خراب ڪوڊ ڊائجسٽ جو ماهوار خلاصو: مئي

زائيگيني ميليشيئس ڪوڊ ڊائجسٽ جي مئي ايڊيشن ۾ ڀليڪار. هن مهيني، اسان جي سيڪيورٽي ريسرچ ٽيم پبلڪ پيڪيج رجسٽريز، ڊولپر ٽولنگ، اي آءِ جي مدد سان ڪم ڪندڙ فلوز، ۽ جديد... ۾ سافٽ ويئر سپلائي چين خطرن جي ارتقا پذير منظرنامي کي ٽريڪ ڪندي رهي. CI/CD ماحول. مئي دوران، زائيگيني npm، PyPI، VS ڪوڊ، ۽ OpenVSX ايڪو سسٽم کي نشانو بڻائيندڙ سوين خراب پيڪيجز جي سڃاڻپ ۽ تصديق ڪئي.

پر مئي صرف مقدار بابت نه هو. اهو هڪ اهڙو مهينو پڻ هو جتي حملي آورن پنهنجي ٽريڊ ڪرافٽ کي AI-مقامي ترقي جي ماحول، ڊولپر جي اعتماد جي مفروضن، ۽ خودڪار طريقي سان ترتيب ڏنو. pipelines.

هن مهيني زائيگيني سيڪيورٽي ٽيم پاران شايع ٿيل سڀ کان وڌيڪ قابل ذڪر جاچن مان:

• جولس جيڪر، هڪ ملٽي اسٽيج اين پي ايم مالويئر مهم جيڪا گوگل جي جولس اي آءِ ايجنٽ جي نقل ڪندي ريپوزٽريز چوري ڪرڻ لاءِ، غلط استعمال CI/CD ماحول، ۽ حتي سينڊ باڪس کي نشانو بڻائي ان جو تجزيو ڪيو. مهم انڪرپٽ ٿيل هوسٽ گيٽڊ لوڊرز متعارف ڪرايا، جعلي google-labs-jules[bot] commits، ڪلائوڊ ميٽا ڊيٽا چوري، ۽ تجزياتي انفراسٽرڪچر جي خلاف ڪبرنيٽس جي جاچ.
• پريتم بوٽ، هڪ بدسلوڪي npm مهم جيڪا جعلي والٽ، بلاڪچين، ۽ ويب 3 ٽولنگ کي غلط استعمال ڪندي سندون چوري ڪرڻ، ڊولپر ماحول کي سمجهوتو ڪرڻ، ۽ انحصار جي غلط استعمال ۽ اسٽيج ٿيل پيل لوڊ پهچائڻ ذريعي ڪرپٽو سان لاڳاپيل ورڪ فلو کي نشانو بڻائڻ لاءِ.
• هڪ وڏي پيماني تي خراب اين پي ايم ايڪو سسٽم جعلي ٽائيپ اسڪرپٽ يوٽيلٽيز، اي آءِ-ٿيمڊ پيڪيجز، اندروني ٽولنگ جي نقالي، فرنٽ اينڊ لائبريريون، ڪلائوڊ مددگار، ۽ بلڊر فريم ورڪ کي فنگر پرنٽ ماحول ۾ استعمال ڪري ٿو، سندون خارج ڪري ٿو، پرسڪونٽي کي ترتيب ڏئي ٿو، ۽ ڊولپر سسٽم کي سمجهوتو ڪري ٿو.
• بدسلوڪي پيڪيجز جون مسلسل لهرون جيڪي انحصار جي مونجهاري، ٽائيپوسڪوٽنگ، پوسٽ انسٽال غلط استعمال، اي آءِ-ٽولز جي نقل، ورجن انفليشن، ۽ بار بار نيم اسپيس غلط استعمال کي استعمال ڪندي ڊولپر جي اعتماد جي هيورسٽڪس کي نظرانداز ڪرڻ ۽ جديد کي سمجهوتو ڪرڻ لاءِ ٺهيل آهن. SDLC ڳولا کان اڳ ڪم جو وهڪرو.
• ڪراس پليٽ فارم مالويئر مهم جي دريافت جهڙوڪ @jaggle/resizeobserves ڪلپ بورڊ هائيجيڪر، جيڪو لينڪس، ميڪ او ايس، ۽ ونڊوز سسٽم ۾ پٿون تي ٻڌل پرسسٽنس ۽ ڪرپٽو-والٽ ڪلپ بورڊ متبادل کي ترتيب ڏيڻ دوران هڪ جائز پيڪيج جي نقل ڪري ٿو.

سڄي مهيني دوران، اسان AI ٽولنگ، اوپن سورس ايڪو سسٽم، ۽ سافٽ ويئر سپلائي چين حملن جي وچ ۾ وڌندڙ هم آهنگي جو مشاهدو ڪيو. خطري جي اداڪارن AI جي مدد سان ترقي جي ورڪ فلوز، ايجنٽ ماحول، ڪوپائلٽس، ۽ ڪلائوڊ-نيٽو بلڊ کي وڌيڪ نشانو بڻايو. pipelineوسيع سند جي چوري ۽ ذخيري جي سمجھوتي جي عملن جي حصي طور.

اهي حملا هاڻي سادي ٽائيپنگ جا الڳ ٿيل ڪيس نه آهن. انهن ۾ مربوط اشاعت مهمون، خودڪار ورزن برسٽ، ڪلائوڊ ٽوڪن چوري، CI/CD غلط استعمال، انڪرپٽ ٿيل پيل لوڊ اسٽيجنگ، سينڊ باڪس چوري، ۽ مسلسل سمجهوتي ٽيڪنڪون خاص طور تي قابل اعتماد ڊولپر ايڪو سسٽم ۾ ملائڻ لاءِ ٺهيل آهن.

هي ماهوار اپڊيٽ زائيگيني جي جاري مالويئر ۽ سپلائي چين خطري جي تحقيق جي شروعات جو حصو آهي، جتي اسان جي ٽيم مسلسل خراب پيڪيجز جي تصديق ڪري ٿي، ابھرندڙ حملي جي نمونن جي جاچ ڪري ٿي، ۽ سيڪيورٽي، ايپ سيڪ، ۽ ڊيو سيڪ اوپس ٽيمن کي سپلائي چين جي خطري کي ترقي ڪرڻ کان اڳ رهڻ ۾ مدد ڏيڻ لاءِ قابل عمل انٽيليجنس شايع ڪري ٿي.

هن مهيني شايع ٿيل هر خراب پيڪيج، مالويئر مهم، ۽ خطري جي تجزيي جي مڪمل حوالي لاءِ، زائيگيني سيڪيورٽي ٽيم جي مڪمل مئي خراب ڪوڊ ڊائجسٽ ۽ لاڳاپيل تحقيق کي ڳولهيو.