Miesięczne podsumowanie Malicious Code Digest: maj

Witamy w majowym wydaniu Xygeni Malicious Code Digest. W tym miesiącu nasz zespół ds. badań nad bezpieczeństwem kontynuował śledzenie zmieniającego się krajobrazu zagrożeń dla łańcucha dostaw oprogramowania w publicznych rejestrach pakietów, narzędziach dla programistów, procesach wspomaganych przez sztuczną inteligencję i nowoczesnych CI/CD W maju firma Xygeni zidentyfikowała i zweryfikowała setki złośliwych pakietów atakujących ekosystemy npm, PyPI, VS Code i OpenVSX.

Ale maj to nie tylko kwestia wolumenu. Był to również miesiąc, w którym atakujący coraz częściej dostosowywali swoje metody działania do środowisk programistycznych natywnych dla sztucznej inteligencji, założeń dotyczących zaufania programistów i zautomatyzowanych pipelines.

Do najważniejszych śledztw opublikowanych w tym miesiącu przez zespół ds. bezpieczeństwa Xygeni należą:

• JulesJacker, wieloetapowa kampania złośliwego oprogramowania npm podszywająca się pod agenta sztucznej inteligencji Jules firmy Google w celu kradzieży repozytoriów i nadużyć CI/CD środowiska, a nawet analizować piaskownicę. Kampania wprowadziła szyfrowane, bramkowane przez hosta programy ładujące, sfałszowane google-labs-jules[bot] commits, kradzież metadanych w chmurze i rozpoznanie Kubernetesa w odniesieniu do samej infrastruktury analitycznej.
• PhantomBot, złośliwa kampania npm wykorzystująca fałszywy portfel, technologię blockchain i narzędzia Web3 w celu kradzieży danych uwierzytelniających, naruszania bezpieczeństwa środowisk programistycznych i atakowania przepływów pracy związanych z kryptowalutami poprzez nadużywanie zależności i etapowe dostarczanie danych.
• Rozległy, złośliwy ekosystem npm wykorzystujący fałszywe narzędzia TypeScript, pakiety o tematyce sztucznej inteligencji, podszywanie się pod wewnętrzne narzędzia, biblioteki front-end, pomocniki chmurowe i struktury kompilatorów w celu identyfikacji środowisk, wykradania danych uwierzytelniających, wdrażania trwałości i naruszania bezpieczeństwa systemów programistów.
• Ciągłe fale złośliwych pakietów wykorzystujących pomyłki w zakresie zależności, typosquatting, nadużycia po instalacji, podszywanie się pod narzędzia sztucznej inteligencji, rozrost wersji i powtarzające się nadużycia przestrzeni nazw, mające na celu ominięcie heurystyki zaufania programistów i naruszenie nowoczesnych SDLC przepływy pracy przed wykryciem.
• Odkrycie wieloplatformowych kampanii złośliwego oprogramowania, takich jak @jaggle/resizeobserves porywacz schowka, który podszywał się pod legalny pakiet, wdrażając opartą na Pythonie trwałość i podmianę schowka portfela kryptowalut w systemach Linux, macOS i Windows.

W ciągu miesiąca obserwowaliśmy również rosnącą konwergencję między narzędziami AI, ekosystemami open source i atakami na łańcuch dostaw oprogramowania. Aktorzy zagrożeń coraz częściej atakowali procesy programistyczne wspomagane przez AI, środowiska agentów, pilotów pomocniczych i kompilacje chmurowe. pipelinew ramach szerszych działań mających na celu kradzież danych uwierzytelniających i naruszenie bezpieczeństwa repozytoriów.

Te ataki nie są już odosobnionymi przypadkami prostego typosquattingu. Obejmują skoordynowane kampanie wydawnicze, zautomatyzowane rozsyłanie wersji, kradzież tokenów w chmurze, CI/CD nadużycia, szyfrowane udostępnianie danych, omijanie piaskownicy i techniki uporczywego naruszania bezpieczeństwa, zaprojektowane specjalnie w celu wkomponowania się w zaufane ekosystemy programistyczne.

Ta miesięczna aktualizacja jest częścią trwającej inicjatywy badawczej firmy Xygeni w zakresie złośliwego oprogramowania i zagrożeń dla łańcucha dostaw, w ramach której nasz zespół stale weryfikuje złośliwe pakiety, bada nowe wzorce ataków i publikuje przydatne informacje, które pomagają zespołom ds. bezpieczeństwa, AppSec i DevSecOps wyprzedzać zmieniające się ryzyko w łańcuchu dostaw.

Aby zapoznać się z pełnym kontekstem wszystkich złośliwych pakietów, kampanii związanych ze złośliwym oprogramowaniem i analiz zagrożeń opublikowanych w tym miesiącu, zapoznaj się z pełnym majowym streszczeniem złośliwego kodu i powiązanymi badaniami zespołu ds. bezpieczeństwa Xygeni.