Hər həftə zərərli proqram aşkarlamalarımız sistemlər minlərlə yeni və ictimaiyyət arasında yenilənmiş paketlər npm, PyPI və OpenVSX kimi reyestrlər. 180 zərərli paketi təsdiqlədik 24 iyul - 30 iyul 2026-cı il tarixləri arasında rəhbərlik etmişdir bir yüksək sürətli versiyalaşdırma ilə kampaniya və genişmiqyaslı təqlid böyük ödənişləri hədəf alan klaster platform.
Ən böyük tək hadisə idi zevairouter npm-də: 55 versiya həftə ərzində təsdiqləndi (üstəgəl daha 10) yoldaşından zevairouter-cli), eyni yüksək tezlikli avtomatik nəşr ötən həftənin arxasındakı model bingo-ai kampaniyası. gcli-control PyPI-də, SİÇOVUL keçən həftə profilimizi hazırladıq, əlavə edərək dırmaşmağa davam etdi daha beş versiya (0.12.1 0.13.0-dan sonra).
Həftənin ən böyük təqlid qrupu iyul ayında npm-də baş verdi 27: Daxili təqlid edən 17 paket PayPal xidmət adları (identityauthorizationserv, merchantprefsservice-paypal, xo-member-componentsvə başqaları), hamısı 28.0.0 versiyasında dərc edilib eyni bir neçə dəqiqə, klassik asılılıq-qarışıqlıq nümunəsi. A 12 saxta VS Kodunun ayrı bir klasteri OpenVSX-də uzantılar ortaya çıxdı, kimi real geliştirici alətlərini təqlid etmək vscode-helm və vscode-dbt.
Kiçik lakin diqqətəlayiqdir: bir 14 ədədlik paket “markscan”, “akrai” və digər elementlərin çoxluğu “iphouse”a bənzəyənlər təsdiqləndi tək 4 dəqiqəlik 28 iyulda pəncərə.
Bu həftəlik anlıq görüntü bizim bir hissəmizdir davam edən Zərərli Kod Xülasəsi, haradayıq yeni təhdidləri təsdiqləyin və təmin edin kömək etmək üçün praktik kəşfiyyat DevSecOps komandaları özlərini qoruyurlar pipelinezərərdən əvvəl s Baş verir.
*Əgər qaçırmısınızsa: keçən həftə də bizdə problemlər yarandı Dizayn tərəfindən yaradılan fırıldaqçı, süni intellekt modelinin tamamilə öz təşəbbüsü ilə başqa bir şirkətə haker hücumu etdiyi ilk sənədləşdirilmiş hadisə, zərərli paket və insan hücumu olmadan.
Qeydiyyat Heç Vaxt Yatmır: Bu Həftə 180+ Zərərli Paket
Bu həftənin daycesti eyni trayektoriyanı əks etdirir: hücumçular reyestrlərin silməsindən daha sürətli və həftəlik skanlamanın tuta biləcəyindən daha sürətli dərc edirlər. Tək bir npm paketi, zevairouterhəftə ərzində bir versiyadan 55+ təsdiqlənmiş versiyaya keçdi, heç bir əl ilə nəzərdən keçirmə prosesinin çata bilmədiyi eyni avtomatlaşdırılmış nəşr sürəti, ona müşayiət edən versiyanın daha 10 versiyası da qoşuldu. zevairouter-cliBu arada, daxili PayPal xidmət adlarını təqlid edən 17 paketin tək bir koordinasiyalı şəkildə buraxılması tamamilə fərqli bir nümunə göstərir: bir paketdən həcm deyil, 28.0.0 versiyasında sinxronlaşdırılmış, çoxpaketli buraxılış, dəqiqələr ərzində vaxtlandırılmış, hər kəsin fərqinə varmadan asılılıq-qarışıqlıq yarışında qalib gəlmək üçün hazırlanmışdır. OpenVSX-də 12 paketlik saxta VS Kod uzantıları dalğası təzyiqin yalnız npm və PyPI ilə məhdudlaşmadığını göstərir; bu, geliştiricinin alətlər zəncirinə toxunduğu hər bir qeydə yayılır.
Xygeni Erkən Zərərli Proqram Xəbərdarlığı npm, PyPI, OpenVSX və digər reyestrləri real vaxt rejimində izləyir, təhlükələri dərc edildiyi anda, bir quruluşa çatmazdan əvvəl, süni intellekt agenti onları avtonom şəkildə quraşdırmazdan əvvəl və asılılıq qarışıqlığı paketi və ya saxta genişləndirmənin icrası şansı əldə etməzdən əvvəl işarələyir. zevairouter Bir həftə ərzində onlarla versiya göndərir və ya bir-birinə bənzər 17 paket bir-birindən dəqiqələr ərzində düşür, fakt aşkar edildikdən sonra aşkarlama artıq çox gec olur.
Xygeni's Open Source Security platforma DevSecOps komandalarına koordinasiyalı təchizat zəncirindəki təzyiqdən irəlidə qalmaq üçün lazım olan real vaxt aşkarlama və prioritetləşdirmə imkanı verir, beləliklə sizin pipelineKomandalarınızı yavaşlatmadan təmiz qalın.
