Maandelijks overzicht van Malicious Code Digest: mei

Welkom bij de mei-editie van de Xygeni Malicious Code Digest. Deze maand heeft ons beveiligingsonderzoeksteam de evoluerende dreigingen in de softwareleveringsketen verder gevolgd, met name op het gebied van openbare pakketregisters, ontwikkelaarstools, AI-ondersteunde workflows en moderne technologieën. CI/CD omgevingen. Gedurende de maand mei heeft Xygeni honderden kwaadaardige pakketten geïdentificeerd en gevalideerd die gericht waren op de ecosystemen van npm, PyPI, VS Code en OpenVSX.

Maar mei draaide niet alleen om aantallen. Het was ook een maand waarin aanvallers hun werkwijze steeds meer aanpasten aan AI-native ontwikkelomgevingen, de aanname van vertrouwen in ontwikkelaars en geautomatiseerde aanvallen. pipelines.

Enkele van de meest opvallende onderzoeken die deze maand door het Xygeni Security Team zijn gepubliceerd:

• JulesJackereen meerfasige npm-malwarecampagne die zich voordoet als Google's Jules AI-agent om repositories te stelen en te misbruiken. CI/CD omgevingen, en zelfs het analyseren ervan in de sandbox. De campagne introduceerde versleutelde, host-gated loaders en vervalste bestanden. google-labs-jules[bot] commits, diefstal van cloudmetadata en Kubernetes-verkenning tegen de analyse-infrastructuur zelf.
• PhantomBotEen kwaadaardige npm-campagne die misbruik maakt van nepwallets, blockchain- en Web3-tools om inloggegevens te stelen, ontwikkelomgevingen te compromitteren en cryptogerelateerde workflows aan te vallen door middel van misbruik van afhankelijkheden en gefaseerde levering van schadelijke software.
• Een grootschalig kwaadaardig npm-ecosysteem dat misbruik maakt van nep-TypeScript-hulpprogramma's, AI-pakketten, imitatie van interne tools, frontend-bibliotheken, cloudhelpers en builder-frameworks om omgevingen te identificeren, inloggegevens te stelen, persistentie te implementeren en ontwikkelaarssystemen te compromitteren.
• Aanhoudende golven van kwaadaardige pakketten die gebruikmaken van afhankelijkheidsverwarring, typosquatting, misbruik na installatie, imitatie van AI-tools, versie-inflatie en herhaaldelijk misbruik van naamruimten, zijn ontworpen om de vertrouwensheuristieken van ontwikkelaars te omzeilen en moderne systemen te compromitteren. SDLC werkprocessen vóór detectie.
• De ontdekking van platformoverschrijdende malwarecampagnes zoals de @jaggle/resizeobserves Een programma dat zich voordeed als een legitiem pakket en tegelijkertijd op Python gebaseerde persistentie en vervanging van het klembord door cryptowallets implementeerde op Linux-, macOS- en Windows-systemen.

Gedurende de maand zagen we ook een toenemende convergentie tussen AI-tools, open-source ecosystemen en aanvallen op de softwareleveringsketen. Kwaadwillenden richtten zich steeds vaker op AI-ondersteunde ontwikkelingsworkflows, agentomgevingen, copilots en cloud-native buildprocessen. pipelineals onderdeel van bredere operaties gericht op het stelen van inloggegevens en het compromitteren van databanken.

Deze aanvallen zijn niet langer geïsoleerde gevallen van simpele typosquatting. Ze omvatten gecoördineerde publicatiecampagnes, geautomatiseerde versie-uitzendingen, diefstal van cloudtokens, CI/CD Misbruik, het klaarzetten van versleutelde payloads, het omzeilen van sandbox-beveiliging en aanhoudende compromitteringstechnieken die specifiek zijn ontworpen om naadloos aan te sluiten bij vertrouwde ontwikkelaarsomgevingen.

Deze maandelijkse update maakt deel uit van Xygeni's doorlopende onderzoek naar malware en bedreigingen voor de toeleveringsketen. Ons team valideert continu kwaadaardige pakketten, onderzoekt opkomende aanvalspatronen en publiceert bruikbare informatie om beveiligings-, applicatiebeveiligings- en ontwikkelteams te helpen de steeds veranderende risico's in de toeleveringsketen voor te blijven.

Voor een volledig overzicht van alle kwaadaardige pakketten, malwarecampagnes en dreigingsanalyses die deze maand zijn gepubliceerd, kunt u het complete Malicious Code Digest van mei en gerelateerd onderzoek van het Xygeni Security Team raadplegen.