Шарҳи моҳонаи рамзҳои зараровар: Май

Хуш омадед ба нашри моҳи майи Xygeni Code Digest. Дар ин моҳ, гурӯҳи таҳқиқоти амниятии мо пайгирии манзараи таҳаввулёбандаи таҳдидҳои занҷираи таъминоти нармафзорро дар феҳристҳои бастаҳои оммавӣ, абзорҳои таҳиягарон, ҷараёнҳои кории бо ёрии зеҳни сунъӣ ва технологияҳои муосир идома дод. CI/CD муҳитҳо. Дар тӯли моҳи май, Xygeni садҳо бастаҳои зарароварро, ки ба экосистемаҳои npm, PyPI, VS Code ва OpenVSX нигаронида шудаанд, муайян ва тасдиқ кард.

Аммо моҳи май на танҳо ба ҳаҷм вобаста буд. Ин инчунин моҳе буд, ки ҳамлагарон тиҷорати худро ба муҳитҳои таҳияи зеҳни сунъӣ, фарзияҳои эътимоди таҳиягарон ва автоматикунонидашуда бештар мутобиқ карданд. pipelines.

Аз ҷумлаи таҳқиқоти барҷастатарин, ки аз ҷониби Гурӯҳи Амниятии Xygeni дар ин моҳ нашр шудаанд:

• ҶулсҶекер, як маъракаи бисёрмарҳилавии нармафзори зараровари npm, ки худро агенти зеҳни сунъии Ҷулс аз Google барои дуздии анборҳо ва сӯиистифода аз онҳо тақлид мекунад CI/CD муҳитҳо ва ҳатто ҳадафи қуттии рег, ки онро таҳлил мекунад. Маърака боркунакҳои рамзгузоришудаи мизбонро муаррифӣ кард, ки қалбакӣ буданд. google-labs-jules[bot] commitс, дуздии метамаълумоти абрӣ ва иктишофи Kubernetes бар зидди худи инфрасохтори таҳлил.
• PhantomBot, як маъракаи зараровари npm, ки аз ҳамёни қалбакӣ, blockchain ва абзорҳои Web3 барои дуздидани эътимодномаҳо, осеб расонидан ба муҳити таҳиягарон ва ҳадаф қарор додани ҷараёнҳои кории марбут ба криптовалюта тавассути сӯиистифода аз вобастагӣ ва интиқоли марҳилавӣ истифода мебарад.
• Як экосистемаи зараровари npm-и миқёси калон, ки аз утилитҳои қалбакии TypeScript, бастаҳои мавзӯи зеҳни сунъӣ, тақлиди абзорҳои дохилӣ, китобхонаҳои фронтенд, ёварони абрӣ ва чаҳорчӯбаҳои созанда барои муҳитҳои изи ангушт, хориҷ кардани эътимодномаҳо, ҷойгиркунии устуворӣ ва хатар ба системаҳои таҳиягарон истифода мебарад.
• Мавҷҳои идомаёбандаи бастаҳои зараровар, ки аз нофаҳмиҳои вобастагӣ, чопи чопӣ, сӯиистифода пас аз насб, тақлид кардани асбоби зеҳни сунъӣ, тақлиди версия ва сӯиистифода аз фазои номҳои такрорӣ истифода мебаранд, ки барои убур аз эвристикаи эътимоди таҳиягарон ва халалдор кардани муҳаррикҳои муосир тарҳрезӣ шудаанд. SDLC ҷараёнҳои корӣ пеш аз ошкоркунӣ.
• Кашфи маъракаҳои нармафзори зараровари байниплатформавӣ, ба монанди @jaggle/resizeobserves рабояндаи буфери силуэт, ки ҳангоми ҷойгиркунии устувории асоси Python ва ивазкунии буфери криптографӣ дар системаҳои Linux, macOS ва Windows як бастаи қонуниро тақлид мекард.

Дар тӯли моҳ, мо инчунин ҳамгироии афзоянда байни абзорҳои зеҳни сунъӣ, экосистемаҳои кушодаасос ва ҳамлаҳои занҷираи таъминоти нармафзорро мушоҳида кардем. Таҳдидгарон бештар ҷараёнҳои кории таҳияи бо ёрии зеҳни сунъӣ, муҳитҳои агентӣ, ҳампилотҳо ва сохтори абрӣ-аслӣ-ро ҳадаф қарор доданд. pipelineс ҳамчун як қисми амалиётҳои васеътари дуздии эътимоднома ва вайрон кардани анбор.

Ин ҳамлаҳо дигар ҳолатҳои ҷудогонаи чопкунии оддӣ нестанд. Онҳо маъракаҳои ҳамоҳангшудаи нашр, таркиши автоматии версияҳо, дуздии токенҳои абрӣ ва ғайраро дар бар мегиранд. CI/CD сӯиистифода, марҳилабандии боркунии рамзгузорӣ, канорагирӣ аз қуттии рег ва усулҳои доимии созиш, ки махсус барои омехта шудан ба экосистемаҳои боэътимоди таҳиягар тарҳрезӣ шудаанд.

Ин навсозии моҳона қисми ташаббуси тадқиқоти таҳдидҳои нармафзори зараровар ва занҷираи таъминоти Xygeni мебошад, ки дар он дастаи мо пайваста бастаҳои зарароварро тасдиқ мекунад, намунаҳои ҳамлаҳои навро таҳқиқ мекунад ва маълумоти амалии қобили амалро нашр мекунад, то ба дастаҳои амниятӣ, AppSec ва DevSecOps кӯмак кунад, ки аз хатари таҳаввулёбандаи занҷираи таъминот пеш гузаранд.

Барои маълумоти пурра дар бораи ҳар як бастаи зараровар, маъракаи нармафзори зараровар ва таҳлили таҳдидҳо, ки ин моҳ нашр шудааст, дайҷести пурраи рамзи зараровари моҳи май ва таҳқиқоти марбут ба онро аз дастаи амниятии Xygeni омӯзед.