Selamat datang ke Ringkasan Kod Berbahaya Xygeni edisi Ogos. Bulan ini, pasukan penyelidikan keselamatan kami mengesahkan 407 pakej berniat jahat merentasi npm, PyPI dan OpenVSX (pasaran sambungan VS Code), yang dikesan merentasi empat ringkasan mingguan.
Ogos ditakrifkan oleh tiga trend yang menumpu: kempen penyamaran berterusan yang menyasarkan satu pustaka sumber terbuka popular yang bertahan lebih lama daripada pelbagai percubaan penghapusan; kelompok "versi yang sama, hari yang sama" yang diselaraskan merentasi berpuluh-puluh nama pakej yang kononnya tidak berkaitan, cap jari pengendali tunggal yang menjalankan banyak bidang sekaligus; dan peralihan ke arah mencerminkan nama sebenar yang dipercayai, protokol DeFi, alat sumber terbuka Google, dan enterprise pakej dalaman, bukannya nama sampah generik.
Antara kempen paling ketara yang didokumentasikan pada bulan ini:
- Baileys, sebuah pustaka API Web WhatsApp sumber terbuka yang popular, telah disamarkan secara berterusan sepanjang tiga minggu berasingan di bawah empat alias berbeza (
@mrlegendbot/baileys,cloud-baileys,@vanzxy/baileys,ourin-baileys), dengancloud-baileyssahaja diterbitkan semula sekurang-kurangnya lima kali antara pertengahan dan akhir Ogos. - QuietPolyfill's Kempen penitis npm 20 pakej asal muncul semula di bawah namanya sendiri,
beaver-ui-drawer,accounts-timeline,accounts-final-form,bcore-bravo-eslint-config, dan lain-lain, disahkan pada 1-3 Ogos. - A Gelombang pakej 25-plus melanda OpenVSX dalam satu hari (2 Ogos), menyamar sebagai sambungan pembangun sebenar merentasi ESLint, Rails, WordPress dan berpuluh-puluh alatan lain.
- A Kluster DeFi 17-pakej (11 Ogos) menyamar sebagai Camelot, Aerodrome Finance, permit2 dan pustaka kontrak OpenZeppelin, semuanya diterbitkan dalam pasangan versi yang sepadan dalam beberapa jam.
- Gugusan yang menarik (13 Ogos) alat sumber terbuka Google tulen yang ditipo:
gaarf,magika-js,bazelisk, dan larian*-webdriver-clipakej, 20 pakej yang menggunakan nama alat sebenar dalam satu hari. - A Kluster 21 pakej yang disamarkan sebagai Alelo, sebuah syarikat pembayaran Brazil (14 Ogos), bentuk percubaan kekeliruan kebergantungan yang disasarkan terhadap ruang nama dalaman satu organisasi.
- A kluster berjenama e-dagang tujuh pakej (24 Ogos) diterbitkan di bawah versi yang sama
99.0.1dalam hari yang sama. - Pakej bertemakan pengesahan berulang di bawah lima konvensyen penamaan yang berbeza sepanjang separuh akhir bulan ini:
totp-utils,secretkey-2fa,secretkey2fa,2fa-secretkey, danauth-otp.
Corak penentu bulan Ogos: penyerang semakin mencerminkan nama yang sudah membawa kepercayaan, protokol sebenar, alat sebenar, konvensyen pakej dalaman sebenar, bukannya nama pengisi generik, dan mereka melakukannya dalam letusan yang ketat dan pada hari yang sama yang dibina untuk bergerak lebih pantas daripada semakan manual.
Berikut adalah ringkasan tentang apa yang kami temui. Anda boleh melihat semua data empat minggu yang didedahkan secara terperinci di Indeks Ringkasan Kod Berniat Jahat.
Minggu 4: Lebih 53 Pakej Ditemui
Minggu 3: Lebih 34 Pakej Ditemui
Minggu 2: Lebih 114 Pakej Ditemui
Minggu 1: Lebih 206 Pakej Ditemui
Dari Baileys ke DeFi: Apa yang Didedahkan oleh Serangan Rantaian Bekalan Ogos
Kempen di atas bukanlah kes pinggir, ia adalah garis dasar sekarang. Penyamaran berterusan bagi satu pustaka yang dipercayai, versi hari yang sama meletus merentasi berpuluh-puluh nama yang kelihatan tidak berkaitan, dan penyerang mencerminkan protokol DeFi sebenar, perkakasan Google sebenar, dan perisian sebenar enterprise ruang nama dan bukannya sampah generik, semuanya mengenai pasukan sebenar dalam keadaan sebenar SDLCs setiap minggu, selalunya tanpa manusia dalam gelung antara penerbitan dan pemasangan.
Xygeni's pengesanan perisian hasad dan platform keselamatan rantaian bekalan memberikan organisasi keterlihatan untuk mengesan kebergantungan berniat jahat sebelum mereka melaksanakan pada mesin pembangun, memasuki sistem binaan atau mencapai pengeluaran. Liputan merangkumi npm, PyPI, OpenVSX dan seterusnya, memantau corak penerbitan yang mencurigakan, penyalahgunaan ruang nama, kesalahan taip dan teknik serangan natif AI apabila ia muncul.
Setiap penemuan diutamakan secara automatik mengikut keboleheksploitasian, kebolehcapaian dan impak perniagaan, jadi pasukan anda memberi tumpuan kepada perkara yang sebenarnya perlu dibaiki, bukannya gangguan.
Terokai setiap pakej dan kempen berniat jahat yang disahkan oleh Pasukan Keselamatan Xygeni dalam Ringkasan Kod Berniat Jahat.
Kekal selamat. Kekal pantas. Kekal terkawal dengan Xygeni.
