Месечни резиме сажетка злонамерног кода: мај

Добродошли у мајско издање Xygeni Malicious Code Digest-а. Овог месеца, наш истраживачки тим за безбедност наставио је да прати еволуирајући пејзаж претњи ланцу снабдевања софтвером у јавним регистрима пакета, алатима за програмере, радним процесима уз помоћ вештачке интелигенције и модерним... CI/CD окружења. Током маја, Xygeni је идентификовао и валидирао стотине злонамерних пакета усмерених на екосистеме npm, PyPI, VS Code и OpenVSX.

Али мај није био само по питању обима. То је био и месец када су нападачи све више прилагођавали своје вештине развојним окружењима заснованим на вештачкој интелигенцији, претпоставкама о поверењу програмера и аутоматизованим... pipelines.

Међу најзначајнијим истрагама које је објавио Xygeni Security Team овог месеца:

• Џулс Џекер, вишестепена кампања злонамерног софтвера npm која се лажно представља као Google-ов агент Џулс АИ како би украла репозиторијуме, злоупотреба CI/CD окружења, па чак и циљају песковник анализирајући га. Кампања је увела шифроване учитаваче ограничене на хост, фалсификоване google-labs-jules[bot] commitс, крађа метаподатака у облаку и извиђање Кубернетеса против саме аналитичке инфраструктуре.
• ПхантомБот, злонамерна npm кампања која злоупотребљава лажне новчанике, блокчејн и Web3 алате за крађу акредитива, угрожавање програмерских окружења и циљање крипто-повезаних радних процеса путем злоупотребе зависности и постепене испоруке корисног терета.
• Злонамерни npm екосистем великих размера који злоупотребљава лажне TypeScript услужне програме, пакете са вештачком интелигенцијом, имитацију интерних алата, библиотеке фронтенда, cloud helper-е и оквире за креирање система за отиске прстију, крађу акредитива, имплементацију перзистентности и угрожавање системских система програмера.
• Континуирани таласи злонамерних пакета који користе забуну о зависностима, грешке у типографији, злоупотребу након инсталације, лажно представљање вештачке интелигенције као алата, инфлацију верзија и поновљену злоупотребу именског простора, осмишљене да заобиђу хеуристику поверења програмера и угрозе модерне... SDLC токови рада пре откривања.
• Откривање кампања злонамерног софтвера на више платформи, као што су @jaggle/resizeobserves отмичар меморије, који се представљао као легитимни пакет док је примењивао перзистентност засновану на Пајтону и замену меморије крипто-новчаника на Linux, macOS и Windows системима.

Током месеца, такође смо приметили све већу конвергенцију између алата за вештачку интелигенцију, екосистема отвореног кода и напада на ланац снабдевања софтвером. Претње су све више циљале развојне токове уз помоћ вештачке интелигенције, агентска окружења, копилоте и изградњу у облаку. pipelineкао део ширих операција крађе акредитива и компромитовања спремишта.

Ови напади више нису изоловани случајеви једноставног грешковања у типографији. Они укључују координисане кампање објављивања, аутоматизоване навале верзија, крађу токена у облаку, CI/CD злоупотреба, шифровано постављање корисног оптерећења, избегавање „пешчаника“ и технике трајног компромитовања посебно дизајниране да се уклопе у поуздане екосистеме програмера.

Ово месечно ажурирање је део Xygeni-јеве текуће иницијативе за истраживање злонамерног софтвера и претњи у ланцу снабдевања, где наш тим континуирано валидира злонамерне пакете, истражује нове обрасце напада и објављује корисне обавештајне податке како би помогао тимовима за безбедност, AppSec и DevSecOps да буду испред развоја ризика у ланцу снабдевања.

За потпуни контекст о сваком злонамерном пакету, кампањи злонамерног софтвера и анализи претњи објављеној овог месеца, истражите комплетан мајски преглед злонамерног кода и сродна истраживања безбедносног тима Xygeni.