Зловреден софтуер NPM днес продължава да се развива, като нападателите публикуват зловреден код, злонамерени npm пакети, и Злонамерени пакети на PyPI проектирани да се насочат към работни процеси за разработка, CI/CD pipelinesи екосистеми с отворен код. Дайджест на зловреден код е текущият изследователски доклад на Xygeni, който проследява и проверява истински злонамерени пакети в NPM, PyPI, VS кодекс, и OpenVSX, включително потвърдени задни врати, крадци на данни, полезни товари за извличане на идентификационни данни и автоматизирани кампании със зловреден софтуер със множество версии.
Нашият изследователски екип актуализира тази страница редовно с валидирани констатации, индикатори за компромис (МОК), поведенчески модели, и технически анализВ резултат на това, разработчиците, Екипи на AppSecи инженерите по сигурността могат да бъдат с крачка пред npm зловреден софтуер днес и нововъзникваща активност на злонамерени пакети, влияеща върху съвременните вериги за доставки на софтуер.
NPM Malware днес: Седмично обобщение 24–29 април 2026 г.
Изследователите потвърдиха 97 злонамерени пакета в публичните регистри през този период.
Наблюдения на набор от данни
- Повечето потвърдени пакети бяха публикувани през NPM
- Допълнителни засегнати случаи PyPI, OpenVSX, и композирам
- Многократно злонамерено публикуване в едни и същи семейства пакети и свързани имена
- Модели с висока или нетипична версия, като например 99.x, 99.9.x, и 1.0.x
- Силно използване на плащане и каса, enterpriseСтил, вътрешно уеб приложение, анализ, Фондация за потребителски интерфейс, инструмент за разработчици, с облачна тематика, и свързани с компонентите модели на именуване
- Множество координирани пакети от версии, предназначени да наподобяват легитимни актуализации на пакети
Месечен отчет за зловреден софтуер: Потвърдени злонамерени npm пакети през април 2026 г.
Добре дошли в най-новото издание на Xygeni Дайджест на зловреден код (месечно издание). В април 2026, потвърди нашият изследователски екип повече от 250 злонамерени пакета, предимно през NPM, с допълнителни случаи, засягащи PyPI, VS Code, OpenVSX и Composer.
Април не беше само за обем. Наред с това вълни на публикуване, задвижвани от автоматизация, агресивни версии на инфлационни кампании, клъстериране на семейства пакети, и въплъщение на вътрешен инструмент, наблюдавахме някои от най-забележителните модели за месеца в координираното публикуване на злонамерени материали в:
фалшиви вътрешни инструменти, пакети с AI тематика, модули за плащане и касови услуги, аналитични клиенти, frontend компоненти, помощни програми за разработчици, Kubernetes и облачни инструменти, разширения за VS Code и OpenVSX и надеждни имена на пакети, подобни на марки, предназначени да се слеят с реална доставка на софтуер. pipelines.
Това не бяха прости случаи на печатни грешки. В по-широк смисъл април набор от данни, наблюдавахме модели на злоупотреба с идентификационни данни, манипулиране на веригата за доставки, многократно повторно използване на пространство от имена, и координирано злонамерено публикуване проектиран да се слее с реални среди за разработчици и доставчици на софтуер pipelines.
В по-широкия набор от данни продължихме да наблюдаваме публикуване на множество версии чрез скриптове, завишени схеми за версиране, плащане- и enterprise-тематично именуване, Имена на пакети с AI и агентна тематика, SDK и frontend компоненти, въплъщаващи се в други системи, мимикрия на вътрешния инструменти класически тактики като объркване в зависимостта намлява изтичане на данни.
Този доклад е част от нашата текуща Дайджест на зловреден код, където валидираме нови заплахи и предоставяме действена интелигентност да помогне екипи за DevSecOps бъдете напред с риск във веригата за доставки на софтуер.
| Екосистема | Пакет | Дата |
|---|---|---|
| NPM | па-маркиран: 99.1.10 | Април 27, 2026 |
| pypi | moonbit-locale-compat:0.2.3 | Април 27, 2026 |
| NPM | @alfa.life.mapp/app.web:99.0.13 | Април 27, 2026 |
| NPM | @sbt_gitverse/analytics-client:99.0.1 | Април 27, 2026 |
| NPM | @frengki0707/google-cloud-clone:1.33.1 | Април 27, 2026 |
| NPM | @alfa.life.mapp/app.web:99.0.14 | Април 27, 2026 |
| NPM | @tochka-ui/foundation:99.0.2 | Април 27, 2026 |
| openvsx | arcane-spark/ubel:0.1.0 | Април 28, 2026 |
| NPM | @2011-08-19/n:99.9.9 | Април 28, 2026 |
| NPM | @frengki0707/google-cloud-clone:1.38.0 | Април 27, 2026 |
Как откриваме зловреден код в npm Malware и PyPI Malware
Xygeni използва многослойни техники за спиране на злонамерен код, преди той да се разпространи. На първо място, статичният анализ на кода открива модели на обфускация, скрити полезни товари и злоупотреба със скриптове. Освен това, инсталират се и поведенчески sandbox анализи. hooks, команди по време на изпълнение и трикове за постоянство. Освен това, машинното обучение идентифицира варианти на зловреден софтуер от типа zero-day npm и pypi, пропуснати от скенерите за сигнатури. И накрая, системата за ранно предупреждение наблюдава публичните хранилища в реално време, валидира откритията и незабавно предупреждава екипите на DevOps.
В резултат на това тази комбинация гарантира, че разработчиците получават бърза и приложима информация, интегрирана директно в CI/CD работни потоци.
Защо разработчиците трябва да се интересуват от злонамерени npm пакети
Съвременните заплахи рядко чакат изпълнение. Например, злонамерените npm пакети често се изпълняват по време на инсталиране, докато злонамерените pypi пакети крият кражба на токени или задни врати. Атакуващите:
- Преобразувайте частните хранилища на GitHub в публични, за да ги репликирате.
- Измъкнете идентификационни данни и тайни, използвайки кодирани полезни товари.
- Използвайте обфускирани JavaScript лоудъри за внедряване на ransomware или ботнет мрежи.
Всъщност, злонамерените пакети с отворен код са се увеличили със 156% за една година. Следователно, екипите, които разчитат само на забавени емисии или основни скенери, изостават.
Какво проследява този отчет за зловреден софтуер в npm и PyPI
Този дайджест е централният център за:
- Потвърдени злонамерени npm пакети
- Потвърдени злонамерени пакети на pypi
- Откриване на зловреден код, базирано на поведение
- Инциденти, потвърдени от регистъра
- Седмични и месечни обобщения на отчети за зловреден софтуер
- Исторически списък с промените на всички открития на npm malware и pypi malware
С други думи, тя предоставя единна отправна точка. Изследователският екип в Xygeni актуализира тази страница всяка седмица с връзки към пълни технически анализи и GitHub IOCs.
Как да се предпазим от злонамерени npm пакети и PyPI malware
Поради този нарастващ риск, организациите се нуждаят от повече от основни проверки на зависимостите. Силната защита срещу злонамерени npm пакети и pypi пакети изисква както превантивен контрол, така и прилагане на правилата по време на изпълнение:
Прилагане на инсталации само с Lockfile срещу злонамерени npm пакети
употреба npm ci or pip install --require-hashes in CI/CD.
Това гарантира, че се използва точното дърво на зависимостите, дефинирано в lockfiles. В резултат на това, атакуващите не могат да вмъкнат модифицирани или правописно грешни версии на злонамерени npm пакети.
Предварително сканиране за npm злонамерен софтуер и PyPI злонамерен софтуер
Интегрирайте механизма за ранно предупреждение на Xygeni, за да сканирате зловредния софтуер npm и pypi, преди пакетите да достигнат до вашата среда.
Освен това, откривайте подозрителни postinstall скриптове, обфускирани зареждащи програми или твърдо кодирани C2 URL адреси.
Guardrails да блокирате компилации със зловреден код
комплект guardrails да се прекратят автоматично компилациите, ако бъдат открити потвърдени злонамерени npm пакети или pypi злонамерени пакети.
Например, break компилациите се извършват на пакети с непубликувани поддържащи, модели на обфускация или IOC съвпадения. Следователно, злонамереният код никога не остава незабелязан.
Генериране и валидиране SBOMСрещу злонамерени npm пакети и PyPI Malware
Създаване на SBOMs (CycloneDX, SPDX) за всяка компилация.
След това сравнете с известни злонамерени npm пакети и pypi канали за злонамерен софтуер, за да проследите както директните, така и транзитивните зависимости.
Защита на идентификационни данни и токени от npm злонамерен софтуер и PyPI злонамерен софтуер
Много злонамерени npm пакети се опитват да четат .npmrc, .pypircили променливи на средата.
Следователно, изпълнявайте компилации в защитени контейнери с минимално разкрити секрети. Освен това използвайте мениджъри на секрети вместо променливи на средата, за да блокирате злоупотребата със зловреден код.
Следете промените в системния регистър и поддръжката в злонамерени npm пакети
Нападателите често отвличат изоставени проекти.
По-специално, внимавайте за внезапни смени на администраторите, необичайни скокове във версиите или прекомерни публикации в npm malware и pypi злонамерени пакети.
Обучение за разработчици за откриване на зловреден код в npm и PyPI
Научете екипите да разпознават червени флагове, като например:
- Имена на пакети с правописни грешки (
reqeustвместоrequest). - необикновен
installorprepareскриптове. - Наскоро създадени пакети с подозрително високи номера на версиите.
Преди всичко, тази осведоменост помага за ранното откриване на злонамерен код.
Откриване на аномалии по време на изпълнение за злонамерени npm пакети и PyPI malware
Дори ако зловредният софтуер заобикаля статичните проверки, откриването по време на изпълнение в CI/CD може да хване:
- Неочаквани мрежови връзки.
- Модификации на файловата система извън очакваните директории.
- Опити за постоянство в различните работни места.
И накрая, това гарантира, че заплахите от npm malware и pypi malware ще бъдат спрени дори след инсталирането.
Чрез комбиниране на тези контроли, екипите предотвратяват достигането на злонамерени npm пакети и pypi до производствената среда. pipelines.
Опитайте инструментите за откриване на зловреден софтуер на Xygeni
Ксигени доставя:
- Откриване на зловреден код в реално време, включително задни врати, шпионски софтуер и рансъмуер.
- За разлика от основните скенери, анализът в npm, PyPI, Maven, NuGet, RubyGems и други.
- Автоматично блокиране на компилациите, когато отчетът за злонамерен софтуер идентифицира риск.
- Анализи за експлоатационност, проверки на репутацията на поддържащите и откриване на аномалии.
Бъдете информирани
Нашият екип актуализира тази страница всяка седмица. За да получавате известия и подробни отчети:
- Абонирайте се за нашите Бюлетин
- Следвай ни @XygeniSecurity в LinkedIn
- Запазете тази страница в отметките си, за да следите най-новите npm зловреден софтуер намлява злонамерен софтуер pypi заплахи
