Wie jede Woche scannen unsere Malware-Erkennungssysteme Tausende von neuen und aktualisierten Paketen in öffentlichen Registries. Wir haben zwischen dem 18. und 25. September 2026 24 schädliche Paketversionen bestätigt.Alle diese Pakete sind auf npm verfügbar, wobei sechs fortlaufend nummerierte Pakete innerhalb von zwei Minuten veröffentlicht wurden, ein begrenzter Namensraum gleichzeitig von drei Seiten angegriffen wird und zwei Namen direkt auf ein internes Paket verweisen.
simple-date-formatter-new-11 - durch Konsolidierung, -16 Am 25. September zwischen 06:01 und 06:03 Uhr wurden sechs Pakete der Version 1.0.0 veröffentlicht, die sich nur durch die Zahl am Ende unterscheiden. Die Namensgebung ist der entscheidende Hinweis. Niemand, der einen Datumsformatierer iterativ weiterentwickelt, erreicht in weniger als zwei Minuten die Versionen elf bis sechzehn. Es handelt sich um eine Sequenz, die generiert wurde, um Namen zu belegen, und die schlichte, funktionale Gestaltung sorgt dafür, dass sie in einer Abhängigkeitsliste auf den ersten Blick auffällt.
siriusbeyond erschien in zwei Formen im Rahmen desselben Vorgangs: als nicht näher spezifiziertes Paket in Version 1.0.0 am 20. September, dann als @siriusbeyond/auth, @siriusbeyond/ui und @siriusbeyond/utilsAlle wurden am 24. September bei 99.0.0 gepinnt, zusammen mit @dbbhk/ui-components bei gleicher Version und im selben Batch. Die Abdeckung der bereichsbezogenen und nicht bereichsbezogenen Formen eines Namens beruht eher darauf, wie sich der Resolver des Ziels verhält, als darauf, welches Paket ein Entwickler verwendet.
Ebenfalls erwähnenswert: commerce-materials und byted-commerce-materials Die beiden Versionen wurden im Abstand von einer Minute veröffentlicht, beide mit der Versionsnummer 1.0.0. Die Kombination eines generischen Namens mit einem identischen, herstellerspezifischen Namen verdeutlicht die Form der Abhängigkeitsverwirrung, die entsteht, wenn der Angreifer die Existenz des internen Pakets kennt. Die Versionsinflation setzte sich die ganze Woche über fort. bulk-add-sdk bei 1.99.99, @alphaspace/core bei 99.0.1 und 99.0.2 sowie dem oben genannten Cluster 99.0.0. n8n-nodes-data-transformer-utils setzt die Serie von n8n-Knotenimitationen fort, die wir letzte Woche gemeldet haben, und my-auto-follow Die Versionen 1.0.6 und 1.0.7 wurden direkt nacheinander ausgeliefert.
Dieser wöchentliche Schnappschuss ist Teil unserer laufenden Übersicht über bösartigen Code, wo wir neue Bedrohungen validieren, um DevSecOps-Teams beim Schutz ihrer Systeme zu unterstützen. pipelines bevor Schaden entsteht.
Sechs in zwei Minuten: 24 schädliche Paketversionen diese Woche
Die Zusammenfassung dieser Woche ist kürzer und kompakter als die letzte: 24 bestätigte Versionen, alle auf npm, wobei sechs fortlaufend nummerierte Pakete innerhalb derselben zwei Minuten veröffentlicht wurden und ein einziger Name gleichzeitig in eingeschränkter und uneingeschränkter Form angegriffen wurde.
simple-date-formatter-new-11 - durch Konsolidierung, -16 Die Dateien wurden am 25. September zwischen 06:01 und 06:03 Uhr hochgeladen, alle mit der Versionsnummer 1.0.0, identisch bis auf die letzte Ziffer. Niemand erreicht Version sechzehn eines Datumsformatierers in zwei Minuten. Das ist die Berufsbezeichnung, verpackt in die langweiligste verfügbare Bezeichnung, damit sie in einer Abhängigkeitsliste überhaupt auffällt. siriusbeyond Die Operation verlief in die entgegengesetzte Richtung und umfasste beide Formen desselben Namens: ein nicht näher spezifiziertes Paket vom 20. September, dann @siriusbeyond/auth, /ui und /utils bei 99.0.0 vier Tage später, mit @dbbhk/ui-components im selben Batch. Auf beide Formen zu setzen, ist eine Wette auf den Resolver und nicht auf den Entwickler.
Und das Paar, das man am besten im Auge behält: commerce-materials und byted-commerce-materialsDie beiden Pakete wurden im Abstand von einer Minute in derselben Version veröffentlicht. Ein generischer Name neben einem identischen Paket mit Herstellerpräfix deutet auf Abhängigkeitsverwirrung hin, wenn der Angreifer bereits weiß, dass das interne Paket existiert. Die Versionsinflation lief im Hintergrund erneut ab. bulk-add-sdk bei 1.99.99 und @alphaspace/core bei 99.0.1 und 99.0.2.
Keiner dieser Namen hatte bei ihrer Ankunft eine Unterschrift. Sie waren neu, und genau darum geht es.
Xygeni Malware-Frühwarnung Das System überwacht npm, PyPI, Maven, Composer, OpenVSX und andere Registries in Echtzeit und kennzeichnet Bedrohungen bereits bei der Veröffentlichung, bevor sie in einen Build gelangen und bevor ein KI-Agent sie selbstständig installiert. Wenn innerhalb von zwei Minuten sechs Pakete auftauchen, ist die Erkennung, die auf eine Signatur wartet, nicht nur um Tage, sondern um den gesamten Angriff verzögert.
Xygenis Open Source Security Die Plattform ermöglicht es DevSecOps-Teams, Bedrohungen in Echtzeit zu erkennen und zu priorisieren, um dem Druck koordinierter Lieferketten immer einen Schritt voraus zu sein.
