Bản tóm tắt hàng tháng của Malicious Code Digest: Tháng 5

Chào mừng đến với ấn bản tháng 5 của Bản tóm tắt mã độc Xygeni. Tháng này, nhóm nghiên cứu bảo mật của chúng tôi tiếp tục theo dõi sự phát triển của các mối đe dọa trong chuỗi cung ứng phần mềm trên các kho gói công khai, công cụ dành cho nhà phát triển, quy trình làm việc hỗ trợ AI và các hệ thống hiện đại. CI/CD môi trường. Trong suốt tháng 5, Xygeni đã xác định và kiểm chứng hàng trăm gói phần mềm độc hại nhắm mục tiêu vào hệ sinh thái npm, PyPI, VS Code và OpenVSX.

Nhưng tháng Năm không chỉ là về số lượng. Đó cũng là tháng mà các tin tặc ngày càng thích nghi với môi trường phát triển dựa trên trí tuệ nhân tạo, các giả định về độ tin cậy của nhà phát triển và các hệ thống tự động hóa. pipelines.

Trong số những cuộc điều tra đáng chú ý nhất được nhóm bảo mật Xygeni công bố trong tháng này:

• JulesJackerMột chiến dịch phần mềm độc hại npm nhiều giai đoạn giả mạo tác nhân AI Jules của Google để đánh cắp kho lưu trữ và lạm dụng quyền truy cập. CI/CD môi trường, và thậm chí nhắm mục tiêu vào việc phân tích hộp cát. Chiến dịch này đã giới thiệu các trình tải được mã hóa, được bảo vệ bởi máy chủ, được tạo ra một cách giả mạo. google-labs-jules[bot] commitcác hoạt động như đánh cắp siêu dữ liệu đám mây và do thám Kubernetes nhằm vào chính cơ sở hạ tầng phân tích.
• PhantomBotMột chiến dịch npm độc hại lợi dụng ví giả, blockchain và công cụ Web3 để đánh cắp thông tin đăng nhập, xâm phạm môi trường phát triển và nhắm mục tiêu vào các quy trình làm việc liên quan đến tiền điện tử thông qua việc lạm dụng các thư viện phụ thuộc và phân phối mã độc theo từng giai đoạn.
• Một hệ sinh thái npm độc hại quy mô lớn đang lợi dụng các tiện ích TypeScript giả mạo, các gói phần mềm liên quan đến trí tuệ nhân tạo, việc mạo danh các công cụ nội bộ, thư viện giao diện người dùng, các công cụ hỗ trợ đám mây và các khung xây dựng để nhận dạng môi trường, đánh cắp thông tin đăng nhập, duy trì hoạt động và xâm phạm hệ thống của nhà phát triển.
• Các đợt tấn công liên tiếp vào các gói phần mềm độc hại lợi dụng sự nhầm lẫn về phụ thuộc, chiếm đoạt tên do lỗi chính tả, lạm dụng sau khi cài đặt, mạo danh công cụ AI, thổi phồng phiên bản và lạm dụng không gian tên lặp đi lặp lại được thiết kế để vượt qua các thuật toán phán đoán độ tin cậy của nhà phát triển và làm tổn hại đến hệ thống hiện đại. SDLC quy trình làm việc trước khi phát hiện.
• Việc phát hiện các chiến dịch phần mềm độc hại đa nền tảng như... @jaggle/resizeobserves Phần mềm chiếm quyền điều khiển clipboard, giả mạo một gói phần mềm hợp pháp trong khi triển khai cơ chế duy trì hoạt động dựa trên Python và thay thế clipboard bằng ví mã hóa trên các hệ thống Linux, macOS và Windows.

Trong suốt tháng, chúng tôi cũng nhận thấy sự hội tụ ngày càng tăng giữa các công cụ AI, hệ sinh thái mã nguồn mở và các cuộc tấn công chuỗi cung ứng phần mềm. Các tác nhân đe dọa ngày càng nhắm mục tiêu vào quy trình phát triển có hỗ trợ AI, môi trường tác nhân, trình đồng hành và các bản dựng dựa trên đám mây. pipelinenhư một phần của các hoạt động đánh cắp thông tin đăng nhập và xâm phạm kho lưu trữ quy mô lớn hơn.

Những cuộc tấn công này không còn là những trường hợp riêng lẻ của việc chiếm đoạt bản quyền do lỗi chính tả đơn thuần. Chúng bao gồm các chiến dịch xuất bản phối hợp, sao chép phiên bản tự động, đánh cắp mã thông báo đám mây, CI/CD các kỹ thuật lạm dụng, dàn dựng tải trọng mã hóa, né tránh môi trường sandbox và xâm nhập dai dẳng được thiết kế đặc biệt để hòa nhập vào hệ sinh thái nhà phát triển đáng tin cậy.

Bản cập nhật hàng tháng này là một phần trong sáng kiến ​​nghiên cứu liên tục về phần mềm độc hại và các mối đe dọa chuỗi cung ứng của Xygeni, trong đó nhóm của chúng tôi liên tục xác thực các gói phần mềm độc hại, điều tra các mô hình tấn công mới nổi và công bố thông tin tình báo hữu ích để giúp các nhóm bảo mật, bảo mật ứng dụng và vận hành hệ thống luôn đi trước các rủi ro chuỗi cung ứng đang phát triển.

Để hiểu rõ hơn về toàn bộ nội dung của mọi gói phần mềm độc hại, chiến dịch phần mềm độc hại và phân tích mối đe dọa được công bố trong tháng này, hãy xem toàn bộ Bản tóm tắt mã độc hại tháng 5 và các nghiên cứu liên quan từ Nhóm bảo mật Xygeni.