惡意程式碼摘要月度回顧：五月

歡迎閱讀五月的 Xygeni 惡意程式碼摘要。本月，我們的安全研究團隊繼續追蹤軟體供應鏈威脅的演變，涵蓋公共軟體包註冊表、開發者工具、AI 輔助工作流程以及現代技術。 CI/CD 在整個五月份，Xygeni 識別並驗證了數百個針對 npm、PyPI、VS Code 和 OpenVSX 生態系統的惡意軟體套件。

但五月的重點不僅僅是攻擊數量。在這個月裡，攻擊者也越來越多地調整了他們的攻擊手法，以適應人工智慧原生開發環境、開發者信任假設以及自動化攻擊。 pipelines.

本月Xygeni安全團隊發布的幾項最值得關注的調查報告包括：

• JulesJacker這是一起多階段的 npm 惡意軟體攻擊活動，攻擊者冒充谷歌的 Jules 人工智慧代理來竊取程式碼庫並濫用其功能。 CI/CD 甚至針對沙箱環境進行分析。該活動引入了加密的主機門控載入器，偽造了 google-labs-jules[bot] commits、雲端元資料竊取以及針對分析基礎設施本身的 Kubernetes 偵察。
• 幻影機器人這是一場惡意 npm 攻擊活動，利用虛假錢包、區塊鏈和 Web3 工具竊取憑證、破壞開發者環境，並透過依賴濫用和分階段有效載荷傳遞來攻擊與加密相關的工作流程。
• 一個大規模的惡意 npm 生態系統濫用偽造的 TypeScript 工具、AI 主題包、內部工具模仿、前端庫、雲端助理和建構器框架來識別環境、竊取憑證、部署持久化程式並破壞開發人員系統。
• 持續不斷的惡意軟體包利用依賴關係混亂、域名搶注、安裝後濫用、AI工具冒充、版本膨脹和反覆濫用命名空間等手段，旨在繞過開發者的信任機制並破壞現代系統。 SDLC 檢測前的工作流程。
• 跨平台惡意軟體攻擊活動的發現，例如 @jaggle/resizeobserves 剪貼簿劫持程序，偽裝成合法軟體包，在 Linux、macOS 和 Windows 系統上部署基於 Python 的持久化程序和加密錢包剪貼簿替換程序。

整個月，我們也觀察到人工智慧工具、開源生態系統和軟體供應鏈攻擊之間的整合日益加劇。威脅行為者越來越多地將目標對準人工智慧輔助開發工作流程、代理環境、副駕駛系統和雲端原生建置。 pipeline這是更廣泛的憑證竊取和儲存庫入侵行動的一部分。

這些攻擊不再是孤立的簡單網域搶注案例，而是涉及協同發布活動、自動化版本推播、雲端令牌竊取等。 CI/CD 濫用、加密有效載荷暫存、沙箱規避和持久性入侵技術，專門設計用於融入受信任的開發者生態系統。

本月更新是 Xygeni 持續進行的惡意軟體和供應鏈威脅研究計畫的一部分，我們的團隊不斷驗證惡意軟體包，調查新興的攻擊模式，並發布可操作的情報，以幫助安全、應用安全和 DevSecOps 團隊在不斷變化的供應鏈風險面前保持領先地位。

要全面了解本月發布的每個惡意軟體包、惡意軟體活動和威脅分析，請查看 Xygeni 安全團隊發布的完整 5 月份惡意程式碼摘要和相關研究。