Përmbledhje e Kodit të Dëmshëm Xygeni 73

Pothuajse çdo javë, sistemet tona të zbulimit të programeve keqdashëse skanojnë mijëra paketa të reja dhe të përditësuara në regjistrat publikë si npm dhe PyPI. Kjo javë ishte shumë aktive.

Ne konfirmuam 198 paketa dashakeqe, kryesisht në npm, me raste shtesë në shtesat PyPI, OpenVSX, Composer dhe VS Code. Disa u shfaqën në grupe të koordinuara, me lëshime të përsëritura keqdashëse të publikuara nën të njëjtat emra ose në familje paketash të lidhura ngushtë. Një rast i spikatur ishte sensivity paketë, e cila e përmbyti npm me mbi 60 lëshime të versionuara në gamën 2.5.x. Grumbuj të tjerë të rëndësishëm përfshinin ai-sdk-helpers (8 versione që synojnë zhvilluesit e inteligjencës artificiale), @antoncallahan/aws-user-helper (7 versione që imitojnë një program të AWS), @apple-pay-trust @google-pay-trust familje (duke imituar modulet e arkëtimit të pagesave), @frengki0707/google-cloud-clone (5 versione që falsifikojnë Google Cloud), dhe cms-storehub, cms-helpgitdhe cms-github (CMS që synon pipelines). Shumë paketa imituan modulet e pagesës dhe të arkëtimit, enterprise dhe paketa të brendshme web, klientë analitikë, themele të UI-t, shërbime për zhvilluesit, eksplorues të komponentëve, paketa me tematikë cloud dhe Google, si dhe module të tjera të besueshme në rrjedhat moderne të punës së zhvillimit.

Këto nuk ishin anomali të izoluara. Ajo që spikati këtë javë ishte shkalla e publikimit të përsëritur në të njëjtat familje paketash, ripërdorimi i modeleve të emërtimit dhe mënyra se si paketat keqdashëse u maskuan për t'u dukur si varësi legjitime brenda ofrimit të softuerëve të vërtetë. pipelines.

Kjo përmbledhje javore është pjesë e përmbledhjes sonë të vazhdueshme të kodit keqdashës, ku ne vërtetojmë kërcënimet e reja dhe ofrojmë inteligjencë të zbatueshme për të ndihmuar ekipet DevSecOps të mbrojnë të tyret. pipelines para se të ndodhë dëmtimi.

Le të analizojmë çfarë gjetëm këtë javë dhe pse ka rëndësi.