Croeso i Rhifyn mis Mehefin o'r Xygeni Malicious Code CrynodebY mis hwn, cadarnhaodd ein tîm ymchwil diogelwch fwy na 645 o becynnau maleisus ar draws npm, PyPI, ac (am y tro cyntaf) marchnad estyniadau VSCode.
Diffiniwyd mis Mehefin gan dair tuedd gydgyfeiriol: ymgyrchoedd parhaus i orlifo fersiynau a gynlluniwyd i oroesi rhestrau blocio, cyflymiad sydyn mewn ymosodiadau sy'n targedu offer AI a llifau gwaith datblygu asiantau, ac ymosodiadau dryswch dibyniaeth cydlynol yn erbyn gofodau enwau monorepo mewnol.
Ymhlith yr ymgyrchoedd mwyaf nodedig a ddogfennwyd y mis hwn:
- sensitifrwydd gorlifodd npm gyda dros 70 o fersiynau ar draws yr ystod 2.5.x, ymgyrch osgoi barhaus yn ailgyhoeddi'n barhaus i aros ar flaen y gad o ran tynnu i lawr.
- A ymgyrch teiposquat Solana dwy don (7–8 Mehefin) cyhoeddodd 15 pecyn yn dynwared
@solana-labsoffer ecosystem, gan dargedu datblygwyr Web3 a DeFi yn uniongyrchol. - houzidawang806 cyfrifwyd am dros 25 o fersiynau mewn un diwrnod (Mehefin 13), ynghyd â metrigau-pipeline-d8k2 ailgyhoeddwyd ar draws 21 fersiwn rhwng Mehefin 15–18.
- The Dryswch CryptoDAO cyhoeddodd yr ymgyrch (Mehefin 17) 11 pecyn yn fersiwn 99.99.99, pob un yn cario llwyth tâl ôl-osod union yr un fath CI/CD tocynnau, manylion mewngofnodi cwmwl, a chyfrinachau waled crypto.
- Wythnos Mehefin 20–26 a ddaeth â’r targedu offer AI mwyaf dwys y mis: cynorthwywyr-ollama (20 fersiwn), cynorthwywyr-asiantau-openai (23 fersiwn), monoclaude, cynorthwywyr-ai-sdk, a @langgraphjs/pecyn cymorth, i gyd wedi'u cadarnhau mewn un wythnos, gan dargedu'n uniongyrchol integreiddiadau Ollama, SDK asiantau OpenAI, LangGraph, a Claude API.
- Dau wedi'u cadarnhau estyniadau VSCode maleisus ymddangosodd y mis hwn, gan arwyddo bod ymosodwyr yn ehangu y tu hwnt i gofrestrfeydd pecynnau i'r amgylchedd datblygwyr ei hun.
Y patrwm diffiniol ym mis Mehefin: mae ymosodiadau'n symud i estyniadau IDE, offer asiant AI, a llif gwaith asiantaidd lle nad oes gan becyn maleisus sydd wedi'i osod yn ymreolaethol adolygydd dynol rhwng yr haint a'r gweithrediad.
Mae'r diweddariad misol hwn yn rhan o fenter ymchwil barhaus Xygeni i ddrwgwedd a bygythiadau'r gadwyn gyflenwi. I gael cyd-destun llawn ar draws pob pecyn maleisus a gadarnhawyd y mis hwn, archwiliwch y Crynodeb Cod Maleisus cyflawn ar gyfer mis Mehefin ac ymchwil gysylltiedig gan Dîm Diogelwch Xygeni.
Wythnos 4: Dros 201 o Becynnau wedi'u Darganfod
| ecosystem | pecyn | dyddiad |
|---|---|---|
| Mehefin 20, 2026 | ||
| npm | llwybrydd pan:5.0.2 + 30 fersiwn ar draws yr ystod 5.x–6.x tan 22 Mehefin — ymgyrch drechaf yr wythnos | Mehefin 20, 2026 |
| npm | trimprompt:1.0.5 + 4 fersiwn — parhad o'r wythnos flaenorol, yn dal yn weithredol | Mehefin 20, 2026 |
| npm | monoclaude:1.0.1 + 2 fersiwn — dynwared offer API Claude | Mehefin 20, 2026 |
| vscod | rhaglennu pâr-asiant-orbit-ar-gyfer-smalltalk:1.206.0 + 1 fersiwn — estyniad VSCode maleisus yn targedu datblygiad asiant | Mehefin 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Dynwared gofod enwau platfform cartref clyfar | Mehefin 20, 2026 |
| Mehefin 21, 2026 | ||
| npm | atlasora-shared:1.0.0 + 6 pecyn — dryswch dibyniaeth monorepo cydlynol: atlasora-api, -client, -sdk, -types, -utils, -config | Mehefin 21, 2026 |
| npm | post integreiddio:4.0.2 + 6 fersiwn — camsillafu bwriadol ymgyrch sy'n targedu offer integreiddio | Mehefin 21, 2026 |
| npm | llm-traces-app:1.0.1 Offer arsylwi LLM wedi'i dargedu | Mehefin 21, 2026 |
| pypi | d0rk3r-telemetreg:1.0.0 Pecyn telemetreg wedi'i gymysgu yn PyPI | Mehefin 21, 2026 |
| Mehefin 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 fersiwn — ymgyrch barhaus i orlifo fersiynau PyPI | Mehefin 22, 2026 |
| pypi | cais-cache-py:1.0.4 + 6 fersiwn — Llifogydd fersiynau PyPI | Mehefin 22, 2026 |
| pypi | corvinos:0.17.0 + 6 fersiwn — Ymgyrch gofrestru swmp PyPI | Mehefin 22, 2026 |
| Mehefin 23, 2026 | ||
| npm | web3-token-helper:1.1.1 + 2 fersiwn — targedu cyfleustodau tocynnau Web3 | Mehefin 23, 2026 |
| npm | monocroes:1.0.1 + 1 fersiwn — clwstwr enwi mono-* ochr yn ochr â monoclaude a monotacos | Mehefin 23, 2026 |
| Mehefin 24, 2026 | ||
| npm | cynorthwywyr-ollama:0.1.0 + 19 fersiwn — ymgyrch offer AI fwyaf y mis, yn targedu amser rhedeg AI lleol Ollama | Mehefin 24, 2026 |
| npm | cynorthwywyr-asiantau-openai:0.1.1 + 22 fersiwn — ymgyrch gydlynol sy'n targedu ecosystem SDK asiantau OpenAI | Mehefin 24, 2026 |
| Mehefin 25, 2026 | ||
| npm | cynorthwywyr-ai-sdk:1.4.3 Offeryn SDK AI wedi'i dargedu ochr yn ochr â @langgraphjs/toolkit:1.2.11 | Mehefin 25, 2026 |
| npm | cofrestru-mewnosodwr:99.99.99-poc3 + hs-locale-management — Dryswch ynghylch dibyniaeth gofod enwau mewnol HubSpot, mae ôl-ddodiad poc yn cadarnhau ymgyrch ymchwil weithredol | Mehefin 25, 2026 |
| Mehefin 26, 2026 | ||
| npm | pecyn-llinyn-hawdd:1.0.1 + 8 fersiwn gan gynnwys yr amrywiad easy-string-kit232 — cofrestru swmp o dan enw cyfleustodau generig | Mehefin 26, 2026 |
| npm | pecyn-anniogel-maleisus:1.0.0 + 5 fersiwn — pecyn wedi'i enwi'n benodol fel maleisus, llwyth tâl wedi'i gadarnhau, ymgyrch brawf neu gythrudd debygol | Mehefin 26, 2026 |
| npm | @vpms/system-ddylunio:1.1.2 + 2 fersiwn — dynwared gofod enwau system ddylunio | Mehefin 26, 2026 |
Wythnos 3: Dros 200 o Becynnau wedi'u Darganfod
| ecosystem | pecyn | dyddiad |
|---|---|---|
| Mehefin 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 fersiwn ar draws 1.0.x–1.2.x gan gynnwys y brodyr a'r chwiorydd houzidawang807 a houzidawang808 — ymgyrch amlwg yr wythnos | Mehefin 13, 2026 |
| npm | demo-cyfarchwr-cyfeillgar:1.0.2 + 4 fersiwn — ymgyrch barhaus yn ailymddangos dros sawl diwrnod | Mehefin 13, 2026 |
| npm | tsc-ai:1.2.0 clwstwr tsc-*: tsc-ai, tsc-mesh, tsc-lotl — dynwared gofod enwau offer CI | Mehefin 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 fersiwn ar draws 4.5.x–5.1.x — ymgyrch PyPI aml-ddydd barhaus | Mehefin 13, 2026 |
| Mehefin 15, 2026 | ||
| npm | prisiau-tocynnau-cron:999.0.0 + 6 pecyn — Clwstwr dryswch dibyniaeth seilwaith DeFi yn targedu offer cron a vault mewnol | Mehefin 15, 2026 |
| Mehefin 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pecyn — Benthyca DeFi a chlwstwr ecosystem Cardano: benthyca llif, benthyca syrffio, janus-*, flowcardano, flowdefi | Mehefin 16, 2026 |
| npm | metrigau-digwyddiad-q3x7:1.0.0 + 8 fersiwn — pecyn ôl-ddodiad hecsadrol generig yn cofrestru enwau ar thema monitro swmp | Mehefin 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pecyn — dynwared gofod enwau platfform data llywodraeth: ogd-analytics, ogd-platform, dms-backend | Mehefin 16, 2026 |
| Mehefin 17, 2026 | ||
| npm | contractau-cryptodao:99.99.99 + 10 pecyn — dryswch dibyniaeth CryptoDAO: craidd, sdk, bot, ffurfweddu, cyfleustodau, defnyddio, llofnodwr, cefndir, mathau | Mehefin 17, 2026 |
| pypi | teambot-ai:1.48.0 Offer asiant AI wedi'i dargedu yn PyPI | Mehefin 17, 2026 |
| Mehefin 18, 2026 | ||
| npm | metrigau-pipeline-d8k2:1.0.0 + 20 fersiwn ar draws Mehefin 18 — ymgyrch osgoi parhaus un diwrnod, gan ailgyhoeddi'n barhaus i oroesi rhestrau blocio | Mehefin 18, 2026 |
| npm | sganio yn unig: 0.4.5 + 6 fersiwn — ymgyrch gorlifo fersiynau | Mehefin 18, 2026 |
| npm | lliw-utils-dee0:1.0.0 + 5 pecyn ôl-ddodiad hecsadrol generig: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — cofrestru swmp wedi'i sgriptio | Mehefin 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Dynwared gofod enwau Azure ML | Mehefin 18, 2026 |
| Mehefin 19, 2026 | ||
| npm | trimprompt:1.0.2 + trimprompt-hub — offer peirianneg prydlon wedi'i dargedu | Mehefin 19, 2026 |
| npm | cwpan-claude:0.8.6 Dynwared offer API Claude | Mehefin 19, 2026 |
| pypi | asiant-aiaddin:0.1.0 Offer asiant AI wedi'i dargedu yn PyPI | Mehefin 19, 2026 |
| npm | web3-crypto-address-utils:0.1.0 Targedu cyfleustodau Web3 | Mehefin 19, 2026 |
Wythnos 2: Dros 135 o Becynnau wedi'u Darganfod
| ecosystem | pecyn | dyddiad |
|---|---|---|
| Mehefin 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 amrywiad — Ymgyrch typosquat ecosystem Solana, y don gyntaf | Mehefin 7, 2026 |
| npm | @jisan901/ffocwsteam:1.0.0 + 2 fersiwn | Mehefin 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Dryswch dibyniaeth, fersiwn chwyddedig | Mehefin 7, 2026 |
| Mehefin 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 amrywiad — Ymgyrch typosquat ecosystem Solana, ail don | Mehefin 8, 2026 |
| pypi | helixagentai:0.1.3 Offer asiant AI wedi'i dargedu yn PyPI | Mehefin 8, 2026 |
| Mehefin 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pecyn — dryswch dibyniaeth yn erbyn gofod enwau monorepo mewnol | Mehefin 9, 2026 |
| npm | @klapp-login-platfform/sdk-brodorol:99.0.0 + 9 pecyn — dynwared platfform dilysu ar draws sawl gofod enw klapp | Mehefin 9, 2026 |
| npm | cynorthwyydd-blockchain-0:1.0.0 + 7 pecyn — clwstwr cyfleustodau crypto/DeFi yn targedu datblygwyr Web3 | Mehefin 9, 2026 |
| npm | @card-pci-data/storfa:99.0.0 Gofod enwau data cerdyn talu wedi'i dargedu | Mehefin 9, 2026 |
| Mehefin 10, 2026 | ||
| npm | system-ddylunio-morningstar:99.0.0 + 2 fersiwn — dynwared system dylunio ariannol | Mehefin 10, 2026 |
| Mehefin 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 fersiwn wedi'u cyhoeddi ar yr un diwrnod | Mehefin 11, 2026 |
| npm | @coze-common/ardal-sgwrsio:99.1.1 Dynwared gofod enwau platfform sgwrsio AI | Mehefin 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 fersiwn — dynwared platfform negeseuon yn PyPI | Mehefin 11, 2026 |
| Mehefin 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 amrywiad ecto-* — clwstwr enwau wedi'i gymysgu | Mehefin 12, 2026 |
| npm | mewnollib_v984:1.0.3 + clwstwr internallib_v557 — 13 fersiwn o dwyllwyr llyfrgell fewnol | Mehefin 12, 2026 |
| npm | voyager-web:999.0.0 Dryswch dibyniaeth, fersiwn chwyddedig | Mehefin 12, 2026 |
| pypi | cdjeez:0.32.0 | Mehefin 12, 2026 |
Wythnos 1: Dros 118 o Becynnau wedi'u Darganfod
| ecosystem | pecyn | dyddiad |
|---|---|---|
| Mai 30, 2026 | ||
| npm | @cloudplatform-single-sba/gweinyddiaeth:99.99.100 Dryswch dibyniaeth, fersiwn chwyddedig | Mai 30, 2026 |
| vscod | rheolwr-xampp:5.1.3 Estyniad VSCode — dynwared offeryn datblygwr | Mai 30, 2026 |
| Mehefin 1, 2026 | ||
| npm | @tse-digital/craidd:99.0.0 Dryswch dibyniaeth — mae @telenor-se a @ownit hefyd yn taro | Mehefin 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 fersiwn, clwstwr gofod enwau CMS | Mehefin 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 fersiwn, rhifau fersiwn chwyddedig yn targedu manylion mewngofnodi AWS | Mehefin 1, 2026 |
| npm | dogfennau cleifion:75.0.0 Targed gofod enwau gofal iechyd | Mehefin 1, 2026 |
| npm | @emcd-vue/awdurdodiad:6.4.9 Dynwared gofod enwau cyfnewidfa crypto | Mehefin 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Mehefin 1, 2026 |
| Mehefin 2, 2026 | ||
| npm | sensitifrwydd: 2.5.8 + 70 fersiwn ar draws ystod 2.5.x, Mehefin 2–5 — ymgyrch drechaf y cyfnod | Mehefin 2, 2026 |
| npm | @langgraphjs/pecyn cymorth:1.2.10 Offeryn LangGraph wedi'i dargedu | Mehefin 2, 2026 |
| Mehefin 4, 2026 | ||
| npm | @sentry-browser-sdk/proffilio-node:1.0.1 + 2 fersiwn, dynwared gofod enwau Sentry | Mehefin 4, 2026 |
| npm | mewnollib_v346:1.0.3 + 2 fersiwn, twyllwr llyfrgell fewnol | Mehefin 4, 2026 |
| npm | cynorthwywyr-ai-sdk:0.2.1 + 7 fersiwn, yn targedu offer SDK AI | Mehefin 4, 2026 |
Stopiwch God Maleisus Cyn iddo Gyrraedd Eich Pipeline
Mae bygythiadau i'r gadwyn gyflenwi meddalwedd wedi mynd ymhell y tu hwnt i'r damcaniaeth. Mae ymosodiadau dryswch dibyniaeth, lladron credydau, meddalwedd faleisus wedi'i thargedu gan AI, ac offer datblygwyr gwenwynig yn taro timau go iawn mewn gwirionedd. SDLCbob wythnos.
Xygeni's canfod meddalwedd faleisus ac platfform diogelwch cadwyn gyflenwi yn rhoi'r gwelededd i sefydliadau i ddal dibyniaethau maleisus cyn iddynt weithredu ar beiriant datblygwr, mynd i mewn i system adeiladu, neu gyrraedd cynhyrchiad. Mae'r sylw'n cwmpasu npm, PyPI, VSCode, a thu hwnt, gan fonitro am batrymau cyhoeddi amheus, camddefnyddio gofod enwau, typosquatting, a thechnegau ymosod brodorol AI wrth iddynt ddod i'r amlwg.
Caiff pob canfyddiad ei flaenoriaethu'n awtomatig yn ôl ecsbloetiadwyedd, hygyrchedd ac effaith busnes, felly mae eich tîm yn canolbwyntio ar yr hyn sydd angen ei drwsio mewn gwirionedd, nid sŵn.
Boed yn becyn ffynhonnell agored maleisus, offeryn datblygwr sydd wedi'i beryglu, neu risg cod a gynhyrchwyd gan AI, mae Xygeni yn cadw timau diogelwch a pheirianneg un cam ar y blaen i dirwedd bygythiadau'r gadwyn gyflenwi.
Archwiliwch bob pecyn ac ymgyrch faleisus a ddilyswyd gan Dîm Diogelwch Xygeni yn y Crynodeb Cod Maleisus.
Cadwch yn ddiogel. Cadwch yn gyflym. Cadwch mewn rheolaeth gyda Xygeni.
