Xygeni Skadlig Kodsammanfattning 73

Nästan varje vecka, våra system för att upptäcka skadlig kod skannar tusentals nya och uppdaterade paket i offentliga register som npm och PyPI. Den här veckan var mycket aktiv.

Vi bekräftade 245 032 skadliga paket, främst över npm, med ytterligare fall i PyPI, OpenVSX, Composer och VS Code-tillägg. Flera dök upp i koordinerade kluster, med upprepade skadliga utgåvor publicerade under samma namn eller över närbesläktade paketfamiljer. Ett framstående fall var sensivity paketet, vilket översvämmade npm med över 60 versionsutgåvor över 2.5.x-serien. Andra anmärkningsvärda kluster inkluderade ai-sdk-helpers (8 versioner riktade mot AI-utvecklare), @antoncallahan/aws-user-helper (7 versioner som imiterar ett AWS-verktyg), @apple-pay-trust och @google-pay-trust familjer (som efterliknar betalningsmoduler för utcheckning), @frengki0707/google-cloud-clone (5 versioner som förfalskar Google Cloud), och cms-storehub, cms-helpgitoch cms-github (inriktning på CMS) pipelines). Många paket imiterade betalnings- och utcheckningsmoduler, enterprise och interna webbpaket, analysklienter, UI-fundament, utvecklarverktyg, komponentutforskare, moln- och Google-temapaket och andra moduler som vanligtvis används i moderna utvecklingsarbetsflöden.

Det här var inte isolerade avvikelser. Det som stack ut den här veckan var omfattningen av upprepad publicering inom samma paketfamiljer, återanvändningen av namngivningsmönster och hur skadliga paket maskerades för att se ut som legitima beroenden inom verklig programvaruleverans. pipelines.

Denna veckovisa ögonblicksbild är en del av vår pågående sammanfattning av skadlig kod, där vi validerar nya hot och tillhandahåller handlingsbar information för att hjälpa DevSecOps-team att skydda sina pipelineinnan skada uppstår.

Låt oss gå igenom vad vi hittade den här veckan och varför det är viktigt.