Mesečni povzetek zlonamerne kode: maj

Dobrodošli v majski izdaji Xygeni Malicious Code Digest. Naša ekipa za varnostne raziskave je ta mesec še naprej spremljala razvijajoče se področje groženj v dobavni verigi programske opreme v javnih registrih paketov, orodjih za razvijalce, delovnih procesih s pomočjo umetne inteligence in sodobnih CI/CD okoljih. Skozi maj je Xygeni identificiral in potrdil na stotine zlonamernih paketov, ki so ciljali na ekosisteme npm, PyPI, VS Code in OpenVSX.

Vendar maj ni bil le mesec, ko so napadalci vse bolj prilagajali svoje znanje razvojnim okoljem, ki temeljijo na umetni inteligenci, predpostavkam o zaupanju razvijalcev in avtomatiziranim pipelines.

Med najpomembnejšimi preiskavami, ki jih je ta mesec objavila varnostna ekipa Xygeni:

• JulesJacker, večstopenjska kampanja zlonamerne programske opreme NPM, ki se izdaja za Googlovega agenta umetne inteligence Jules za krajo repozitorijev, zloraba CI/CD okoljih in celo ciljajo na peskovnik, ki ga analizira. Kampanja je uvedla šifrirane nalagalnike, ki jih nadzira gostitelj, ponarejene google-labs-jules[bot] commits, krajo metapodatkov v oblaku in izvidovanjem Kubernetes proti sami analitični infrastrukturi.
• PhantomBot, zlonamerna kampanja NPM, ki zlorablja lažne denarnice, verigo blokov in orodja Web3 za krajo poverilnic, ogrožanje razvijalskih okolij in ciljanje na delovne procese, povezane s kriptovalutami, z zlorabo odvisnosti in postopno dostavo koristnega tovora.
• Obsežen zlonamerni ekosistem npm, ki zlorablja lažne pripomočke TypeScript, pakete z umetno inteligenco, poosebljanje notranjih orodij, knjižnice frontenda, pomočnike v oblaku in ogrodja za gradnjo v okoljih s prstnimi odtisi, krajo poverilnic, uvajanje vztrajnosti in ogrožanje sistemov razvijalcev.
• Nenehni valovi zlonamernih paketov, ki izkoriščajo zmedo odvisnosti, tipografske napake, zlorabo po namestitvi, poosebljanje orodij umetne inteligence, inflacijo različic in ponavljajočo se zlorabo imenskih prostorov, namenjeni zaobiti hevristiko zaupanja razvijalcev in ogroziti sodobne SDLC poteki dela pred odkrivanjem.
• Odkrivanje večplatformskih zlonamernih kampanj, kot je @jaggle/resizeobserves ugrabitelj odložišča, ki se je izdajal za legitimen paket, medtem ko je uvajal vztrajnost na osnovi Pythona in zamenjavo odložišča kripto denarnice v sistemih Linux, macOS in Windows.

Ves mesec smo opazovali tudi vse večje zbliževanje med orodji umetne inteligence, ekosistemi odprte kode in napadi na dobavno verigo programske opreme. Akterji grožnje so vse bolj ciljali na razvojne delovne procese s pomočjo umetne inteligence, okolja agentov, kopilote in gradnjo v oblaku. pipelinekot del širših operacij kraje poverilnic in ogrožanja repozitorijev.

Ti napadi niso več osamljeni primeri preprostega tiposquattinga. Vključujejo usklajene objavljalske kampanje, avtomatizirane izbruhe različic, krajo žetonov v oblaku, CI/CD zloraba, šifrirano pripravo koristnega tovora, izogibanje peskovniku in tehnike trajnega ogrožanja, posebej zasnovane za združevanje z zaupanja vrednimi ekosistemi razvijalcev.

Ta mesečna posodobitev je del Xygenijeve stalne pobude za raziskave zlonamerne programske opreme in groženj v dobavni verigi, kjer naša ekipa nenehno preverja zlonamerne pakete, preiskuje nastajajoče vzorce napadov in objavlja uporabne obveščevalne podatke, ki pomagajo varnostnim, AppSec in DevSecOps ekipam, da ostanejo korak pred razvijajočimi se tveganji v dobavni verigi.

Za celoten kontekst vseh zlonamernih paketov, kampanj zlonamerne programske opreme in analiz groženj, objavljenih ta mesec, si oglejte celoten majski pregled zlonamerne kode in sorodne raziskave varnostne ekipe Xygeni.