Chaque semaine, nos systèmes de détection de logiciels malveillants analysent des milliers de nouveaux paquets et de mises à jour sur des registres publics comme npm et PyPI. Cette semaine n'a pas fait exception. Nous avons confirmé 165 paquets malveillants entre le 17 et le 24 juillet 2026, sur npm et PyPI, menés par une campagne à grande vitesse et plusieurs nouveaux groupes d'usurpation d'identité.
L'événement le plus important était bingo-ai Sur PyPI, encore une fois : près de 85 versions confirmées en l’espace de 23 minutes le 21 juillet, soit le même modèle de publication automatisée que nous avions signalé dans ce package la semaine dernière.
Nous avons également confirmé d'autres activités de la part de gcli-control sur PyPI, un package de notre équipe de recherche présenté en détail cette semaineUn RAT Windows complet (enregistrement des frappes au clavier, capture webcam/microphone, surveillance du presse-papiers, vol d'identifiants de navigateur, persistance) utilise npoint.io, un service d'hébergement JSON gratuit, pour ses commandes et son contrôle, plutôt qu'un domaine appartenant à l'attaquant. La première vague d'attaques (versions 0.1.0 à 0.7.1) a atteint sa pleine capacité en environ 13.5 heures, les 21 et 22 juillet. Le rapport de cette semaine montre que la campagne s'est poursuivie : cinq autres versions (0.8.0 à 0.12.0) ont suivi à un rythme plus soutenu les 23 et 24 juillet.
Nous avons également confirmé un cluster d'usurpation d'identité Twilio de neuf paquets sur npm (twilio-serverless, twilio-functions, twilio-internal(et d'autres), tous publiés le 21 juillet avec des numéros de version gonflés, un schéma classique de confusion de dépendances. Un deuxième groupe ciblait les outils crypto/DeFi sur npm, neuf packages incluant uniswap-sdk-v4, wagmi-react et ethers-secure, publié le 23 juillet.
Plus modeste mais notable : la récurrence du thème « utilitaire de formatage de date » dans trois campagnes distinctes, et n8n-nodes-pwn, un paquet automation-node au nom suspect a été confirmé le 22 juillet.
Cet aperçu hebdomadaire fait partie de notre programme en cours Résumé des codes malveillants, où nous validons les nouvelles menaces et fournissons des renseignements exploitables pour aider les équipes DevSecOps à protéger leurs pipelineAvant que des dégâts ne surviennent. Analysons nos découvertes de cette semaine et leur importance.
Plus de 165 colis. Une semaine. La balance continue de grimper.
Le résumé de cette semaine reflète la même tendance : les attaquants publient plus vite que les registres ne suppriment, et plus vite qu’une analyse hebdomadaire ne peut les détecter. Un seul paquet PyPI, bingo-ai, est passée de la première version à près de 85 versions confirmées en environ 23 minutes, une publication automatisée à une vitesse qu'aucun processus de révision manuelle ne peut égaler. Parallèlement, gcli-control Cela montre que le volume n'est pas le seul risque : un RAT complet qui ne prenait même pas la peine de dissimuler sa nature, relayant ses commandes via npoint.io, un service d'hébergement JSON gratuit, de sorte que son trafic se fondait dans l'activité normale des développeurs, sans qu'aucun domaine appartenant à l'attaquant ne puisse être bloqué. Les clusters d'usurpation d'identité de Twilio et de crypto/DeFi révèlent un troisième schéma : des déploiements coordonnés de plusieurs paquets utilisant des numéros de version gonflés pour remporter une course à la confusion des dépendances face aux noms de paquets internes.
Alerte précoce aux logiciels malveillants Xygeni Il surveille en temps réel npm, PyPI et d'autres registres, signalant les menaces au moment de leur publication, avant qu'elles n'atteignent une compilation, avant qu'un agent d'IA ne les installe de manière autonome et avant qu'un relais caché ou un paquet provoquant une confusion de dépendances ait la possibilité de s'exécuter. bingo-ai expédie des dizaines de versions en moins d'une demi-heure, ou gcli-control Le serveur C2 transite par un service déjà autorisé par vos règles de sortie ; une détection effectuée après coup arrive déjà trop tard.
Xygéni Open Source Security La plateforme offre aux équipes DevSecOps la détection et la priorisation en temps réel nécessaires pour anticiper les pressions coordonnées sur la chaîne d'approvisionnement. pipelineRestez propres sans ralentir vos équipes.
