Recapitulare lunară Malicious Code Digest: Mai

Bun venit la ediția din mai a Xygeni Malicious Code Digest. Luna aceasta, echipa noastră de cercetare în domeniul securității a continuat să urmărească peisajul în continuă evoluție al amenințărilor la adresa lanțului de aprovizionare software în registrele publice de pachete, instrumentele pentru dezvoltatori, fluxurile de lucru asistate de inteligență artificială și sistemele moderne. CI/CD medii. Pe parcursul lunii mai, Xygeni a identificat și validat sute de pachete malițioase care vizau ecosistemele npm, PyPI, VS Code și OpenVSX.

Însă luna mai nu a fost doar despre volum. A fost, de asemenea, o lună în care atacatorii și-au adaptat din ce în ce mai mult tehnicile comerciale la mediile de dezvoltare native bazate pe inteligență artificială, la presupunerile de încredere ale dezvoltatorilor și la procesele automate. pipelines.

Printre cele mai notabile investigații publicate de echipa de securitate Xygeni în această lună:

• JulesJacker, o campanie malware npm în mai multe etape care se folosește de agentul de inteligență artificială Jules de la Google pentru a fura depozite și a abuza CI/CD medii și chiar să vizeze sandbox-ul analizându-l. Campania a introdus încărcătoare criptate cu funcție de gazdă, falsificate google-labs-jules[bot] commits, furtul de metadate în cloud și recunoașterea Kubernetes împotriva infrastructurii de analiză însăși.
• PhantomBot, o campanie npm rău intenționată care abuzează de portofele false, blockchain și instrumente Web3 pentru a fura acreditări, a compromite mediile dezvoltatorilor și a viza fluxurile de lucru legate de criptomonede prin abuz de dependențe și livrare în etape a sarcinilor utile.
• Un ecosistem npm malițios la scară largă care abuzează de utilitare TypeScript false, pachete cu tematică de inteligență artificială, impersonare de instrumente interne, biblioteci frontend, instrumente de asistență în cloud și framework-uri de construcție pentru a amprentei digitale medii, a exfiltra credențiale, a implementa persistență și a compromite sistemele dezvoltatorilor.
• Valuri continue de pachete rău intenționate care profită de confuzia de dependențe, typosquatting, abuz postinstalare, uzurparea identității instrumentelor AI, inflația versiunilor și abuzul repetat de spațiu de nume, concepute pentru a ocoli euristicile de încredere ale dezvoltatorilor și a compromite tehnologiile moderne. SDLC fluxuri de lucru înainte de detectare.
• Descoperirea campaniilor de malware multiplatformă, cum ar fi @jaggle/resizeobserves un hijacker de clipboard, care se dădea drept un pachet legitim în timp ce implementa persistența bazată pe Python și substituirea clipboard-ului pentru portofele criptografice pe sistemele Linux, macOS și Windows.

Pe parcursul lunii, am observat, de asemenea, o convergență tot mai mare între instrumentele de inteligență artificială, ecosistemele open-source și atacurile asupra lanțului de aprovizionare software. Actorii amenințători au vizat din ce în ce mai mult fluxurile de lucru de dezvoltare asistate de inteligență artificială, mediile de agenți, copiloții și construirea nativă în cloud. pipelineca parte a operațiunilor mai ample de furt de acreditări și compromitere a depozitelor.

Aceste atacuri nu mai sunt cazuri izolate de simplu typosquatting. Ele implică campanii de publicare coordonate, rafale automate de versiuni, furt de token-uri în cloud. CI/CD abuz, stadializarea criptată a sarcinilor utile, evitarea sandbox-ului și tehnici de compromitere persistentă concepute special pentru a se integra în ecosistemele dezvoltatorilor de încredere.

Această actualizare lunară face parte din inițiativa continuă de cercetare a programelor malware și a amenințărilor la adresa lanțului de aprovizionare a Xygeni, în cadrul căreia echipa noastră validează continuu pachetele rău intenționate, investighează modelele de atac emergente și publică informații utile pentru a ajuta echipele de securitate, AppSec și DevSecOps să fie cu un pas înaintea riscurilor în continuă evoluție ale lanțului de aprovizionare.

Pentru contextul complet al fiecărui pachet rău intenționat, campanie malware și analiză a amenințărilor publicate luna aceasta, explorați raportul complet Malicious Code Digest din mai și cercetările aferente realizate de echipa de securitate Xygeni.