Wolkom by de Juny-edysje fan 'e Xygeni Malicious Code DigestDizze moanne befêstige ús feiligensûndersyksteam mear as 645 kweade pakketten oer npm, PyPI, en (foar it earst) de VSCode-útwreidingsmerkplak.
Juny waard definiearre troch trije konvergearjende trends: oanhâldende ferzje-oerstreamingskampanjes ûntworpen om blokkearlisten te oerlibjen, in skerpe fersnelling fan oanfallen rjochte op AI-tooling en agintûntwikkelingsworkflows, en koördinearre ôfhinklikheidsbetizingsoanfallen tsjin ynterne monorepo-nammeromten.
Under de meast opmerklike kampanjes dy't dizze moanne dokumintearre binne:
- gefoelichheid oerstreamde npm mei mear as 70 ferzjes oer it 2.5.x-berik, in oanhâldende ûntwykingskampanje dy't kontinu opnij publisearre om foar te bliuwen op takedowns.
- A twa-weach Solana typosquat-kampanje (7–8 juny) publisearre 15 pakketten dy't har imitearren
@solana-labsekosysteem-ark, direkt rjochte op Web3- en DeFi-ûntwikkelders. - houzidawang806 rekken holden mei mear as 25 ferzjes op ien dei (13 juny), tegearre mei metriken-pipeline-d8k2 opnij publisearre yn 21 ferzjes tusken 15-18 juny.
- De CryptoDAO-betizing kampanje (17 juny) publisearre 11 pakketten op ferzje 99.99.99, elk mei in identike postinstall payload sweeping CI/CD tokens, wolkgegevens en geheimen fan krypto-wallets.
- De wike fan 20-26 juny brocht de meast konsintrearre AI-ark-targeting fan 'e moanne: ollama-helpers (20 ferzjes), openai-aginten-helpers (23 ferzjes), monoklaud, ai-sdk-helpers, en @langgraphjs/toolkit, allegear befêstige yn ien wike, direkt rjochte op Ollama, OpenAI agents SDK, LangGraph, en Claude API-yntegraasjes.
- Twa befêstige kweade VSCode-útwreidings ferskynde dizze moanne, wat oanjout dat oanfallers fierder as pakketregisters útwreidzje nei de ûntwikkeldersomjouwing sels.
It definiearjende patroan fan juny: oanfallen ferpleatse har nei IDE-útwreidings, AI-agent-tooling en agentyske workflows wêr't in kwea-aardich pakket dat autonoom ynstalleare is gjin minsklike beoardieler hat tusken ynfeksje en útfiering.
Dizze moanlikse update is ûnderdiel fan Xygeni's oanhâldende ûndersyksinisjatyf foar malware en bedrigingen yn 'e supply chain. Foar folsleine kontekst oer elk kwea-aardige pakket dat dizze moanne befêstige is, kinne jo de folsleine Malicious Code Digest fan juny en relatearre ûndersyk fan it Xygeni Security Team besjen.
Wike 4: Mear as 201 pakketten ûntdutsen
| Ekosysteem | Pakket | Datum |
|---|---|---|
| June 20, 2026 | ||
| npm | panrouter:5.0.2 + 30 ferzjes oer it 5.x–6.x-berik oant 22 juny — dominante kampanje fan 'e wike | Jun 20, 2026 |
| npm | trimprompt: 1.0.5 + 4 ferzjes — fuortsetting fan foarige wike, noch aktyf | Jun 20, 2026 |
| npm | monoklaude:1.0.1 + 2 ferzjes — Claude API-ark-imitaasje | Jun 20, 2026 |
| vscode | orbit-agentic-pair-programming-for-smalltalk:1.206.0 + 1 ferzje — kweade VSCode-útwreiding rjochte op agintûntwikkeling | Jun 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Nammeromte-imitaasje fan smart home-platfoarm | Jun 20, 2026 |
| June 21, 2026 | ||
| npm | atlasora-dielde: 1.0.0 + 6 pakketten — koördinearre betizing oer ôfhinklikens fan monorepo: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| npm | yntegraasjepost: 4.0.2 + 6 ferzjes — opsetlike spelfouten foar kampanjetargeting yntegraasjetools | Jun 21, 2026 |
| npm | llm-traces-app:1.0.1 LLM observearberens tooling rjochte | Jun 21, 2026 |
| pypi | d0rk3r-telemetrie: 1.0.0 Ferburgen telemetriepakket yn PyPI | Jun 21, 2026 |
| June 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 ferzjes — oanhâldende PyPI-ferzje-oerstreamingskampanje | Jun 22, 2026 |
| pypi | oanfraach-cache-py:1.0.4 + 6 ferzjes — PyPI ferzje oerstreaming | Jun 22, 2026 |
| pypi | corvinos:0.17.0 + 6 ferzjes — PyPI bulkregistraasjekampanje | Jun 22, 2026 |
| June 23, 2026 | ||
| npm | web3-token-helper: 1.1.1 + 2 ferzjes — Targeting fan Web3-token-hulpprogramma's | Jun 23, 2026 |
| npm | monokrús: 1.0.1 + 1 ferzje — mono-* nammejouwingskluster neist monoclaude en monotacos | Jun 23, 2026 |
| June 24, 2026 | ||
| npm | ollama-helpers: 0.1.0 + 19 ferzjes - grutste AI-toolingkampanje fan 'e moanne, rjochte op Ollama lokale AI-runtime | Jun 24, 2026 |
| npm | openai-aginten-helpers: 0.1.1 + 22 ferzjes — koördinearre kampanje rjochte op it SDK-ekosysteem fan OpenAI-aginten | Jun 24, 2026 |
| June 25, 2026 | ||
| npm | ai-sdk-helpers: 1.4.3 AI SDK-ark rjochte neist @langgraphjs/toolkit:1.2.11 | Jun 25, 2026 |
| npm | oanmelde-ynbêding: 99.99.99-poc3 + hs-locale-management — Ferwarring oer ynterne nammeromteôfhinklikens fan HubSpot, poc-suffiks befêstiget aktive ûndersykskampanje | Jun 25, 2026 |
| June 26, 2026 | ||
| npm | maklike-string-kit: 1.0.1 + 8 ferzjes ynklusyf fariant easy-string-kit232 — bulkregistraasje ûnder generike nutsbedriuwsnamme | Jun 26, 2026 |
| npm | ûnfeilich-kwaadwillich-pakket: 1.0.0 + 5 ferzjes — pakket eksplisyt neamd as kwea-aardich, befêstige lading, wierskynlike test- of provokaasjekampanje | Jun 26, 2026 |
| npm | @vpms/ûntwerpsysteem:1.1.2 + 2 ferzjes — ûntwerpsysteem nammeromte-impersonaasje | Jun 26, 2026 |
Wike 3: Mear as 200 pakketten ûntdutsen
| Ekosysteem | Pakket | Datum |
|---|---|---|
| June 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 ferzjes oer 1.0.x–1.2.x ynklusyf de sibben houzidawang807 en houzidawang808 — dominante kampanje fan 'e wike | Jun 13, 2026 |
| npm | freonlike-groeter-demo: 1.0.2 + 4 ferzjes — oanhâldende kampanje dy't oer meardere dagen wer ferskynt | Jun 13, 2026 |
| npm | tsc-ai:1.2.0 tsc-* kluster: tsc-ai, tsc-mesh, tsc-lotl — CI-tooling-nammeromte-ympersonaasje | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 ferzjes oer 4.5.x–5.1.x — oanhâldende meardeiske PyPI-kampanje | Jun 13, 2026 |
| June 15, 2026 | ||
| npm | token-prizen-cron:999.0.0 + 6 pakketten — DeFi-ynfrastruktuerôfhinklikens betizingkluster rjochte op ynterne cron- en kluis-ark | Jun 15, 2026 |
| June 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pakketten — DeFi-lieningen en Cardano-ekosysteemkluster: flow-lieningen, surf-lieningen, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| npm | evenemint-metriken-q3x7:1.0.0 + 8 ferzjes — generyk heksadesimale-efterheakselpakket dat nammen mei bulkmonitoring-tema registrearret | Jun 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pakketten — nammeromte-impersonaasje fan oerheidsgegevensplatfoarms: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| June 17, 2026 | ||
| npm | kryptodao-kontrakten: 99.99.99 + 10 pakketten — Ferwarring fan CryptoDAO-ôfhinklikens: kearn, sdk, bot, konfiguraasje, utils, ynset, ûndertekenaar, backend, typen | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 AI-agint-ark rjochte op PyPI | Jun 17, 2026 |
| June 18, 2026 | ||
| npm | metriken-pipeline-d8k2:1.0.0 + 20 ferzjes op 18 juny - oanhâldende iendeiske ûntwykingskampanje, trochgeande opnij publisearje om blokkearlisten te oerlibjen | Jun 18, 2026 |
| npm | allinnich-skan: 0.4.5 + 6 ferzjes — kampanje foar it oerstreamjen fan ferzjes | Jun 18, 2026 |
| npm | kleur-utils-dee0:1.0.0 + 5 generike heksadesimale-efterheakselpakketten: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — skripte bulkregistraasje | Jun 18, 2026 |
| npm | @azure-lab-tsjinsten/ml-ts:99.0.0 Azure ML nammeromte-impersonaasje | Jun 18, 2026 |
| June 19, 2026 | ||
| npm | trimprompt: 1.0.2 + trimprompt-hub — rjochte op rappe yngenieursark | Jun 19, 2026 |
| npm | claude-cup:0.8.6 Claude API-ark-impersonaasje | Jun 19, 2026 |
| pypi | aiaddin-agent: 0.1.0 AI-agint-ark rjochte op PyPI | Jun 19, 2026 |
| npm | web3-krypto-adres-utils:0.1.0 Web3-nutsrjochting | Jun 19, 2026 |
Wike 2: Mear as 135 pakketten ûntdutsen
| Ekosysteem | Pakket | Datum |
|---|---|---|
| June 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 farianten — Solana ekosysteem typosquat kampanje, earste weach | Jun 7, 2026 |
| npm | @jisan901/teamfokus:1.0.0 + 2 ferzjes | Jun 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Ofhinklikensferwarring, opblaasde ferzje | Jun 7, 2026 |
| June 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 farianten — Solana ekosysteem typosquat kampanje, twadde weach | Jun 8, 2026 |
| pypi | helixagent:0.1.3 AI-agint-ark rjochte op PyPI | Jun 8, 2026 |
| June 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pakketten — ôfhinklikheidsbetizing tsjin ynterne monorepo-nammeromte | Jun 9, 2026 |
| npm | @klapp-login-platfoarm/native-sdk:99.0.0 + 9 pakketten — autentikaasjeplatfoarm-impersonaasje oer meardere klapp-nammeromten | Jun 9, 2026 |
| npm | blockchain-helper-0:1.0.0 + 7 pakketten — krypto/DeFi-hulpprogrammakluster rjochte op Web3-ûntwikkelders | Jun 9, 2026 |
| npm | @kaart-pci-gegevens/winkel:99.0.0 Betellingskaartgegevensnammeromte rjochte | Jun 9, 2026 |
| June 10, 2026 | ||
| npm | moarnsstjer-ûntwerpsysteem: 99.0.0 + 2 ferzjes — imitaasje fan finansjeel ûntwerpsysteem | Jun 10, 2026 |
| June 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 ferzjes deselde dei publisearre | Jun 11, 2026 |
| npm | @coze-common/peteargebiet:99.1.1 Nammeromte-imitaasje fan AI-chatplatfoarm | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 ferzje — berjochtenplatfoarm-impersonaasje yn PyPI | Jun 11, 2026 |
| June 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 ecto-* farianten — fertsjustere nammekluster | Jun 12, 2026 |
| npm | ynternelib_v984:1.0.3 + internallib_v557 kluster — 13 ferzjes fan ynterne bibleteek-impostors | Jun 12, 2026 |
| npm | voyager-web:999.0.0 Ofhinklikensferwarring, opblaasde ferzje | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
Wike 1: Mear as 118 pakketten ûntdutsen
| Ekosysteem | Pakket | Datum |
|---|---|---|
| Mei 30, 2026 | ||
| npm | @cloudplatform-single-spa/administraasje:99.99.100 Ofhinklikensferwarring, opblaasde ferzje | Mei 30, 2026 |
| vscode | xampp-behearder:5.1.3 VSCode-útwreiding - imitaasje fan ûntwikkeldersark | Mei 30, 2026 |
| June 1, 2026 | ||
| npm | @tse-digital/kearn:99.0.0 Ofhinklikensferwarring - @telenor-se en @ownit ek rekke | Jun 1, 2026 |
| npm | cms-winkelhub:1.3.4 + 2 ferzjes, CMS-nammeromtekluster | Jun 1, 2026 |
| npm | @antoncallahan/aws-brûker-helper:6767.67.69 + 6 ferzjes, opblaasde ferzjenûmers rjochte op AWS-ynloggegevens | Jun 1, 2026 |
| npm | pasjintdokuminten: 75.0.0 Doel foar nammeromte foar sûnenssoarch | Jun 1, 2026 |
| npm | @emcd-vue/autoriteit:6.4.9 Krypto-útwikseling nammeromte-impersonaasje | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| June 2, 2026 | ||
| npm | gefoelichheid: 2.5.8 + 70 ferzjes oer it 2.5.x-berik, 2–5 juny — dominante kampanje fan 'e perioade | Jun 2, 2026 |
| npm | @langgraphjs/toolkit:1.2.10 LangGraph-ark rjochte op | Jun 2, 2026 |
| June 4, 2026 | ||
| npm | @sentry-browser-sdk/profilearring-node:1.0.1 + 2 ferzjes, Sentry nammeromte-impersonaasje | Jun 4, 2026 |
| npm | ynternelib_v346:1.0.3 + 2 ferzjes, ynterne bibleteekbedriger | Jun 4, 2026 |
| npm | ai-sdk-helpers: 0.2.1 + 7 ferzjes, rjochte op AI SDK-ark | Jun 4, 2026 |
Stopje kweade koade foardat it jo berikt Pipeline
Bedrigingen foar software-oanfierketens binne fier foarby teoretysk gien. Oanfallen fan ôfhinklikensbetizing, stellerij fan ynloggegevens, malware rjochte op AI en fergiftige ûntwikkeldersark reitsje echte teams yn it echt. SDLCs elke wike.
Xygeni's malware detection en platfoarm foar feiligens fan 'e supply chain jout organisaasjes de sichtberens om kweade ôfhinklikheden te fangen foardat se útfiere op in ûntwikkeldersmasine, in buildsysteem yngeane of produksje berikke. De dekking omfettet npm, PyPI, VSCode, en fierder, en kontrolearret op fertochte publisearringspatroanen, misbrûk fan nammeromten, typosquatting, en AI-native oanfalstechniken as se ûntsteane.
Elke fynst wurdt automatysk prioritearre op basis fan eksploitearberens, berikberens en ynfloed op it bedriuw, sadat jo team him rjochtet op wat eins reparearre wurde moat, net op lûd.
Oft it no giet om in kwea-aardich iepen-boarnepakket, in kompromittearre ûntwikkeldersark, of in troch AI generearre koaderisiko, Xygeni hâldt befeiligings- en yngenieursteams ien stap foarút op it bedrigingslânskip fan 'e supply chain.
Undersykje elk kwea-aardich pakket en kampanje dy't validearre is troch it Xygeni Security Team yn 'e Digest fan kweade koade.
Bliuw feilich. Bliuw rap. Bliuw yn kontrôle mei Xygeni.
