Bem-vindo à edição de agosto do Xygeni Malicious Code Digest. Este mês, nossa equipe de pesquisa de segurança confirmou 407 pacotes maliciosos no npm, PyPI e OpenVSX (o mercado de extensões do VS Code), rastreados em quatro relatórios semanais.
Agosto foi marcado por três tendências convergentes: uma campanha de falsificação de identidade direcionada a uma única biblioteca popular de código aberto, que resistiu a múltiplas tentativas de remoção; agrupamentos coordenados de "mesma versão, mesmo dia" em dezenas de nomes de pacotes supostamente não relacionados, a marca registrada de operadores individuais gerenciando várias frentes simultaneamente; e uma mudança em direção à imitação de nomes reais e confiáveis, protocolos DeFi, ferramentas de código aberto do Google e enterprise pacotes internos, em vez de nomes genéricos sem sentido.
Entre as campanhas mais notáveis documentadas neste mês:
- Baileys, uma biblioteca popular de código aberto da API Web do WhatsApp, foi imitada continuamente ao longo de três semanas distintas sob quatro pseudônimos diferentes (
@mrlegendbot/baileys,cloud-baileys,@vanzxy/baileys,ourin-baileys), comcloud-baileysO artigo foi republicado pelo menos cinco vezes entre meados e o final de agosto. - QuietPolyfill's A campanha original de distribuição de pacotes npm, composta por 20 itens, ressurgiu com seus próprios nomes.
beaver-ui-drawer,accounts-timeline,accounts-final-form,bcore-bravo-eslint-config, e outros, confirmados entre 1 e 3 de agosto. - A Mais de 25 pacotes foram adicionados ao OpenVSX em um único dia. (2 de agosto), imitando extensões de desenvolvedores reais em ESLint, Rails, WordPress e dezenas de outras ferramentas.
- A Cluster DeFi de 17 pacotes (11 de agosto) se fez passar por Camelot, Aerodrome Finance, permit2 e pelas bibliotecas de contratos do OpenZeppelin, todas publicadas em pares de versões correspondentes em questão de horas.
- Um aglomerado impressionante (13 de agosto) typosquatted genuine Google open-source tools:
gaarf,magika-js,bazeliske uma série de*-webdriver-cliPacotes, 20 pacotes utilizando nomes de ferramentas reais em um único dia. - A O cluster de 21 pacotes representou Alelo, uma empresa brasileira de pagamentos (14 de agosto), a forma de uma tentativa direcionada de confusão de dependência contra o espaço de nomes interno de uma organização.
- A cluster de sete pacotes de comércio eletrônico (24 de agosto) publicado sob a mesma versão
99.0.1No mesmo dia. - Pacotes com temas de autenticação reapareceram sob cinco convenções de nomenclatura diferentes durante a segunda quinzena do mês:
totp-utils,secretkey-2fa,secretkey2fa,2fa-secretkeyeauth-otp.
O padrão que definiu agosto foi o seguinte: os atacantes estão cada vez mais replicando nomes que já inspiram confiança, protocolos reais, ferramentas reais e convenções internas reais de pacotes, em vez de nomes genéricos, e fazem isso em rajadas curtas e simultâneas, planejadas para serem mais rápidas do que uma revisão manual.
Abaixo, segue um resumo das nossas descobertas. Você pode consultar os dados completos das quatro semanas em detalhes no site. Índice do Malicious Code Digest.
Semana 4: Mais de 53 pacotes descobertos
Semana 3: Mais de 34 pacotes descobertos
Semana 2: Mais de 114 pacotes descobertos
Semana 1: Mais de 206 pacotes descobertos
De Baileys a DeFi: O que os ataques à cadeia de suprimentos de agosto revelam
As campanhas acima não são casos isolados, elas são a regra agora. Impersonação sustentada de uma única biblioteca confiável, surtos de versões no mesmo dia em dezenas de nomes aparentemente não relacionados e atacantes espelhando protocolos DeFi reais, ferramentas reais do Google e muito mais. enterprise Namespaces em vez de lixo genérico, tudo isso está afetando equipes reais em situações reais. SDLCtodas as semanas, muitas vezes sem qualquer intervenção humana entre a publicação e a instalação.
Xygeni detecção de malware e plataforma de segurança da cadeia de suprimentos Oferece às organizações a visibilidade necessária para detectar dependências maliciosas antes que elas sejam executadas na máquina de um desenvolvedor, entrem em um sistema de compilação ou cheguem à produção. A cobertura abrange npm, PyPI, OpenVSX e muito mais, monitorando padrões de publicação suspeitos, abuso de namespace, typosquatting e técnicas de ataque nativas de IA à medida que surgem.
Cada descoberta é automaticamente priorizada por explorabilidade, alcance e impacto nos negócios, para que sua equipe se concentre no que realmente precisa ser corrigido, e não em ruídos.
Explore todos os pacotes e campanhas maliciosas validadas pela Equipe de Segurança da Xygeni no Resumo de código malicioso.
Mantenha-se seguro. Mantenha-se rápido. Mantenha o controle com a Xygeni.
