Compendio de códigos maliciosos de Xygeni 78

Cada semanaNuestros sistemas de detección de malware analizan miles de paquetes nuevos y actualizados en registros públicos como npm y PyPI. Esta semana no fue la excepción.

Hemos confirmado más de 200 paquetes maliciosos entre el 4 y el 10 de julio de 2026 en npm y PyPI, con varias campañas que continúan desde semanas anteriores y la aparición de nueva actividad significativa.

La mayor campaña nueva de esta semana provino de la @wagni_bot alcance, que publicó docenas de paquetes suplantando SDK y agentes para las principales plataformas de criptomonedas y DeFi, incluidas Polymarket, Hyperliquid, MetaMask (apropiado como metemask-sdk), OpenSea, Solana, Jupiter, Orca, Pump.fun, Binance y Meteora. Las versiones aumentaron rápidamente (de 1.0.0 a 1.2.0) en casi 30 nombres de paquetes distintos en menos de tres horas el 10 de julio, una escala consistente con la publicación automatizada y basada en plantillas en lugar de campañas manuales.

El mcp-server-pg El clúster confirmó más de 20 versiones solo el 7 de julio, dirigidas a desarrolladores que buscan una integración de servidor MCP de Postgres. hello244a y debugcli Cada familia publicó un flujo constante de versiones incrementales a lo largo de la semana, continuando con el patrón de paquetes desechables y de rápida actualización diseñados para adelantarse a las eliminaciones.

Dos campañas que ya hemos cubierto en informes específicos continuaron directamente en este período. forge-jsxy El ladrón de información resurgió de nuevo bajo zredis-typed:1.0.127 y pinokio-redis:1.0.127 (7 de julio), el cuarto y quinto cambio de nombre de la misma cadena de herramientas que detallamos en nuestro Análisis de forge-jsxy. Por separado, confirmamos las primeras versiones de moon-uv y my-magic-uv-helper en PyPI (9 de julio), falso uv Paquetes auxiliares que instalan un servidor JupyterLab sin contraseña y lo exponen a Internet, la campaña que seguimos como FauxUV.

El patrón de suplantación de identidad mediante herramientas de IA de semanas anteriores también continuó, con anthropic-toolkit, ai-sdk-helpers, openai-agents-helpers, @langgraphjs/toolkit, y ollama-helpers todos los envíos de versiones incrementales el 7 de julio, junto con el nolimit-agent campaña, que impulsó cuatro versiones más (1.0.327 a 1.0.336) extendiendo el marco de phishing de código de dispositivo de Microsoft 365 documentado en nuestro Informe de DeviceDoor.

Esta instantánea semanal es parte de nuestro trabajo continuo Resumen de código malicioso, donde validamos nuevas amenazas y brindamos inteligencia procesable para ayudar a los equipos de DevSecOps a proteger sus pipelineantes de que se produzcan daños. Analicemos lo que descubrimos esta semana y por qué es importante.