Cada semana, nuestros sistemas de detección de malware analizan miles de paquetes nuevos y actualizados en registros públicos como npm, PyPI y OpenVSX. Lo confirmamos. 53 paquetes maliciosos entre el 21 y el 28 de agosto, En 2026, encabezada por la continuación de la campaña de suplantación de identidad de Baileys señalada la semana pasada, un grupo de siete paquetes de comercio electrónico con versiones idénticas publicados en un solo día, y una ola de paquetes con temática de autenticación (TOTP, 2FA, OTP) distribuidos en cinco variantes de nombres diferentes.
La suplantación de identidad de Baileys continuó bajo @vanzxy/baileysCon siete nuevas versiones (de la 1.4.3 a la 1.4.9) confirmadas entre el 22 y el 23 de agosto, se observa el mismo patrón de iteración rápida que la semana anterior.
Un grupo de siete paquetes (sm-billing-form, sm-cart, sm-payment, sm-checkout, sm-session, sm-admin, sm-apikey-model) fueron todos publicados en la misma versión 99.0.1 El 24 de agosto, se detectó un número de versión compartido inusual entre nombres de paquetes supuestamente independientes y relacionados con el comercio electrónico.
También vale la pena señalar: una variedad de nombres de paquetes relacionados con la autenticación, totp-utils, Secreto-key-totp, Secretokey-2fa, Secretokey2fa, y 2fa-Secretokey, aparecieron a lo largo de la semana bajo diferentes convenciones de nombres pero con un tema compartido, junto con auth-otp, que publicó cinco versiones en un solo día (24 de agosto).
Esta instantánea semanal es parte de nuestro trabajo continuo Resumen de código maliciosodonde validamos nuevas amenazas para ayudar a los equipos de DevSecOps a proteger sus pipelines antes de que se produzcan daños.
| Ecosistema | PREMIUM | Fecha |
|---|---|---|
| npm | totp-utils:1.4.3 | 21 de agosto de 2026 |
| npm | totp-utils:1.4.4 | 21 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.3 | 22 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.4 | 22 de agosto de 2026 |
| npm | totp-utils:1.4.5 | 23 de agosto de 2026 |
| npm | totp-utils:1.4.8 | 23 de agosto de 2026 |
| npm | totp-utils:1.4.7 | 23 de agosto de 2026 |
| npm | totp-utils:1.4.6 | 23 de agosto de 2026 |
| npm | totp-utils:1.4.9 | 23 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.5 | 23 de agosto de 2026 |
| pipi | kisama:0.4.6 | 23 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.6 | 23 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.7 | 23 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.8 | 23 de agosto de 2026 |
| npm | @vanzxy/baileys:1.4.9 | 23 de agosto de 2026 |
| pipi | mlflow-otel-instrumentor:1.1.0 | 23 de agosto de 2026 |
| npm | Secreto-key-totp:1.5.1 | 23 de agosto de 2026 |
| pipi | envprovision:1.4.0 | 23 de agosto de 2026 |
| pipi | envprovision:1.3.0 | 23 de agosto de 2026 |
| npm | formulario de facturación SM: 99.0.1 | 24 de agosto de 2026 |
| npm | sm-cart:99.0.1 | 24 de agosto de 2026 |
| npm | sm-payment:99.0.1 | 24 de agosto de 2026 |
| npm | sm-checkout:99.0.1 | 24 de agosto de 2026 |
| npm | sesión SM:99.0.1 | 24 de agosto de 2026 |
| npm | sm-admin:99.0.1 | 24 de agosto de 2026 |
| npm | sm-apikey-model:99.0.1 | 24 de agosto de 2026 |
| npm | punto:1.0.0 | 24 de agosto de 2026 |
| npm | openai-pr-reviewer:1.0.0 | 24 de agosto de 2026 |
| npm | remove-bg-serverless-azure:1.0.1 | 24 de agosto de 2026 |
| npm | auth-otp:1.0.3 | 24 de agosto de 2026 |
| npm | auth-otp:1.0.2 | 24 de agosto de 2026 |
| npm | auth-otp:1.0.1 | 24 de agosto de 2026 |
| npm | auth-otp:1.0.4 | 24 de agosto de 2026 |
| npm | auth-otp:1.0.5 | 24 de agosto de 2026 |
| npm | Secretokey-2fa:1.0.1 | 24 de agosto de 2026 |
| pipi | minecraft-ytreceiver:0.1.0 | 25 de agosto de 2026 |
| pipi | minecraft-ytreceiver:0.2.0 | 25 de agosto de 2026 |
| pipi | minecraft-ytreceiver:0.4.0 | 25 de agosto de 2026 |
| pipi | minecraft-ytreceiver:0.3.0 | 25 de agosto de 2026 |
| pipi | minecraft-ytreceiver:0.5.0 | 25 de agosto de 2026 |
| npm | moidevz:1.0.0 | 26 de agosto de 2026 |
| npm | nube-baileys:1.1.36 | 26 de agosto de 2026 |
| npm | zenntechinc-cli:1.6.6 | 26 de agosto de 2026 |
| npm | zenntechinc-cli:1.6.4 | 26 de agosto de 2026 |
| npm | mt-ts-serverless-starter:1.0.1 | 26 de agosto de 2026 |
| npm | acción-pulpo:1.0.1 | 26 de agosto de 2026 |
| npm | Secretokey2fa:1.0.1 | 26 de agosto de 2026 |
| npm | moideva:1.0.0 | 27 de agosto de 2026 |
| npm | vs-modules:1.2.2 | 27 de agosto de 2026 |
| npm | rn-push-provisioning:99.0.1 | 27 de agosto de 2026 |
| npm | 2fa-Secretokey:1.0.5 | 28 de agosto de 2026 |
| npm | 2fa-Secretokey:1.0.6 | 28 de agosto de 2026 |
| npm | 2fa-Secretokey:1.0.7 | 28 de agosto de 2026 |
Misma versión, siete nombres: 53 paquetes maliciosos esta semana.
El resumen de esta semana muestra la misma presión desde dos ángulos diferentes: una campaña que sigue utilizando un alias antiguo y un nuevo grupo que se esconde tras un detalle común e inusual.
La campaña de suplantación de identidad de Baileys, denunciada la semana pasada, no ha cesado. @vanzxy/baileys Publicó siete nuevas versiones (de la 1.4.3 a la 1.4.9) entre el 22 y el 23 de agosto, siguiendo el mismo patrón de versiones ascendentes observado la semana anterior bajo un alias diferente, lo que concuerda con la hipótesis de que el atacante ajustó el nombre del paquete en lugar de abandonar el intento tras ser detectado.
Un grupo separado se delató a través de números de versión en lugar de nombres. Siete paquetes con marca de comercio electrónico (sm-billing-form, sm-cart, sm-payment, sm-checkout, sm-session, sm-admin, sm-apikey-model) todos enviados bajo la misma versión 99.0.1 El 24 de agosto, una coincidencia inusual entre proyectos supuestamente independientes que apunta a un actor detrás de los siete. Una ola separada de paquetes con temática de autenticación, totp-utils, Secreto-key-totp, Secretokey-2fa, Secretokey2fa, y 2fa-Secretokey, difundió el mismo tema a través de cinco convenciones de nomenclatura diferentes durante la semana, con auth-otp Publicó cinco versiones en un solo día.
Alerta temprana de malware de Xygeni Supervisa npm, PyPI, Maven, OpenVSX y otros registros en tiempo real, detectando amenazas en el momento de su publicación, antes de que lleguen a una compilación y antes de que un agente de IA las instale de forma autónoma. Cuando siete paquetes con nombres aparentemente inconexos se publican con el mismo número de versión el mismo día, o una campaña reaparece con un nuevo alias una semana después de la anterior, la detección que solo realiza una comprobación ya está desfasada.
xygenis Open Source Security La plataforma brinda a los equipos de DevSecOps la detección y priorización en tiempo real necesarias para mantenerse a la vanguardia de la presión coordinada de la cadena de suministro, por lo que su pipelineMantén la limpieza sin ralentizar a tus equipos.
