Muhtasari wa Kila Mwezi wa Muhtasari wa Kanuni Hasidi: Mei

Karibu kwenye toleo la Mei la Xygeni Malicious Code Digest. Mwezi huu, timu yetu ya utafiti wa usalama iliendelea kufuatilia mazingira yanayobadilika ya vitisho vya ugavi wa programu katika sajili za vifurushi vya umma, zana za wasanidi programu, mtiririko wa kazi unaosaidiwa na AI, na ya kisasa. CI/CD mazingira. Katika mwezi mzima wa Mei, Xygeni ilitambua na kuthibitisha mamia ya vifurushi hasidi vinavyolenga mifumo ikolojia ya npm, PyPI, VS Code, na OpenVSX.

Lakini Mei haikuwa tu kuhusu ujazo. Pia ilikuwa mwezi ambapo washambuliaji walibadilisha zaidi biashara zao ili ziendane na mazingira asilia ya maendeleo ya AI, dhana za uaminifu wa wasanidi programu, na kiotomatiki pipelines.

Miongoni mwa uchunguzi mashuhuri zaidi uliochapishwa na Timu ya Usalama ya Xygeni mwezi huu:

• JulesJacker, kampeni ya programu hasidi ya npm yenye hatua nyingi inayoiga wakala wa Google wa Jules AI kuiba hazina, matumizi mabaya CI/CD mazingira, na hata kulenga kisanduku cha mchanga kinachokichambua. Kampeni ilianzisha vipakiaji vilivyofungwa kwa njia fiche na mwenyeji, vilivyotengenezwa kwa kughushi google-labs-jules[bot] commits, wizi wa metadata ya wingu, na uchunguzi wa Kubernetes dhidi ya miundombinu ya uchambuzi yenyewe.
• PhantomBot, kampeni hasidi ya npm inayotumia vibaya pochi bandia, blockchain, na zana za Web3 ili kuiba sifa, kuathiri mazingira ya wasanidi programu, na kulenga mtiririko wa kazi unaohusiana na crypto kupitia matumizi mabaya ya utegemezi na uwasilishaji wa mzigo wa malipo kwa hatua.
• Mfumo ikolojia wa npm wenye madhara makubwa unaotumia vibaya huduma bandia za TypeScript, vifurushi vyenye mandhari ya AI, uigaji wa zana za ndani, maktaba za mbele, wasaidizi wa wingu, na mifumo ya wajenzi kwenye mazingira ya alama za vidole, kutoa vitambulisho, kusambaza uendelevu, na kuathiri mifumo ya wasanidi programu.
• Mawimbi yanayoendelea ya vifurushi hasidi yanayotumia mkanganyiko wa utegemezi, uchapaji, matumizi mabaya baada ya kusakinishwa, uigaji wa zana za akili bandia, mfumuko wa bei wa toleo, na matumizi mabaya ya mara kwa mara ya nafasi ya majina yaliyoundwa ili kuepuka uaminifu wa msanidi programu na kuathiri hali ya kisasa. SDLC kazi kabla ya kugundua.
• Ugunduzi wa kampeni za programu hasidi zinazotumia mifumo mbalimbali kama vile @jaggle/resizeobserves hicatcher ya ubao wa kunakili, ambayo iliiga kifurushi halali huku ikiweka uendelevu unaotegemea Python na ubadilishaji wa ubao wa kunakili wa crypto-pochi katika mifumo ya Linux, macOS, na Windows.

Katika mwezi mzima, pia tuliona muunganiko unaoongezeka kati ya zana za AI, mifumo ikolojia huria, na mashambulizi ya mnyororo wa usambazaji wa programu. Wahusika wa vitisho walizidi kulenga mtiririko wa kazi wa maendeleo unaosaidiwa na AI, mazingira ya mawakala, marubani wasaidizi, na muundo asilia wa wingu. pipelinekama sehemu ya wizi mpana wa sifa na shughuli za maelewano ya hazina.

Mashambulizi haya si matukio ya kipekee ya uchapaji rahisi. Yanahusisha kampeni za uchapishaji zilizoratibiwa, milipuko ya matoleo otomatiki, wizi wa tokeni za wingu, CI/CD matumizi mabaya, uundaji wa mzigo uliosimbwa kwa njia fiche, ukwepaji wa kisanduku cha mchanga, na mbinu za maelewano endelevu zilizoundwa mahususi ili kuungana na mifumo ikolojia ya wasanidi programu wanaoaminika.

Sasisho hili la kila mwezi ni sehemu ya mpango unaoendelea wa utafiti wa programu hasidi na vitisho vya mnyororo wa ugavi wa Xygeni, ambapo timu yetu huthibitisha vifurushi hasidi kila mara, huchunguza mifumo inayoibuka ya mashambulizi, na kuchapisha akili inayoweza kutekelezwa ili kusaidia timu za usalama, AppSec, na DevSecOps kuendelea kuwa mbele ya hatari inayobadilika ya mnyororo wa ugavi.

Kwa muktadha kamili katika kila kifurushi hasidi, kampeni ya programu hasidi, na uchanganuzi wa vitisho uliochapishwa mwezi huu, chunguza Mchoro kamili wa Kanuni Mbaya wa Mei na utafiti unaohusiana kutoka kwa Timu ya Usalama ya Xygeni.