Zararli kod va zararli paketlar 2025-yil davomida ochiq kodli ekotizimlarga kirib borishda davom etdi. Xygeni tadqiqotchilari haftalik va oylik hisobotlar orqali tasdiqladilar 3,180 ta zararli paket, shu jumladan keng ko'lamli npm zararli dasturlari kampaniyalari avtomatlashtirilgan ko'p versiyali nashriyot, DevTools taqlidi va ta'minot zanjiri suiiste'molini nishonga olish orqali boshqariladi CI/CD pipelineva ishlab chiquvchi ish oqimlari.
Ushbu yillik xulosa barcha tasdiqlanganlarni birlashtiradi zararli paketlar 2025-yilda aniqlangan va dominant tahdid oilalari, tajovuzkorlarning xatti-harakatlari va ro'yxatga olish nazorati va an'anaviy xavfsizlik vositalarini chetlab o'tish uchun ishlatiladigan qochish usullarini ta'kidlaydi.
2025: Raqamlarda yil
- 3,180 ta tasdiqlangan zararli paketlar yil davomida
- Barqaror o'sish npm zararli dasturlar faoliyati
- Kuchli avtomatlashtirishga asoslangan nashriyot va takroriy oilaviy qayta yuklashlar
- Eng faol oylar: Oktyabr, noyabr, dekabr
- Tomonga siljish enterprise-style va DevTools taqlidi
Birgalikda, bu tendentsiyalar buni tasdiqlaydi Paket ekotizimlari orqali zararli kodlarni tarqatish doimiy, kengaytiriladigan va sanoatlashgan holga aylandi..
Oyma-oylik muhim voqealar
Yanvar/Mart
Dastlabki to'lqinlar zararli paketlar avtomatlashtirilgan nashriyot va qaramlik-chalkashlik uslubidagi yuklamalar tomonidan boshqariladi.
Aprel/iyun
Kengayishi typosquatting va versiya inflyatsiyasi zararli kod deyarli bir xil qonuniy paketlarning klonlari bilan.
Iyul/Sentyabr
Ayniqsa, pastroq ovoz, lekin yanada murakkabroq CI/CD-yo'naltirilgan npm zararli dasturi va telemetriya uslubidagi taqlid kutubxonalari.
Oktyabr/Dekabr — Eng yuqori faollik
Katta muvofiqlashtirilgan to'lqinlar:
- ko'p versiyali zararli paketlar
- Asboblar va tahlil qiluvchi mavzusidagi zararli dasturlar oilalari
- katta avtomatlashtirilgan versiya nasosi
- takrorlanuvchi npm zararli dasturlar klasterlari
2025-yilda kuzatilgan asosiy tahdid tendentsiyalari
Avtomatlashtirilgan ko'p versiyali nashriyot
2025-yil davomida tajovuzkorlar avtomatlashtirilgan ma'lumotlarga katta tayanishdi pipelineo'nlab ketma-ketliklarni yaratgan s zararli paket versiyalari ularning foydali yuklamalarida minimal o'zgarishlar bilan. Natijada, katta ko'p versiyali klasterlar yilning eng izchil xulq-atvor modellaridan biriga aylandi. E'tiborga molik zararli oilalar qatoriga quyidagilar kiradi ruxsat1x*, nol-operatsiyalar, plagin-senna, vitor-jsva @ikarem/telemetriya.
Amalda, ushbu strategiya uchta aniq maqsadga xizmat qildi:
birinchidan, evristik yoki naqshga asoslangan aniqlashdan qochish uchun;
ikkinchidan, takroriy versiyalar chiqarish orqali paketning ishonchliligini sun'iy ravishda oshirish;
va nihoyat, himoyachilarni chalg'itish va qo'lda ko'rib chiqish jarayonlarining samaradorligini pasaytirish.
Ichki va Enterprise Uskunalar
Bundan tashqari, ko'p zararli paketlar ataylab xususiy SDKlarni, administrator vositalarini, telemetriya kutubxonalarini taqlid qildi va CI/CD kengaytmalar. Bu nomlar haqiqiy va tanish ko'rinadiganligi sababli, ular osongina bir-biriga aralashib ketdi enterprise muhitlar va ishlab chiquvchi ish oqimlari.
Vakillik misollari quyidagilarni o'z ichiga oladi xususiy-ichki-SDK, baas-admin-sdk, stitch-UI-asboblar qutisiva paypal-skriptlar-server-utillariNatijada, bu tendentsiya aniq strategik o'zgarishni tasdiqlaydi: hujumchilar tobora ko'proq murosaga kelishga intilishadi. dasturchi va avtomatlashtirish muhitlari, oxirgi foydalanuvchilarni to'g'ridan-to'g'ri nishonga olish o'rniga.
Versiya inflyatsiyasi qochish taktikasi sifatida
Bundan tashqari, bir nechta bo'limlarda npm zararli dasturlar oilalari, hujumchilar bir necha bor zo'ravonlik qilishgan versiya inflyatsiyasi texnikasiBunga bo'rttirilgan nashr raqamlari, masalan, kiritilgan 99.x yoki 9999.x, tezkor incremental patch ketma-ketliklari va soxta "ichki nashr" versiyalash konventsiyalari. Aslida, maqsad chetlab o'tish edi obro'ga asoslangan ishonch modellari yetuklik, yosh yoki nashr tarixiga bog'liq.
Xavfsizlik va muhandislik guruhlari uchun oqibatlari
Birgalikda, bu xatti-harakatlar 2025 yil davomida ta'minot zanjiri xavfining tarkibiy o'zgarishini ko'rsatadi. Hujumlar hozir doimiy, avtomatlashtirilgan va operatsion, bu an'anaviy registr himoyasi endi o'z-o'zidan yetarli emasligini anglatadi. Bundan tashqari, zararli paketlar tobora ko'proq nishonga olinmoqda CI/CD ish oqimlari, yaratish muhitlari va ishlab chiquvchi vositalari, dastur ish vaqti qatlamlari o'rniga.
Shuning uchun samarali himoya quyidagilarning kombinatsiyasini talab qiladi doimiy monitoring, xulq-atvorga asoslangan aniqlashva kontekstga asoslangan xavfni baholashXuddi shunday, ta'mirlash ish jarayonlari to'g'ridan-to'g'ri ishlab chiqishga kiritilishi kerak. pipelineshunday qilib, tahdidlar muhit bo'ylab tarqalishdan oldin aniqlanadi va ularning oldini oladi.
npm zararli dasturlari va PyPI zararli dasturlarida zararli kodni qanday aniqlaymiz
Xygeni zararli kod tarqalishidan oldin uni to'xtatish uchun ko'p qatlamli usullardan foydalanadi. Avvalo, statik kod tahlili chalkashlik naqshlarini, yashirin yuklamalarni va skriptni suiiste'mol qilishni aniqlaydi. Bundan tashqari, xulq-atvor sinov muhiti tahlillari o'rnatishni amalga oshiradi hooks, ish vaqti buyruqlari va qat'iylik fokuslari. Bundan tashqari, mashinani o'rganishni aniqlash imzo skanerlari tomonidan o'tkazib yuborilgan nol kunlik npm zararli dasturlari va pypi zararli dasturlari variantlarini aniqlaydi. Nihoyat, Erta Ogohlantirish Tizimi ommaviy omborlarni real vaqt rejimida kuzatib boradi, topilmalarni tasdiqlaydi va DevOps guruhlarini darhol ogohlantiradi.
Natijada, bu kombinatsiya ishlab chiquvchilarga to'g'ridan-to'g'ri integratsiyalashgan tezkor va amaliy ma'lumotlarni olishni ta'minlaydi CI/CD Ish oqimlari.
Nima uchun ishlab chiquvchilar zararli npm paketlari haqida qayg'urishlari kerak
Zamonaviy tahdidlar kamdan-kam hollarda ish vaqtini kutadi. Masalan, zararli npm paketlari ko'pincha o'rnatish paytida ishga tushadi, pypi zararli paketlari esa tokenlarni eksfiltratsiya qilish yoki orqa eshiklarni yashiradi. Hujumchilar:
- Shaxsiy GitHub omborlarini ularni nusxalash uchun public ga o'zgartiring.
- Kodlangan yuklamalar yordamida hisob ma'lumotlari va sirlarni chiqarib tashlang.
- Ransomware yoki botnetlarni joylashtirish uchun chalkashtirilgan JavaScript yuklagichlaridan foydalaning.
Darhaqiqat, zararli ochiq kodli paketlar bir yil ichida 156% ga oshdi. Shuning uchun, faqat kechiktirilgan ma'lumotlarga yoki oddiy skanerlarga tayanadigan jamoalar orqada qolmoqda.
Ushbu zararli dastur hisoboti npm va PyPI da nimani kuzatadi
Ushbu dayjest quyidagilar uchun markaziy markaz hisoblanadi:
- Tasdiqlangan zararli npm paketlari
- Tasdiqlangan pypi zararli paketlari
- Zararli kodni xulq-atvorga asoslangan aniqlashlar
- Ro'yxatga olish organlari tomonidan tasdiqlangan hodisalar
- Haftalik va oylik zararli dasturlar haqida hisobot xulosalari
- Barcha npm zararli dasturlari va pypi zararli dasturlari topilmalarining tarixiy o'zgarishlar jurnali
Boshqacha aytganda, u bitta ma'lumotnoma nuqtasini taqdim etadi. Xygeni tadqiqot guruhi ushbu sahifani har hafta to'liq texnik tahlillar va GitHub IOClariga havolalar bilan yangilab boradi.
Zararli npm paketlari va PyPI zararli dasturlaridan qanday himoyalanish mumkin
Ushbu ortib borayotgan xavf tufayli tashkilotlarga oddiy qaramlik tekshiruvlaridan ko'proq narsa kerak. Zararli npm paketlari va pypi zararli paketlariga qarshi kuchli himoya ham profilaktik nazoratni, ham ish vaqtidagi majburiyatni talab qiladi:
Zararli npm paketlariga qarshi faqat Lockfile o'rnatmalarini amalga oshirish
foydalanish npm ci or pip install --require-hashes in CI/CD.
Bu lockfile'larda aniq belgilangan bog'liqlik daraxtidan foydalanishni ta'minlaydi. Natijada, tajovuzkorlar zararli npm paketlarining o'zgartirilgan yoki noto'g'ri yozilgan versiyalarini kirita olmaydilar.
npm zararli dasturlari va PyPI zararli dasturlarini oldindan o'rnatish orqali skanerlash
Paketlar muhitingizga yetib borishidan oldin npm zararli dasturlarini va pypi zararli dasturlarini skanerlash uchun Xygeni'ning erta ogohlantirish mexanizmini integratsiya qiling.
Bundan tashqari, shubhali narsalarni aniqlang postinstall skriptlar, chalkashtirilgan yuklovchilar yoki qattiq kodlangan C2 URL manzillari.
Guardrails Zararli kod yordamida tuzilmalarni bloklash
o'rnating guardrails tasdiqlangan zararli npm paketlari yoki pypi zararli paketlari aniqlansa, avtomatik ravishda tuzilmalarni ishdan chiqarish.
Masalan, break nashr qilinmagan texnik xizmat ko'rsatuvchilar, chalkashtirib yuborish naqshlari yoki IOC mosliklari bo'lgan paketlar asosida quriladi. Natijada, zararli kod hech qachon e'tibordan chetda qolmaydi.
Yarating va tasdiqlang SBOMZararli npm paketlari va PyPI zararli dasturlariga qarshi
yaratish SBOMhar bir yig'ilish uchun s (CycloneDX, SPDX).
Keyin, to'g'ridan-to'g'ri va tranzit bog'liqliklarni kuzatish uchun ma'lum zararli npm paketlari va pypi zararli dasturlari bilan taqqoslang.
npm zararli dasturlari va PyPI zararli dasturlaridan ishonchli ma'lumotlar va tokenlarni himoya qilish
Ko'pgina zararli npm paketlari o'qishga harakat qiladi .npmrc, .pypirc, yoki muhit o'zgaruvchilari.
Shuning uchun, minimal sirlar oshkor bo'lgan qattiqlashtirilgan konteynerlarda builds ni ishga tushiring. Bundan tashqari, zararli kodni suiiste'mol qilishni bloklash uchun muhit o'zgaruvchilari o'rniga sirlar menejerlaridan foydalaning.
Zararli npm paketlaridagi registr va boshqaruvchi o'zgarishlarni kuzatib boring
Hujumchilar ko'pincha tashlab ketilgan loyihalarni egallab olishadi.
Xususan, to'satdan texnik xizmat ko'rsatuvchi almashinuvlar, noodatiy versiya o'zgarishlari yoki npm zararli dasturlari va pypi zararli paketlarida haddan tashqari nashrlarga e'tibor bering.
npm va PyPI da zararli kodni aniqlash bo'yicha dasturchilar uchun trening
Jamoalarga quyidagi kabi xavfli bayroqlarni aniqlashni o'rgating:
- Paket nomlari xatolar bilan (
reqeustning o'rnigarequest). - noyob
installorprepareskriptlar. - Yaqinda shubhali darajada yuqori versiya raqamlariga ega paketlar yaratildi.
Eng muhimi, bu xabardorlik zararli kodni erta aniqlashga yordam beradi.
Zararli npm paketlari va PyPI zararli dasturlari uchun ish vaqti anomaliyasini aniqlash
Zararli dastur statik tekshiruvlarni chetlab o'tsa ham, ish vaqtini aniqlash CI/CD qo'lga olishi mumkin:
- Kutilmagan tarmoq ulanishlari.
- Kutilgan kataloglardan tashqarida fayl tizimidagi o'zgarishlar.
- Ish joylarida qat'iyatlilikka urinishlar.
Nihoyat, bu npm zararli dasturlari va pypi zararli dasturlari tahdidlarining o'rnatilgandan keyin ham to'xtatilishini ta'minlaydi.
Ushbu boshqaruv elementlarini birlashtirish orqali jamoalar zararli npm paketlari va pypi zararli paketlarining ishlab chiqarishga yetib borishining oldini oladi pipelines.
Xygeni'ning zararli dasturlarni aniqlash vositalarini sinab ko'ring
Xygeni quyidagilarni taqdim etadi:
- Zararli kodni, jumladan, orqa eshiklar, josuslik dasturlari va ransomware-ni real vaqt rejimida aniqlash.
- Asosiy skanerlardan farqli o'laroq, npm, PyPI, Maven, NuGet, RubyGems va boshqalar bo'yicha tahlil.
- Zararli dasturiy ta'minot hisobotida xavf aniqlanganda avtomatik ravishda blokirovka qilish.
- Foydalanishga oid tushunchalar, texnik xizmat ko'rsatuvchi obro'sini tekshirish va anomaliyalarni aniqlash.
Xabardor bo'ling
Jamoamiz ushbu sahifani har hafta yangilaydi. Ogohlantirishlar va batafsil hisobotlarni olish uchun:
- Bizga obuna bo'ling axborot byulletenlarini
- qiling @XygeniSecurity Linkedin-da
- Eng so'nggi yangiliklarni kuzatib borish uchun ushbu sahifani xatcho'plarga qo'shing npm zararli dasturi va pypi zararli dasturi tahdidlar
