谷歌通过恶意开源包检测支持 OpenSSF 包分析项目

Security-Icon-Microsoft-696x464.jpg.webp

Google 在开源软件方面有着悠久的历史……例如公司的 Android 移动平台。但是,开源存在固有的安全风险。事实上,Android 是每个人都可以使用的软件的一个很好的例子,可以被威胁参与者操纵。为了帮助解决开源软件的这个问题,Google 正在支持开源安全基金会 (OpenSSF) 的包分析项目

该公司表示,它将帮助 OpenSSF 扩展包分析项目,这将带来扫描开源包的能力。谷歌将允许将分析结果存储在其 BigQuery 完全托管的无服务器数据仓库中。

有了这种支持,如果恶意开源软件被上传到存储库,用户将收到警报。谷歌指出,该方法还将通过软件供应链提供更多关于安全的信息。

谷歌分析了 200 个在 PyPI 和 NPM 上上传的恶意包。您可以在此处查看结果,但 Google 会在博客文章中扩展详细信息:

“PyPI:discordcmd

这个 Python 包将攻击 Windows 上 Discord 的桌面客户端。它是通过发现对 raw.githubusercontent.com、Discord API 和 ipinfo.io 的异常请求而发现的。生的。github用户内容。com、Discord API 和 ipinfo.io。

NPM:@roku-web-core/ajax

在安装过程中,这个 NPM 包会泄露运行它的机器的详细信息,然后打开一个反向 shell,允许远程执行命令。”

持续风险

谷歌表示,由于缺乏复杂性,大多数恶意程序包来自安全研究人员。换句话说,研究人员正在调查恶意程序包,而不是使它们永久存在。

不过,该公司指出,必须改进审查存储库上的包的方法。谷歌呼吁建立一个报告和集中测试结果的开放标准。当然,这正是 OpenSSF 包分析项目旨在提供的内容。

未经允许不得转载:表盘吧 » 谷歌通过恶意开源包检测支持 OpenSSF 包分析项目