สรุปข่าวจาก Malicious Code Digest ประจำเดือนกรกฎาคม

ยินดีต้อนรับสู่ Xygeni Malicious Code Digest ฉบับเดือนกรกฎาคม ในเดือนนี้... ทีมวิจัยด้านความปลอดภัยของเราได้ยืนยันการพบแพ็กเกจที่เป็นอันตรายกว่า 780 รายการใน npm, PyPI และ OpenVSX (ตลาดส่วนเสริมของ VS Code) ซึ่งติดตามได้จากรายงานสรุปรายสัปดาห์ 5 ฉบับ.

เดือนกรกฎาคมโดดเด่นด้วยแนวโน้มที่มาบรรจบกันสามประการ ได้แก่ การโจมตีด้วยการปล่อยเวอร์ชันใหม่จำนวนมากอย่างต่อเนื่องซึ่งออกแบบมาเพื่อให้คงอยู่ได้นานกว่าการลบออก การโจมตีที่พุ่งเป้าไปที่เครื่องมือ AI เซิร์ฟเวอร์ MCP และเวิร์กโฟลว์ของเอเจนต์เพิ่มขึ้นอย่างรวดเร็ว และการโจมตีแบบประสานงานเพื่อสร้างความสับสนในการพึ่งพาของทั้งสองอย่าง enterprise เนมสเปซและระบบนิเวศคริปโต/เดไฟ

แคมเปญที่โดดเด่นที่สุดที่ได้รับการบันทึกไว้ในเดือนนี้ ได้แก่:

• bingo-ai โปรเจกต์ดังกล่าวปรากฏขึ้นอีกครั้งบน PyPI ถึงสองครั้ง โดยมีการปล่อยเวอร์ชันใหม่กว่า 150 เวอร์ชันในสองช่วง (วันที่ 13 กรกฎาคม และ 21 กรกฎาคม) ซึ่งเป็นการยืนยันว่านี่เป็นการดำเนินการต่อเนื่อง ไม่ใช่เหตุการณ์ครั้งเดียว
• zevairouter กลายเป็นแคมเปญแพ็กเกจเดียวที่ใหญ่ที่สุดในเดือนกรกฎาคม โดยมีการเผยแพร่มากกว่า 65 เวอร์ชันบน npm อย่างต่อเนื่องตั้งแต่วันที่ 25-28 กรกฎาคม
• gcli-controlRAT ของ Windows เราได้ทำการวิเคราะห์รายละเอียดอย่างครบถ้วน ซึ่งกำหนดเส้นทาง C2 ผ่าน npoint.io โดยได้รับการอัปเกรดจากเวอร์ชัน 0.1.0 เป็น 0.13.0 ในช่วงเวลาสามสัปดาห์ที่แตกต่างกัน
• @szc-ft/mcp-szcd-clientแพ็คเกจที่อยู่เบื้องหลัง สกิลลีคบทความของเราเกี่ยวกับการถอดรหัสข้อมูลประจำตัวที่มาพร้อมกับทักษะ MCP ได้รับการยืนยันเมื่อวันที่ 2 กรกฎาคม
• สัปดาห์ของวันที่ 7 กรกฎาคม เป็นสัปดาห์ที่มีการใช้งานเครื่องมือ AI มากที่สุดในเดือนนี้: mcp-server-pg, anthropic-toolkit, openai-agents-helpers, ollama-helpersและ @langgraphjs/toolkitโดยแอบอ้างเป็น MCP, Anthropic, OpenAI, Ollama และ LangGraph
• กลุ่มมัลแวร์ที่ปลอมแปลงตัวตนเป็น PayPal จำนวน 17 แพ็กเกจ ได้ถูกเผยแพร่บน npm เมื่อวันที่ 27 กรกฎาคม โดยทั้งหมดเป็นเวอร์ชัน 28.0.0 ภายในเวลาไม่กี่นาที
• @wagni_botโดยมีแพ็กเกจ npm ประมาณ 60 แพ็กเกจที่เลียนแบบ SDK ของกระเป๋าเงินคริปโต (Ethereum, Solana, Binance และอื่นๆ) ซึ่งทั้งหมดถูกเผยแพร่ในวันเดียวคือวันที่ 10 กรกฎาคม
• มีการค้นพบส่วนขยาย VS Code ปลอมมากกว่าสิบรายการบน OpenVSX ซึ่งเป็นการยืนยันว่าผู้โจมตีได้ขยายขอบเขตการโจมตีจากเพียงแค่รีจิสทรีแพ็กเกจไปยังตัว IDE เองแล้ว

รูปแบบที่โดดเด่นของเดือนกรกฎาคมคือ การโจมตีมุ่งเป้าไปที่เอเจนต์ AI และเครื่องมืออัตโนมัติที่ใช้ติดตั้งแพ็กเกจโดยไม่มีผู้ตรวจสอบที่เป็นมนุษย์มากขึ้นเรื่อย ๆ โดยมีอัตราการเผยแพร่ที่สูงกว่าการตรวจสอบด้วยตนเอง

ด้านล่างนี้คือบทสรุปของสิ่งที่เราค้นพบ คุณสามารถดูข้อมูลทั้งหมดของทั้งห้าสัปดาห์โดยละเอียดได้ที่ [ลิงก์เว็บไซต์] ดัชนีสรุปโค้ดที่เป็นอันตราย.