан өөрчлөгдөж буй орчныг үргэлжлүүлэн хянаж байсан. CI/CD орчин. Тавдугаар сарын турш Xygeni нь npm, PyPI, VS Code, болон OpenVSX экосистемийг чиглэсэн олон зуун хортой багцыг тодорхойлж, баталгаажуулсан.

Гэхдээ тавдугаар сар зөвхөн эзлэхүүний тухай яриад зогсохгүй, халдагчид өөрсдийн арилжааны арга барилаа хиймэл оюун ухааны хөгжлийн орчин, хөгжүүлэгчдийн итгэлцлийн таамаглал, автоматжуулалтад улам бүр тохируулсан сар байлаа. pipelines.

Энэ сард Xygeni Security Team-ийн нийтэлсэн хамгийн онцлох мөрдөн байцаалтуудын дунд:

• ЖюльсЖакер, Google-ийн Jules хиймэл оюун ухааны агентыг дуурайж, репозиторуудыг хулгайлах, зүй бусаар ашиглах олон үе шаттай npm хортой програм хангамжийн кампанит ажил CI/CD орчин, тэр ч байтугай үүнийг шинжилж буй sandbox-ийг чиглүүлэх. Кампанит ажил нь шифрлэгдсэн хост-хаалттай дуудагчдыг хуурамчаар нэвтрүүлсэн. google-labs-jules[bot] commits, үүлэн мета өгөгдлийн хулгай, мөн Kubernetes-ийн шинжилгээний дэд бүтцийн эсрэг тагнуул хийх.
• PhantomBot, хуурамч түрийвч, блокчэйн болон Web3 хэрэгслийг ашиглан итгэмжлэл хулгайлах, хөгжүүлэгчийн орчныг эвдэх, хамаарлыг зүй бусаар ашиглах болон үе шаттайгаар ачаалал хүргэх замаар криптотой холбоотой ажлын урсгалыг онилох зорилгоор хортой npm кампанит ажил явуулдаг.
• Хуурамч TypeScript хэрэгслүүд, хиймэл оюун ухаантай багцууд, дотоод багаж хэрэгслийн дуураймал байдал, фронтенд сангууд, үүлэн туслахууд болон бүтээгч фреймворкуудыг ашиглан хурууны хээний орчинд нэвтрэх, итгэмжлэлийг гадагшлуулах, тогтвортой байдлыг байршуулах, хөгжүүлэгчийн системийг эвдэх зорилгоор томоохон хэмжээний хортой npm экосистемийг ашигладаг.
• Хөгжүүлэгчийн итгэлийн эвристикийг тойрч гарах, орчин үеийн алдааг олж авах зорилготой хамаарлын төөрөгдөл, бичгийн алдаа, суулгалтын дараах зүй бус хэрэглээ, хиймэл оюун ухааны хэрэгслийг дуурайх, хувилбарын инфляци, нэршлийн орон зайг давтан буруугаар ашиглах зэрэг хортой багцуудын тасралтгүй давалгаа. SDLC Илрүүлэхээс өмнөх ажлын урсгалууд.
• гэх мэт платформ хоорондын хортой програм хангамжийн кампанит ажлын нээлт @jaggle/resizeobserves clipboard hijacker нь Linux, macOS, болон Windows системүүдэд Python дээр суурилсан тогтвортой байдал болон крипто-түрийвчний clipboard орлуулалтыг байршуулахдаа хууль ёсны багцыг дуурайсан.

Сарын турш бид хиймэл оюун ухааны хэрэгслүүд, нээлттэй эхийн экосистем болон програм хангамжийн хангамжийн сүлжээний халдлагуудын хоорондын уялдаа холбоо нэмэгдэж байгааг ажигласан. Аюул заналхийллийн субъектууд хиймэл оюун ухааны тусламжтайгаар хөгжүүлэлтийн ажлын урсгал, агентын орчин, хамтран туршилтын хувилбарууд болон үүлэн технологид суурилсан бүтээн байгуулалтыг улам бүр онилсоор байна. pipelineөргөн хүрээтэй итгэмжлэлийн хулгай болон репозиторын хулгайн үйл ажиллагааны нэг хэсэг болгон s.

Эдгээр халдлагууд нь энгийн бичгийн алдаатай бичлэгийн ганц тохиолдол байхаа больсон. Эдгээр халдлагууд нь зохицуулалттай хэвлэх кампанит ажил, автомат хувилбарын тэсрэлт, үүлэн токен хулгай зэрэг орно. CI/CD зүй бус хэрэглээ, шифрлэгдсэн ачааллын үе шат, хамгаалагдсан хязгаарлагдмал орчинд зайлсхийх, итгэмжлэгдсэн хөгжүүлэгчийн экосистемд нэгдэх зорилгоор тусгайлан бүтээсэн байнгын буулт хийх аргууд.

Энэхүү сар тутмын шинэчлэлт нь Xygeni-ийн үргэлжилж буй хортой програм хангамж болон хангамжийн сүлжээний аюул заналын судалгааны санаачилгын нэг хэсэг бөгөөд манай баг хортой багцуудыг тасралтгүй баталгаажуулж, шинээр гарч ирж буй халдлагын хэв маягийг судалж, аюулгүй байдал, AppSec болон DevSecOps багуудад хувьсан өөрчлөгдөж буй хангамжийн сүлжээний эрсдэлээс түрүүлж гарахад нь туслах зорилгоор үйл ажиллагааны боломжтой мэдээллийг нийтэлдэг.

Энэ сард нийтлэгдсэн хортой багц, хортой програм хангамжийн кампанит ажил, аюул заналын шинжилгээний талаарх бүрэн мэдээллийг авахын тулд Xygeni Security Team-ийн 5-р сарын хортой кодын бүрэн цуглуулга болон холбогдох судалгааг үзнэ үү.