Xygeni Kwaadwillige Kode Digest 76

Elke week, ons wanware-opsporingstelsels skandeer duisende nuwe en opgedateerde pakkette oor openbare registers soos npm en PyPI. Hierdie week was geen uitsondering nie.

Ons het meer as 150 kwaadwillige pakkette tussen 20 en 26 Junie 2026 bevestig, oor npm, PyPI, en (vir die eerste keer hierdie week) die VSCode-uitbreidingsmark.

Die dominante veldtog was panrouter, wat npm oorstroom het met meer as 30 weergawes oor die 5.x- en 6.x-reekse tussen 20 en 22 Junie, 'n volgehoue, outomatiese publikasiegolf wat ontwerp is om blokkeringslyste te oorleef. Die trimprompt veldtog het van verlede week voortgeduur en weergawes 1.0.5 tot 1.0.17 bygevoeg. Die atlasora familie (sewe pakkette gelyktydig gepubliseer op 21 Junie) en apintergrationpost (sewe weergawes, 21–22 Junie) het dieselfde afhanklikheidsverwarrings-speelboek teen interne monorepo-naamruimtes gevolg.

Die belangrikste patroon hierdie week was die konsentrasie van aanvalle op KI-gereedskap. Die ollama-helpers en openai-agents-helpers groepe gekombineer vir meer as 35 weergawes wat op 24–25 Junie bevestig is, wat direk op pakkette gemik is wat in agentontwikkelingswerkvloeie gebruik word. monoclaude, ai-sdk-helpers, en @langgraphjs/toolkit het dieselfde patroon uitgebrei. Wanneer 'n KI-agent 'n kwaadwillige pakket outonoom installeer, is daar geen menslike hersiener tussen infeksie en uitvoering nie.

In PyPI, tm-ai (sewe weergawes), corvinos (sewe weergawes), request-cache-py (sewe weergawes), en neuralbridge-sdk (voortgesette veldtog van meer as een week) het oorheers. In VSCode, orbit-agentic-pair-programming-for-smalltalk is in twee weergawes bevestig, 'n teken dat aanvallers verder as pakketregisters na IDE-uitbreidingsmarkte uitbrei.

Hierdie weeklikse oorsig is deel van ons voortgesette Kwaadwillige Kode-oorsig, waar ons nuwe bedreigings valideer en bruikbare intelligensie verskaf om DevSecOps-spanne te help om hul pipelines voordat skade plaasvind. Kom ons kyk na wat ons hierdie week gevind het en hoekom dit saak maak.