ملخص التعليمات البرمجية الضارة Xygeni 75

كل اسبوعتقوم أنظمة الكشف عن البرامج الضارة لدينا بفحص آلاف الحزم الجديدة والمحدثة عبر سجلات عامة مثل npm وPyPI. ولم يكن هذا الأسبوع استثناءً.

أكدنا وجود أكثر من 200 حزمة برمجية خبيثة بين 12 و19 يونيو 2026، معظمها على منصة npm، مع حالات إضافية على منصة PyPI. وقد ظهرت العديد منها في مجموعات منسقة، وتكررت إصدارات خبيثة نُشرت تحت نفس الأسماء أو عبر عائلات حزم برمجية وثيقة الصلة.

كانت القضية الأبرز هذا الأسبوع هي sensivity، مما أدى إلى تدفق أكثر من 70 إصدارًا مرقمًا عبر نطاق 2.5.x إلى npm، وهو ما تم تأكيده على مدار عدة أيام. وشملت التجمعات البارزة الأخرى موجة من @solana-labs استهداف برامج التزييف المطبعي لنظام سولانا البيئي (web3.js, web3-js, etherjs, spl-toke, ancor, web3js (عبر حملتين نشر منفصلتين في 7 و8 يونيو)، @nstrlabs عائلة (sdk, ixel, utils, shared-components, api-client, auth (هجوم التباس التبعية ضد مساحة اسم الحزمة الداخلية)، @klapp-login-platform مجموعة (native-sdk, oidc, routes (انتحال شخصية منصة مصادقة) internallib_v557 و internallib_v984 (إصدارات متعددة من برامج انتحال المكتبات الداخلية المشفرة)، pocteszep (تم نشر 6 إصدارات في 11 يونيو)، ومجموعة من أدوات التشفير وWeb3 بما في ذلك blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87و farming-tools-12. morningstar-design-system ظهرت الحزمة في ثلاثة إصدارات في 10 يونيو، منتحلةً شخصية نظام تصميم مالي معروف.

ابتداءً من 13 يونيو، تسارعت الوتيرة. houzidawang806 وقد ساهمت المجموعة وحدها في نشر أكثر من 25 إصدارًا في يوم واحد، وانضمت إليها إصدارات أخرى مماثلة. houzidawang807 و houzidawang808. metrics-pipeline-d8k2 أُعيد نشر الحزمة بشكل متواصل عبر 21 إصدارًا بين 15 و18 يونيو، في حملة تهرب مستمرة مصممة للبقاء متقدمًا على قوائم الحظر. friendly-greeter-demo استمرت الحزمة في الظهور مجددًا عبر الإصدارات المختلفة طوال الأسبوع. وظهرت محاولات جديدة لإرباك التبعيات تحت xy-shared, axl-ui, loadninja-shared, carousel-controller-mixin, token-prices-cron, hemi-supply-cron, portal-backend, vault-strategiesوغيرها الكثير - جميعها تحمل أرقام إصدارات مبالغ فيها في نطاق 999.x. مجموعة جديدة من أسماء الأدوات العامة ذات اللواحق السداسية العشرية العشوائية (color-utils-dee0, data-utils-d703, string-tools-be6c, type-check-816d, fmt-helpers-794b, metrics-probe-*ظهرت هذه البيانات في الفترة من 18 إلى 19 يونيو، بما يتوافق مع التسجيل الجماعي المُبرمج. واختتم الأسبوع بـ trimprompt, trimprompt-hub, claude-cupو web3-crypto-address-utils تم التأكيد في 19 يونيو. في PyPI، neuralbridge-sdk (خمسة إصدارات عبر 4.5.x–5.1.x)، deepstrain, teambot-ai, hello-test-s1و aiaddin-agent تم تأكيد ذلك على مدار الأسبوع.

لم تكن هذه حالات شاذة معزولة. ما برز هذا الأسبوع هو تركيز هجمات التباس التبعية على مساحات أسماء الحزم الداخلية، وحملات النشر المستمرة لعدة أيام المصممة لتجاوز عمليات الإزالة، والاستهداف المستمر لأدوات Web3 وDeFi (وهو نمط تسارع بشكل كبير في عام 2026)، والاستخدام المتزايد لأسماء الحزم العامة الشبيهة بالضوضاء والمصممة لتجنب الكشف عنها من خلال الاندماج في أشجار التبعية العادية.

تُعدّ هذه النظرة الأسبوعية الموجزة جزءًا من تقريرنا المستمر حول البرمجيات الخبيثة، حيث نتحقق من صحة التهديدات الجديدة ونقدم معلومات استخبارية قابلة للتنفيذ لمساعدة فرق DevSecOps على حماية أنظمتها. pipelineقبل وقوع الضرر. دعونا نحلل ما وجدناه هذا الأسبوع ولماذا هو مهم.