Дайджест шкідливого коду Xygeni 73

Майже щотижня, наші системи виявлення шкідливого програмного забезпечення сканують тисячі нових та оновлених пакетів у публічних реєстрах, таких як npm та PyPI. Цей тиждень був дуже активним.

Ми підтвердили 198 шкідливих пакетів, переважно в npm, з додатковими випадками в розширеннях PyPI, OpenVSX, Composer та VS Code. Кілька з'являлися в скоординованих кластерах, з повторюваними шкідливими релізами, опублікованими під однаковими назвами або в тісно пов'язаних сімействах пакетів. Яскравим випадком був sensivity пакет, який затопив npm понад 60 версіями в діапазоні 2.5.x. Інші помітні кластери включали ai-sdk-helpers (8 версій, орієнтованих на розробників штучного інтелекту), @antoncallahan/aws-user-helper (7 версій, що видають себе за утиліту AWS), @apple-pay-trust та @google-pay-trust сім'ї (імітуючи модулі оплати), @frengki0707/google-cloud-clone (5 версій, що підробляють Google Cloud), та cms-storehub, cms-helpgit та cms-github (орієнтація на CMS) pipelines). Багато пакетів імітували модулі оплати та оформлення замовлення, enterprise та внутрішні веб-пакети, клієнти аналітики, основи інтерфейсу користувача, утиліти для розробників, дослідники компонентів, хмарні та Google-тематичні пакети, а також інші модулі, яким зазвичай довіряють у сучасних робочих процесах розробки.

Це не були поодинокі аномалії. Цього тижня впадали в око масштаби повторних публікацій в одних і тих самих сімействах пакетів, повторне використання шаблонів іменування та те, як шкідливі пакети маскувалися під легітимні залежності всередині реального програмного забезпечення. pipelines.

Цей щотижневий огляд є частиною нашого постійного огляду шкідливого коду, де ми перевіряємо нові загрози та надаємо практичну інформацію, щоб допомогти командам DevSecOps захистити свої pipelineдо того, як виникне пошкодження.

Давайте розглянемо, що ми знайшли цього тижня, і чому це важливо.