Gach seachdain, bidh na siostaman lorg malware againn a’ sganadh mìltean de phasganan ùra is ùraichte thar chlàran poblach leithid npm, PyPI, agus OpenVSX. Dhearbh sinn 206 pasgan malware eadar 31 Iuchar agus 7 Lùnastal, 2026, air an stiùireadh le tonn de malware air an robh suaicheantas fosgailte às dèidh innealan ionnsaigh AI aithnichte, agus cruinneachadh troimh-chèile eisimeileachd a’ dèanamh aithris air leabharlannan wallet cryptocurrency.
An lorg as tarraingiche: wormgpt-cli air npm, naoi dreachan air am foillseachadh ann an sreath luath air 7 Lùnastal, còmhla ri pasgan co-cheangailte, gpt-terminal-cli, air fhoillseachadh air an aon latha. Tha an t-ainm a’ toirt iomradh dìreach air WormGPT, inneal fìor dhorcha-LLM a thathas a’ margaidheachd do eucoirich saidhbear airson fiosgaich agus gineadh malware, a’ moladh gu bheil am pasgan a’ malairt air aithneachadh branda inneal ionnsaigh fhèin seach a bhith a’ falach air cùl ainm neodrach.
Bha cruinneachadh air leth ag amas gu dìreach air bun-structar airgead didseatach: naoi pacaidean air npm a’ dèanamh aithris air fìor leabharlannan wallet agus soidhnidh (ledger-lib, trezor-lib, bip32-js, ethers-lib, python-bitcoinlib, ckcc-protocol, hwi-lib, mnemonic-utils, ethereum-sign-utils), uile air an dearbhadh taobh a-staigh an aon uinneig air 5 Lùnastal, dealbh-chluich troimh-chèile eisimeileachd-leabhraichean teacsa a bha ag amas air luchd-leasachaidh crypto agus Web3 a’ tarraing a-steach na tha coltach ri standard goireasan soidhnidh.
Tha markscan, akrai, agus iphouse Bha cruinneachadh coltach ris a chomharraich sinn an t-seachdain sa chaidh a’ sìor fhàs, le grunn dhreachan eile air an dearbhadh bho 31 Iuchar gu 1 Lùnastal. Thug an aon uinneag sin lorg nas cunnartaiche cuideachd: an beaver-ui-* agus accounts-* Chaidh dearbhadh gun robh cruinneachadh air 1 Lùnastal SàmhachPolyfill, inneal-dropaidh trì-ìrean air a chleith mar phàirt eadar-aghaidh cleachdaiche a-staigh agus pacaidean goireis. Bidh an luchd a’ tòiseachadh air require(), chan e sgriobt stàlaidh a th’ ann, mar sin --ignore-scripts chan eil sin ga stad. Cha deach naoi-deug de na fichead ainmean pacaid fhoillseachadh leis an obraiche taobh a-staigh uairean a thìde bho chaidh an lorg; chaidh aon fhoillseachadh a-rithist fo chunntas eadar-dhealaichte an ath latha, agus bha am bun-structar lìbhrigidh fhathast beò nuair a dh’fhoillsich sinn ar làn sgrùdadh.
Tha an dealbh-sgrìn seachdaineil seo mar phàirt den obair leantainneach againn Geàrr-chunntas Còd Mì-rùnach, far am bi sinn a’ dearbhadh bagairtean ùra agus a’ toirt seachad fiosrachadh obrachail gus sgiobaidhean DevSecOps a chuideachadh gus an cuid a dhìon pipelines mus tachair milleadh.
Nuair a choinnicheas meud ri luchd: 206 pasgan droch-rùnach an t-seachdain seo
Tha geàrr-chunntas na seachdain seo a’ sealltainn dà phàtran ionnsaigh a tha a’ ruith aig an aon àm, chan e a-mhàin foillseachadh nas luaithe, ach foillseachadh a chaidh a thogail gus a chur an gnìomh gu dearbh. wormgpt-cli chaidh bho neoni gu naoi dreachan air npm ann an aon latha, air ainmeachadh gu dàna às dèidh inneal dorcha-LLM fìor a chaidh a reic ri eucoirich saidhbear, an aon astar fèin-ghluasadach nach urrainn do phròiseas ath-bhreithneachaidh làimhe a choimeas. Cruinneachadh air leth de naoi pacaidean a’ dèanamh aithris air wallet cryptocurrency agus leabharlannan soidhnidh (ledger-lib, trezor-lib, bip32-js, agus feadhainn eile), uile air an dearbhadh taobh a-staigh uairean a thìde bho chèile air 5 Lùnastal, tuiteam sioncronaichte a chaidh a chlàradh gus rèis troimh-chèile eisimeileachd a bhuannachadh mus mothaich duine sam bith.
Ach cha robh an lorg as cudromaiche den t-seachdain mu dheidhinn meud idir. SàmhachPolyfill, a ' beaver-ui-* agus accounts-* cruinneachadh a bhris sinn sìos gu h-iomlan, thionndaidh e a-mach gur e dropper trì-ìrean a bh’ ann a bhios a’ piobrachadh air require(), chan e sgriobt stàlaidh a th’ ann, mar sin --ignore-scripts chan fhaic e a-riamh. Chaidh naoi-deug de na fichead ainm pacaid a tharraing leis an obraiche fhèin taobh a-staigh uairean a thìde, agus thill fear an ath latha fo chunntas eadar-dhealaichte, leis a’ bhun-structar lìbhrigidh fhathast beò.
Rabhadh Tràth mu Bhathar-bog Malware Xygeni a’ cumail sùil air npm, PyPI, OpenVSX, agus clàran eile ann an àm fìor, a’ comharrachadh bhagairtean aig àm foillseachaidh, mus ruig iad togail, mus cuir àidseant AI a-steach iad gu fèin-ghluasadach, agus mus faigh dropper mar QuietPolyfill cothrom a bhith a’ cur an gnìomh air a’ chiad in-mhalairt. Nuair a chuireas pasgan naoi dreachan ann an latha, no nuair a bhios “leabharlann phàirtean UI” gu sàmhach a’ faighinn air ais agus a’ ruith luchdair ainmichte, tha lorg a ruitheas às deidh na fìrinn ro fhadalach mu thràth.
Xygeni's Open Source Security Bidh an àrd-ùrlar a’ toirt do sgiobaidhean DevSecOps an lorg agus am prìomhachas fìor-ùine a dh’ fheumar gus fuireach air thoiseach air cuideam slabhraidh solair co-òrdanaichte, agus mar sin bidh do pipelines fuirich glan gun a bhith a’ cur bacadh air na sgiobaidhean agad.
