Resumo do código malicioso Xygeni 73

Quase todas as semanasNossos sistemas de detecção de malware examinam milhares de pacotes novos e atualizados em registros públicos como npm e PyPI. Esta semana foi muito movimentada.

Confirmamos 198 pacotes maliciosos, principalmente no npm, com casos adicionais no PyPI, OpenVSX, Composer e extensões do VS Code. Vários apareceram em grupos coordenados, com lançamentos maliciosos repetidos publicados sob os mesmos nomes ou em famílias de pacotes intimamente relacionadas. Um caso notável foi o sensivity pacote, que inundou o npm com mais de 60 versões diferentes na faixa 2.5.x. Outros clusters notáveis ​​incluíam ai-sdk-helpers (8 versões voltadas para desenvolvedores de IA), @antoncallahan/aws-user-helper (7 versões que se fazem passar por um utilitário da AWS), @apple-pay-trust e @google-pay-trust famílias (imitando módulos de finalização de pagamento), @frengki0707/google-cloud-clone (5 versões falsificando o Google Cloud), e cms-storehub, cms-helpgit e cms-github (direcionado a CMS) pipelines). Muitos pacotes imitavam módulos de pagamento e finalização de compra, enterprise e pacotes web internos, clientes de análise, fundamentos de interface do usuário, utilitários de desenvolvedor, exploradores de componentes, pacotes com temas de nuvem e do Google, e outros módulos comumente utilizados em fluxos de trabalho de desenvolvimento modernos.

Esses não foram casos isolados. O que chamou a atenção esta semana foi a escala de publicações repetidas nas mesmas famílias de pacotes, a reutilização de padrões de nomenclatura e a forma como pacotes maliciosos foram disfarçados para parecerem dependências legítimas em sistemas de distribuição de software reais. pipelines.

Este resumo semanal faz parte do nosso relatório contínuo sobre códigos maliciosos, onde validamos novas ameaças e fornecemos informações práticas para ajudar as equipes de DevSecOps a protegerem seus sistemas. pipelineantes que ocorram danos.

Vamos analisar o que descobrimos esta semana e por que isso é importante.