Récapitulatif mensuel de Malicious Code Digest : septembre

Bienvenue dans l'édition de septembre du Xygeni Malicious Code Digest. Ce mois-ci, notre équipe de recherche en sécurité a confirmé la présence de 104 paquets malveillants sur npm et PyPI, recensés dans quatre rapports hebdomadaires.

Le mois de septembre a été marqué par trois tendances convergentes : des campagnes qui se sont poursuivies sans interruption depuis août, malgré les suppressions ; une confusion généralisée des dépendances, avec des dizaines de paquets affichant des numéros de version gonflés, comme 99.0.0 et 19999.x détourner des espaces de noms privés ; et une évolution claire vers les écosystèmes de plugins et d'automatisation auxquels les développeurs font confiance avec un accès privilégié, tels que Strapi, n8n et MCP.

Parmi les campagnes les plus remarquables recensées ce mois-ci :

• Le opérateur anti-surveillance à auto-suppression réintégré le 1er septembre, avec amicat, bmcat, eyevox et moidevh confirmés en même temps que deux nouveaux noms issus de la même racine, moidevk et moidevl.
• Baileys, la bibliothèque API Web de WhatsApp usurpée tout au long du mois d'août, est restée sous le feu des attaques : cloud-baileys versions atteintes 1.1.37 et 1.1.38 au cours de la première semaine et 1.1.41 Au 19 septembre, cela en faisait l'une des usurpations d'identité les plus longues que nous ayons recensées.
• Une campagne de 21 paquets (du 15 au 17 septembre) a diffusé de faux plugins Strapi sous le nom « meeb », tous dans la même version. 3.6.8, ainsi que des paquets complémentaires portant des noms comme os-info-meeb322k et fs-pwn-meeb322k.
• Un seul colis, @nimbusedge/auth, 39 versions ont été expédiées en une seule journée (11 septembre), toutes numérotées 19999.x Elles auraient donc priorité sur toute version interne légitime.
• Des paquets semant la confusion quant aux dépendances, portant des noms à consonance institutionnelle et interne, apparaissaient chaque semaine : etoro-cashout, etoro-analytics et etoro-aggregator (September 11), concierge-sdk at 99.99.99 (September 13), @traktis/core (Septembre 17), et @dbbhk/ui-components, @siriusbeyond/* et @alphaspace/core at 99.x la dernière semaine du mois.
• L’opérateur « siriusbeyond » a commencé avec un seul paquet non ciblé le 20 septembre et est revenu quatre jours plus tard avec une famille ciblée (@siriusbeyond/auth, /ui, /utils), la même marque présentée comme un ensemble d'emballage intérieur.
• Des nœuds de flux de travail n8n factices sont réapparus tout au long du mois, notamment n8n-nodes-sysdiag2, n8n-nodes-buildcheck et n8n-nodes-data-transformer-utils, poursuivant une tendance observée pour la première fois en août.
• Un client MCP, mcp-consultasdeveiculos-client, a été publié en trois versions le même jour (4 septembre), rappelant que la couche d'outils d'IA fait désormais partie de la même chaîne d'approvisionnement.
• Six exemplaires numérotés de simple-date-formatter-new-* (11 à 16) ont été publiés le 25 septembre, une rafale scriptée conçue pour tester quels noms passent.

Le schéma caractéristique de septembre : les attaquants ne se contentent plus d’emprunter des noms de confiance, ils s’approprient des positions privilégiées. Les plugins, les nœuds de flux de travail, les clients MCP et les espaces de noms de packages privés bénéficient tous de droits d’accès plus étendus qu’une dépendance classique, et c’est précisément là que les campagnes de septembre se sont concentrées.

Vous trouverez ci-dessous un résumé de nos conclusions. Les données complètes des quatre semaines sont disponibles en détail sur le site suivant : Index du résumé des codes malveillants.