ملخص التعليمات البرمجية الضارة Xygeni 80

تقوم أنظمة الكشف عن البرامج الضارة لدينا أسبوعيًا بفحص آلاف الحزم الجديدة والمحدثة عبر سجلات عامة مثل npm وPyPI. ولم يكن هذا الأسبوع استثناءً. لقد تأكدنا 165 حزمة خبيثة بين 17 يوليو و24 يوليو 2026، عبر npm و PyPI، بقيادة حملة واحدة عالية السرعة والعديد من مجموعات انتحال الهوية الجديدة.

كان الحدث الأكبر هو bingo-ai على PyPI، مرة أخرى: تم تأكيد ما يقرب من 85 إصدارًا في نافذة مدتها 23 دقيقة في 21 يوليو، وهو نفس نمط النشر الآلي الذي أشرنا إليه في هذه الحزمة الأسبوع الماضي.

كما أكدنا استمرار النشاط من gcli-control على PyPI، وهي حزمة فريق البحث الخاص بنا تم عرضها بالتفصيل هذا الأسبوعبرنامج خبيث متطور يعمل على نظام ويندوز (يتضمن تسجيل ضغطات المفاتيح، والتقاط بيانات الكاميرا/الميكروفون، ومراقبة الحافظة، وسرقة بيانات اعتماد المتصفح، والبقاء في النظام) يوجه أوامره وتحكمه عبر npoint.io، وهي خدمة استضافة ملفات JSON مجانية، بدلاً من نطاق مملوك للمهاجم. تصاعدت وتيرة الهجوم الأولي (من الإصدار 0.1.0 إلى 0.7.1) إلى أقصى قدراته في غضون 13.5 ساعة تقريبًا يومي 21 و22 يوليو. ويُظهر ملخص هذا الأسبوع أن الحملة لم تتوقف عند هذا الحد، حيث تلتها خمسة إصدارات أخرى (من 0.8.0 إلى 0.12.0) بوتيرة أكثر ثباتًا حتى يومي 23 و24 يوليو.

كما أكدنا وجود مجموعة من تسع حزم لمحاكاة هوية Twilio على npm (twilio-serverless, twilio-functions, twilio-internal(وغيرها)، نُشرت جميعها في 21 يوليو بأرقام إصدارات مُضخّمة، وهو نمط كلاسيكي للارتباك في التبعيات. استهدفت مجموعة ثانية أدوات التشفير/التمويل اللامركزي على npm، وتضمنت تسع حزم بما في ذلك uniswap-sdk-v4, wagmi-reactو ethers-secure، نُشر في 23 يوليو.

أصغر حجماً ولكنه جدير بالذكر: تكرار تسمية "أداة تنسيق التاريخ" عبر ثلاث حملات منفصلة، ​​و n8n-nodes-pwnتم تأكيد حزمة عقدة الأتمتة التي تحمل اسمًا مثيرًا للريبة في 22 يوليو.

هذه اللقطة الأسبوعية هي جزء من عملنا المستمر ملخص التعليمات البرمجية الضارةحيث نقوم بالتحقق من صحة التهديدات الجديدة وتوفير معلومات استخباراتية قابلة للتنفيذ لمساعدة فرق DevSecOps على حماية أنظمتها pipelineقبل وقوع الضرر. دعونا نحلل ما وجدناه هذا الأسبوع ولماذا هو مهم.