Como cada semana, nuestros sistemas de detección de malware analizan miles de paquetes nuevos y actualizados en los registros públicos. Hemos confirmado 13 paquetes maliciosos entre el 7 y el 11 de septiembre de 2026., con la campaña de suplantación de identidad de Baileys aún en marcha, el primer clúster de Composer que hemos señalado y dos casos más del patrón de inflación de versiones utilizado en la confusión de dependencias.
cloud-baileys Se lanzaron dos versiones más (1.1.39 y 1.1.40), extendiendo una campaña que ha producido nuevas identidades durante varias semanas seguidas. Composer apareció por primera vez con tres paquetes PHP publicados bajo nombres de manejo de formularios (slimfit/slimbase, slimfit/formbase, gcform/formhelper), un recordatorio de que estas operaciones siguen a los desarrolladores en lugar de a los ecosistemas. @umschool/platform fue publicado en 999.0.0, el número de versión inflado típico de la confusión de dependencias, y twilio-hackerone-poc-b8f21a Se distribuyeron dos versiones bajo un nombre que se interpreta como una prueba de concepto contra el espacio de nombres de paquetes interno de un proveedor específico.
También cabe destacar: darkglitch En PyPI se publicaron las versiones 1.4.4 y 1.4.5 con pocos minutos de diferencia, y el propio registro confirmó la presencia de syswatch y samaki tras nuestra detección previa.
Esta instantánea semanal es parte de nuestro trabajo continuo Resumen de código maliciosodonde validamos nuevas amenazas para ayudar a los equipos de DevSecOps a proteger sus pipelines antes de que se produzcan daños.
| Ecosistema | PREMIUM | Fecha |
|---|---|---|
| pipi | syswatch:1.0.0 | 07 de septiembre de 2026 |
| pipi | samaki:0.4.9 | 07 de septiembre de 2026 |
| compositor | Slimfit/Slimbase: 2.0 | 07 de septiembre de 2026 |
| compositor | SlimFit/Formbase: 1.2 | 07 de septiembre de 2026 |
| compositor | gcform/formhelper:1.2 | 07 de septiembre de 2026 |
| npm | nube-baileys:1.1.39 | 07 de septiembre de 2026 |
| npm | aleación-graphql:1.0.1 | 08 de septiembre de 2026 |
| npm | @umschool/platform:999.0.0 | 10 de septiembre de 2026 |
| npm | twilio-hackerone-poc-b8f21a:1.0.0 | 10 de septiembre de 2026 |
| npm | twilio-hackerone-poc-b8f21a:1.0.1 | 10 de septiembre de 2026 |
| npm | nube-baileys:1.1.40 | 11 de septiembre de 2026 |
| pipi | darkglitch:1.4.4 | 11 de septiembre de 2026 |
| pipi | darkglitch:1.4.5 | 11 de septiembre de 2026 |
Tres ecosistemas, un patrón: 13 paquetes maliciosos esta semana.
El resumen de esta semana muestra operaciones conocidas que amplían su alcance: una campaña que sigue publicando después de semanas de detección, el primer grupo de Composer que aparece aquí y dos paquetes que utilizan un número de versión inflado para ganar una carrera de resolución.
cloud-baileys Se enviaron las versiones 1.1.39 y 1.1.40 en cuestión de días, lo que concuerda con un atacante que trata las eliminaciones como un costo operativo en lugar de una razón para detenerse. Composer apareció por primera vez con tres paquetes PHP bajo nombres de manejo de formularios (slimfit/slimbase, slimfit/formbase, gcform/formhelper), un recordatorio de que estas operaciones siguen a los desarrolladores, no a los ecosistemas. Y @umschool/platform fue publicado en 999.0.0, la versión inflada que existe por una sola razón: para superar en jerarquía al paquete interno que realmente escribieron tus equipos.
Alerta temprana de malware de Xygeni Supervisa npm, PyPI, Maven, Composer, OpenVSX y otros registros en tiempo real, detectando amenazas en el momento de su publicación, antes de que lleguen a una compilación y antes de que un agente de IA las instale de forma autónoma. Cuando una campaña reaparece semana tras semana, la detección que solo realiza una comprobación ya está desfasada.
xygenis Open Source Security La plataforma proporciona a los equipos de DevSecOps la detección y priorización en tiempo real necesarias para anticiparse a la presión coordinada de la cadena de suministro.
