Wie jede Woche scannen unsere Malware-Erkennungssysteme Tausende von neuen und aktualisierten Paketen in öffentlichen Registries. Wir haben zwischen dem 7. und 11. September 2026 13 schädliche Pakete bestätigt., während die Baileys-Imitationskampagne noch läuft, der erste Composer-Cluster, den wir gemeldet haben, und zwei weitere Fälle des Versionsinflationsmusters, das bei Abhängigkeitsverwirrung verwendet wird.
cloud-baileys Es wurden zwei weitere Versionen (1.1.39 und 1.1.40) veröffentlicht, womit eine Kampagne fortgesetzt wurde, die nun schon seit mehreren Wochen in Folge neue Identitäten hervorbringt. Composer erschien erstmals mit drei PHP-Paketen, die unter Namen zur Formularverarbeitung veröffentlicht wurden (slimfit/slimbase, slimfit/formbase, gcform/formhelper), ein Hinweis darauf, dass diese Operationen eher den Entwicklern als den Ökosystemen folgen. @umschool/platform wurde veröffentlicht bei 999.0.0, die für Abhängigkeitskonflikte typische, überhöhte Versionsnummer, und twilio-hackerone-poc-b8f21a wurden zwei Versionen unter einem Namen ausgeliefert, der als Machbarkeitsnachweis für den internen Paketnamensraum eines bestimmten Anbieters verstanden werden kann.
Ebenfalls erwähnenswert: darkglitch Auf PyPI wurden die Versionen 1.4.4 und 1.4.5 innerhalb weniger Minuten nacheinander veröffentlicht, und die Registry selbst bestätigte syswatch und samaki nach unserer vorherigen Erkennung.
Dieser wöchentliche Schnappschuss ist Teil unserer laufenden Übersicht über bösartigen Code, wo wir neue Bedrohungen validieren, um DevSecOps-Teams beim Schutz ihrer Systeme zu unterstützen. pipelines bevor Schaden entsteht.
| Ökosystem | Verpackung | Datum |
|---|---|---|
| Abonnieren | syswatch:1.0.0 | September 07, 2026 |
| Abonnieren | samaki:0.4.9 | September 07, 2026 |
| Komponist | slimfit/slimbase:2.0 | September 07, 2026 |
| Komponist | slimfit/formbase:1.2 | September 07, 2026 |
| Komponist | gcform/formhelper:1.2 | September 07, 2026 |
| npm | cloud-baileys:1.1.39 | September 07, 2026 |
| npm | alloy-graphql:1.0.1 | September 08, 2026 |
| npm | @umschool/platform:999.0.0 | September 10, 2026 |
| npm | twilio-hackerone-poc-b8f21a:1.0.0 | September 10, 2026 |
| npm | twilio-hackerone-poc-b8f21a:1.0.1 | September 10, 2026 |
| npm | cloud-baileys:1.1.40 | September 11, 2026 |
| Abonnieren | darkglitch:1.4.4 | September 11, 2026 |
| Abonnieren | darkglitch:1.4.5 | September 11, 2026 |
Drei Ökosysteme, ein Muster: 13 schädliche Pakete diese Woche
Der Wochenrückblick zeigt, dass bekannte Operationen ihre Reichweite vergrößern: eine Kampagne, die auch nach wochenlanger Erkennung noch immer publiziert, der erste Composer-Cluster, der hier auftaucht, und zwei Pakete, die eine aufgeblähte Versionsnummer verwenden, um ein Auflösungsrennen zu gewinnen.
cloud-baileys Die Versionen 1.1.39 und 1.1.40 wurden innerhalb weniger Tage ausgeliefert, was darauf hindeutet, dass ein Angreifer Abschaltungen als notwendiges Übel und nicht als Grund zum Aufhören betrachtet. Composer tauchte erstmals mit drei PHP-Paketen unter Namen auf, die auf Formularverarbeitung hindeuteten (slimfit/slimbase, slimfit/formbase, gcform/formhelper), eine Erinnerung daran, dass diese Operationen den Entwicklern und nicht den Ökosystemen folgen. Und @umschool/platform wurde veröffentlicht bei 999.0.0Die aufgeblähte Version existiert nur aus einem Grund: um das interne Paket, das Ihre Teams tatsächlich geschrieben haben, zu übertrumpfen.
Xygeni Frühwarnung vor Malware Das System überwacht npm, PyPI, Maven, Composer, OpenVSX und andere Registries in Echtzeit und kennzeichnet Bedrohungen bereits bei der Veröffentlichung, bevor sie in einen Build gelangen und bevor ein KI-Agent sie selbstständig installiert. Wenn eine Kampagne Woche für Woche wiederkehrt, ist eine Erkennung, die nur einmal prüft, bereits im Rückstand.
Xygenis Open Source Security Die Plattform ermöglicht es DevSecOps-Teams, Bedrohungen in Echtzeit zu erkennen und zu priorisieren, um dem Druck koordinierter Lieferketten immer einen Schritt voraus zu sein.
