जाइगेनी मालिसियस कोड डाइजेस्ट ६२

लगभग हरेक हप्ता, हाम्रो मालवेयर पत्ता लगाउने प्रणालीहरूले npm र PyPI जस्ता सार्वजनिक रजिस्ट्रीहरूमा हजारौं नयाँ र अद्यावधिक गरिएका प्याकेजहरू स्क्यान गर्छन्। यो हप्ता धेरै सक्रिय रह्यो।

हामीले पुष्टि गर्यौं १३५ दुर्भावनापूर्ण प्याकेजहरू, मुख्यतया npm भरि, PyPI, OpenVSX, कम्पोजर, र VS कोड एक्सटेन्सनहरूमा थप केसहरू सहित। धेरै समन्वित क्लस्टरहरूमा देखा परे, उही नामहरू अन्तर्गत वा नजिकबाट सम्बन्धित प्याकेज परिवारहरूमा बारम्बार दुर्भावनापूर्ण रिलीजहरू प्रकाशित भए। एउटा उत्कृष्ट केस थियो sensivity प्याकेज, जसले २.५.x दायरामा ६० भन्दा बढी संस्करणित रिलीजहरूले npm भरिदियो। अन्य उल्लेखनीय क्लस्टरहरू समावेश थिए ai-sdk-helpers (एआई विकासकर्ताहरूलाई लक्षित गर्दै ८ संस्करणहरू), @antoncallahan/aws-user-helper (AWS उपयोगिताको प्रतिरूपण गर्ने ७ संस्करणहरू), @apple-pay-trust र @google-pay-trust परिवारहरू (भुक्तानी चेकआउट मोड्युलहरूको नक्कल गर्दै), @frengki0707/google-cloud-clone (गुगल क्लाउडलाई नक्कल गर्ने ५ संस्करणहरू), र cms-storehub, cms-helpgit, र cms-github (CMS लाई लक्षित गर्दै) pipelines) धेरै प्याकेजहरूले भुक्तानी र चेकआउट मोड्युलहरूको नक्कल गरे, enterprise र आन्तरिक वेब प्याकेजहरू, एनालिटिक्स क्लाइन्टहरू, UI फाउन्डेसनहरू, विकासकर्ता उपयोगिताहरू, कम्पोनेन्ट अन्वेषकहरू, क्लाउड- र गुगल-थीम प्याकेजहरू, र आधुनिक विकास कार्यप्रवाहहरूमा सामान्यतया विश्वास गरिने अन्य मोड्युलहरू।

यी पृथक विसंगतिहरू थिएनन्। यस हप्ता के कुरा उल्लेखनीय थियो भने एउटै प्याकेज परिवारहरूमा बारम्बार प्रकाशनको मात्रा, नामकरण ढाँचाहरूको पुन: प्रयोग, र वास्तविक सफ्टवेयर डेलिभरी भित्र वैध निर्भरताहरू जस्तो देखिने गरी दुर्भावनापूर्ण प्याकेजहरू लुकाइएको तरिका थियो। pipelines.

यो साप्ताहिक स्न्यापसट हाम्रो चलिरहेको मालिसियस कोड डाइजेस्टको अंश हो, जहाँ हामी नयाँ खतराहरूलाई प्रमाणित गर्छौं र DevSecOps टोलीहरूलाई उनीहरूको सुरक्षा गर्न मद्दत गर्न कारबाहीयोग्य बुद्धिमत्ता प्रदान गर्छौं। pipelineक्षति हुनुभन्दा पहिले।

यस हप्ता हामीले के पायौं र यो किन महत्त्वपूर्ण छ भनेर हेरौं।