Mesačný súhrn škodlivého kódu: máj

Vitajte v májovom vydaní Xygeni Malicious Code Digest. Tento mesiac náš tím pre výskum bezpečnosti pokračoval v sledovaní vyvíjajúcej sa krajiny hrozieb v dodávateľskom reťazci softvéru naprieč verejnými registrami balíkov, nástrojmi pre vývojárov, pracovnými postupmi s podporou umelej inteligencie a modernými... CI/CD prostredia. Počas mája spoločnosť Xygeni identifikovala a overila stovky škodlivých balíkov zameraných na ekosystémy npm, PyPI, VS Code a OpenVSX.

Máj však nebol len o objeme. Bol to aj mesiac, v ktorom útočníci čoraz viac prispôsobovali svoje obchodné zručnosti vývojovým prostrediam založeným na umelej inteligencii, predpokladom dôveryhodnosti vývojárov a automatizovaným... pipelines.

Medzi najvýznamnejšie vyšetrovania, ktoré tento mesiac zverejnil bezpečnostný tím Xygeni:

• JulesJacker, viacstupňová kampaň malvéru NPM, ktorá sa vydáva za agenta umelej inteligencie Jules od spoločnosti Google s cieľom ukradnúť repozitáre, zneužívanie CI/CD prostredia a dokonca sa zamerať na sandbox a analyzovať ho. Kampaň zaviedla šifrované zavádzače zabezpečené hostiteľom, sfalšované google-labs-jules[bot] commits, krádež cloudových metadát a prieskum Kubernetes proti samotnej analytickej infraštruktúre.
• PhantomBot, škodlivá npm kampaň zneužívajúca falošné peňaženky, blockchain a nástroje Web3 na krádež prihlasovacích údajov, ohrozenie vývojárskych prostredí a zacielenie na pracovné postupy súvisiace s kryptomenami prostredníctvom zneužívania závislostí a postupného doručovania užitočného zaťaženia.
• Rozsiahly škodlivý ekosystém npm zneužívajúci falošné utility TypeScript, balíčky s tematikou umelej inteligencie, imitáciu interných nástrojov, frontendové knižnice, cloudové pomocníky a frameworky pre tvorbu odtlačkov prstov, odcudzovanie poverení, nasadzovanie perzistencie a kompromitovanie vývojárskych systémov.
• Pokračujúce vlny škodlivých balíkov využívajúcich zmätok zo závislostí, preklepy, zneužívanie po inštalácii, vydávanie sa za nástroje umelej inteligencie, infláciu verzií a opakované zneužívanie menných priestorov, ktorých cieľom je obísť heuristiky dôveryhodnosti vývojárov a ohroziť moderné SDLC pracovné postupy pred detekciou.
• Objav multiplatformových malwarových kampaní, ako napríklad @jaggle/resizeobserves únosca schránky, ktorý sa vydával za legitímny balík a zároveň nasadzoval perzistenciu založenú na Pythone a substitúciu schránky krypto peňaženky v systémoch Linux, macOS a Windows.

Počas celého mesiaca sme tiež pozorovali rastúcu konvergenciu medzi nástrojmi umelej inteligencie, ekosystémami s otvoreným zdrojovým kódom a útokmi na dodávateľský reťazec softvéru. Aktéri útokov sa čoraz viac zameriavali na vývojové pracovné postupy s podporou umelej inteligencie, prostredia agentov, kopilotov a cloudové zostavovanie. pipelineako súčasť širších operácií proti krádeži poverení a kompromitácii úložísk.

Tieto útoky už nie sú ojedinelými prípadmi jednoduchého preklepu. Zahŕňajú koordinované publikačné kampane, automatizované rozšírenia verzií, krádeže cloudových tokenov, CI/CD zneužívanie, šifrované stagingové zaťaženie, obchádzanie sandboxu a techniky pretrvávajúceho ohrozenia, ktoré sú špeciálne navrhnuté tak, aby sa začlenili do dôveryhodných ekosystémov vývojárov.

Táto mesačná aktualizácia je súčasťou prebiehajúcej iniciatívy spoločnosti Xygeni zameranej na výskum malvéru a hrozieb v dodávateľskom reťazci, v rámci ktorej náš tím priebežne overuje škodlivé balíky, skúma nové vzory útokov a publikuje užitočné informácie, ktoré pomáhajú bezpečnostným tímom, tímom AppSec a DevSecOps udržiavať si náskok pred vyvíjajúcimi sa rizikami v dodávateľskom reťazci.

Úplný kontext každého škodlivého balíka, malvérovej kampane a analýzy hrozieb publikovanej tento mesiac nájdete v kompletnom májovom prehľade škodlivého kódu a súvisiacom výskume od bezpečnostného tímu Xygeni.