Diġest tal-Kodiċi Malizzjuż Xygeni 73

Kważi kull ġimgħa, is-sistemi tagħna ta' skoperta ta' malware jiskennjaw eluf ta' pakketti ġodda u aġġornati f'reġistri pubbliċi bħal npm u PyPI. Din il-ġimgħa kienet attiva ħafna.

Aħna kkonfermajna 198 pakkett malizzjuż, primarjament madwar npm, b'każijiet addizzjonali fl-estensjonijiet ta' PyPI, OpenVSX, Composer, u VS Code. Diversi dehru fi gruppi kkoordinati, b'rilaxxi malizzjużi ripetuti ppubblikati taħt l-istess ismijiet jew madwar familji ta' pakketti relatati mill-qrib. Każ li spikka kien il- sensivity pakkett, li għarraq npm b'aktar minn 60 rilaxx verżjonit fil-medda 2.5.x. Raggruppamenti notevoli oħra inkludew ai-sdk-helpers (8 verżjonijiet immirati lejn l-iżviluppaturi tal-AI), @antoncallahan/aws-user-helper (7 verżjonijiet li jimpersonaw utilità tal-AWS), @apple-pay-trust u, @google-pay-trust familji (li jimitaw moduli ta' ħlas u ħlas), @frengki0707/google-cloud-clone (5 verżjonijiet li jqarrqu bil-Google Cloud), u cms-storehub, cms-helpgit, u cms-github (immira lejn is-CMS pipelines). Ħafna pakketti imitaw moduli ta' ħlas u checkout, enterprise u pakketti interni tal-web, klijenti analitiċi, fondazzjonijiet tal-UI, utilitajiet tal-iżviluppaturi, esploraturi tal-komponenti, pakketti bit-tema tal-cloud u tal-Google, u moduli oħra li huma komunement fdati fil-flussi tax-xogħol tal-iżvilupp moderni.

Dawn ma kinux anomaliji iżolati. Dak li spikka din il-ġimgħa kien l-iskala ta’ pubblikazzjoni ripetuta fl-istess familji ta’ pakketti, l-użu mill-ġdid ta’ mudelli ta’ ismijiet, u l-mod kif pakketti malizzjużi kienu moħbija biex jidhru bħala dipendenzi leġittimi ġewwa kunsinna ta’ softwer reali. pipelines.

Din l-istampa ta' kull ġimgħa hija parti mid-Digest tal-Kodiċi Malizzjuż li għaddej bħalissa, fejn nivvalidaw theddid ġdid u nipprovdu intelliġenza azzjonabbli biex ngħinu lit-timijiet tad-DevSecOps jipproteġu tagħhom. pipelines qabel ma sseħħ il-ħsara.

Ejjew nanalizzaw x'sibna din il-ġimgħa u għaliex huwa importanti.