ਜ਼ਾਇਗੇਨੀ ਮੈਲੀਸ਼ੀਅਸ ਕੋਡ ਡਾਇਜੈਸਟ 73

ਲਗਭਗ ਹਰ ਹਫ਼ਤੇ, ਸਾਡੇ ਮਾਲਵੇਅਰ ਖੋਜ ਸਿਸਟਮ npm ਅਤੇ PyPI ਵਰਗੀਆਂ ਜਨਤਕ ਰਜਿਸਟਰੀਆਂ ਵਿੱਚ ਹਜ਼ਾਰਾਂ ਨਵੇਂ ਅਤੇ ਅੱਪਡੇਟ ਕੀਤੇ ਪੈਕੇਜਾਂ ਨੂੰ ਸਕੈਨ ਕਰਦੇ ਹਨ। ਇਹ ਹਫ਼ਤਾ ਬਹੁਤ ਸਰਗਰਮ ਰਿਹਾ।

ਅਸੀਂ ਪੁਸ਼ਟੀ ਕੀਤੀ 198 ਖਤਰਨਾਕ ਪੈਕੇਜ, ਮੁੱਖ ਤੌਰ 'ਤੇ npm ਭਰ ਵਿੱਚ, PyPI, OpenVSX, ਕੰਪੋਜ਼ਰ, ਅਤੇ VS ਕੋਡ ਐਕਸਟੈਂਸ਼ਨਾਂ ਵਿੱਚ ਵਾਧੂ ਕੇਸਾਂ ਦੇ ਨਾਲ। ਕਈ ਤਾਲਮੇਲ ਵਾਲੇ ਕਲੱਸਟਰਾਂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਏ, ਇੱਕੋ ਨਾਵਾਂ ਹੇਠ ਜਾਂ ਨਜ਼ਦੀਕੀ ਸੰਬੰਧਿਤ ਪੈਕੇਜ ਪਰਿਵਾਰਾਂ ਵਿੱਚ ਵਾਰ-ਵਾਰ ਖਤਰਨਾਕ ਰੀਲੀਜ਼ਾਂ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀਆਂ ਗਈਆਂ। ਇੱਕ ਸ਼ਾਨਦਾਰ ਮਾਮਲਾ ਸੀ sensivity ਪੈਕੇਜ, ਜਿਸਨੇ 2.5.x ਰੇਂਜ ਵਿੱਚ 60 ਤੋਂ ਵੱਧ ਵਰਜਨ ਵਾਲੀਆਂ ਰੀਲੀਜ਼ਾਂ ਨਾਲ npm ਨੂੰ ਭਰ ਦਿੱਤਾ। ਹੋਰ ਮਹੱਤਵਪੂਰਨ ਕਲੱਸਟਰਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ ai-sdk-helpers (8 ਸੰਸਕਰਣ ਜੋ AI ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੇ ਹਨ), @antoncallahan/aws-user-helper (7 ਸੰਸਕਰਣ ਜੋ ਇੱਕ AWS ਉਪਯੋਗਤਾ ਦੀ ਨਕਲ ਕਰਦੇ ਹਨ), @apple-pay-trust ਅਤੇ @google-pay-trust ਪਰਿਵਾਰ (ਭੁਗਤਾਨ ਚੈੱਕਆਉਟ ਮਾਡਿਊਲਾਂ ਦੀ ਨਕਲ ਕਰਦੇ ਹੋਏ), @frengki0707/google-cloud-clone (5 ਸੰਸਕਰਣ ਜੋ ਗੂਗਲ ਕਲਾਉਡ ਨੂੰ ਸਪੂਫ ਕਰਦੇ ਹਨ), ਅਤੇ cms-storehub, cms-helpgitਹੈ, ਅਤੇ cms-github (CMS ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣਾ pipelines). ਬਹੁਤ ਸਾਰੇ ਪੈਕੇਜ ਭੁਗਤਾਨ ਅਤੇ ਚੈੱਕਆਉਟ ਮਾਡਿਊਲਾਂ ਦੀ ਨਕਲ ਕਰਦੇ ਸਨ, enterprise ਅਤੇ ਅੰਦਰੂਨੀ ਵੈੱਬ ਪੈਕੇਜ, ਵਿਸ਼ਲੇਸ਼ਣ ਕਲਾਇੰਟ, UI ਫਾਊਂਡੇਸ਼ਨ, ਡਿਵੈਲਪਰ ਉਪਯੋਗਤਾਵਾਂ, ਕੰਪੋਨੈਂਟ ਐਕਸਪਲੋਰਰ, ਕਲਾਉਡ- ਅਤੇ ਗੂਗਲ-ਥੀਮ ਵਾਲੇ ਪੈਕੇਜ, ਅਤੇ ਹੋਰ ਮਾਡਿਊਲ ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਆਧੁਨਿਕ ਵਿਕਾਸ ਵਰਕਫਲੋ ਵਿੱਚ ਭਰੋਸੇਯੋਗ ਹਨ।

ਇਹ ਕੋਈ ਅਲੱਗ-ਥਲੱਗ ਵਿਗਾੜ ਨਹੀਂ ਸਨ। ਇਸ ਹਫ਼ਤੇ ਜੋ ਗੱਲ ਸਾਹਮਣੇ ਆਈ ਉਹ ਸੀ ਇੱਕੋ ਪੈਕੇਜ ਪਰਿਵਾਰਾਂ ਵਿੱਚ ਵਾਰ-ਵਾਰ ਪ੍ਰਕਾਸ਼ਨ ਦਾ ਪੈਮਾਨਾ, ਨਾਮਕਰਨ ਪੈਟਰਨਾਂ ਦੀ ਮੁੜ ਵਰਤੋਂ, ਅਤੇ ਜਿਸ ਤਰ੍ਹਾਂ ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਨੂੰ ਅਸਲ ਸਾਫਟਵੇਅਰ ਡਿਲੀਵਰੀ ਦੇ ਅੰਦਰ ਜਾਇਜ਼ ਨਿਰਭਰਤਾਵਾਂ ਵਾਂਗ ਦਿਖਣ ਲਈ ਭੇਸ ਬਦਲਿਆ ਗਿਆ ਸੀ। pipelines.

ਇਹ ਹਫ਼ਤਾਵਾਰੀ ਸਨੈਪਸ਼ਾਟ ਸਾਡੇ ਚੱਲ ਰਹੇ ਮੈਲੀਸ਼ੀਅਸ ਕੋਡ ਡਾਇਜੈਸਟ ਦਾ ਹਿੱਸਾ ਹੈ, ਜਿੱਥੇ ਅਸੀਂ ਨਵੇਂ ਖਤਰਿਆਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦੇ ਹਾਂ ਅਤੇ DevSecOps ਟੀਮਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ pipelineਨੁਕਸਾਨ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ।

ਆਓ ਇਸ ਹਫ਼ਤੇ ਸਾਨੂੰ ਕੀ ਮਿਲਿਆ ਅਤੇ ਇਹ ਕਿਉਂ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ, ਇਸ ਬਾਰੇ ਗੱਲ ਕਰੀਏ।