Compendio de códigos maliciosos de Xygeni 86

Cada semana, nuestros sistemas de detección de malware analizan miles de paquetes nuevos y actualizados en registros públicos como npm, PyPI y OpenVSX. Hemos confirmado 35 paquetes maliciosos entre el 28 de agosto y el 4 de septiembre., 2026, liderado por un grupo de catorce paquetes que suplantaban la infraestructura de pago brasileña publicados en un solo día, una continuación de la campaña de suplantación de Baileys bajo dos nuevos nombres, y un grupo coordinado de paquetes con temática de criptomonedas/blockchain que compartían un número de versión idéntico.

El grupo más grande de la semana se dirigió a lo que parece ser la infraestructura brasileña de fintech y verificación de crédito: catorce paquetes (grafeno-products, spc-grafeno, grafeno-client, grafeno-utils, grafeno-core, grafeno-logger, grafeno-config, grafeno-auth, grafeno-pix, spc-grafeno-login, spc_login, grafeno-payments, grafeno-webhook, grafeno-billing) fueron publicados todos el 29 de agosto, principalmente en la versión 1.0.0, en el que grafeno-products destacando en un inflado 999.0.1, el mismo patrón de inflación de versiones que se observó en el grupo de comercio electrónico de la semana pasada.

La campaña de suplantación de identidad de Baileys, detectada en semanas anteriores, continuó bajo dos nuevas identidades: @fyxzpediaa/baileys:8.1.0 el 28 de agosto y cloud-baileys, que lanzó dos versiones (1.1.37 y 1.1.38) a lo largo de la semana.

También vale la pena señalar: un grupo de cuatro paquetes bajo el @stellarshift alcance (token-units, evm-address-kit, abi-tools, chain-metadata), todos publicados el 2 de septiembre en la misma versión 1.0.3, nombres de herramientas de criptomonedas y blockchain que sean coherentes con la orientación a desarrolladores que trabajan en ese ámbito; y mcp-consultasdeveiculos-client, que lanzó tres versiones en un solo día (0.0.2, 0.1.0, 0.1.1 el 4 de septiembre), un paquete cliente MCP, el tipo de dependencia que un agente de IA tiene cada vez más probabilidades de incorporar por sí mismo.

Esta instantánea semanal es parte de nuestro trabajo continuo Resumen de código maliciosodonde validamos nuevas amenazas para ayudar a los equipos de DevSecOps a proteger sus pipelineantes de que se produzcan daños. Esta semana también publicamos Negocio arriesgado: Explicación de los paquetes npm que se autodestruyen, Vale la pena echar un vistazo si quieres saber más sobre cómo algunas de estas campañas borran sus huellas después de la instalación.