लगभग हर सप्ताहहमारे मैलवेयर डिटेक्शन सिस्टम npm और PyPI जैसी सार्वजनिक रजिस्ट्रियों में हजारों नए और अपडेट किए गए पैकेजों को स्कैन करते हैं। यह सप्ताह भी इसका अपवाद नहीं था।
हमने 7 जून से 12 जून, 2026 के बीच 130 से अधिक दुर्भावनापूर्ण पैकेजों की पुष्टि की, जिनमें से अधिकांश npm पर थे, और PyPI में भी कुछ मामले सामने आए। इनमें से कई समन्वित समूहों में पाए गए, जिनमें एक ही नाम से या निकट से संबंधित पैकेज परिवारों में बार-बार दुर्भावनापूर्ण रिलीज़ प्रकाशित की गई थीं।
इस सप्ताह का सबसे उल्लेखनीय मामला यह था: sensivityजिसने 2.5.x रेंज में 40 से अधिक संस्करणों वाली रिलीज़ के साथ npm को भर दिया, जिसकी पुष्टि कई दिनों में हुई। अन्य उल्लेखनीय क्लस्टरों में एक लहर शामिल थी। @solana-labs सोलाना इकोसिस्टम को निशाना बनाने वाले टाइपोस्क्वैट्स (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — 7 जून और 8 जून को दो अलग-अलग प्रकाशन अभियानों के माध्यम से), @nstrlabs परिवार (एसडीके, आईएक्सल, यूटिल्स, साझा घटक, एपीआई क्लाइंट, प्रमाणीकरण - आंतरिक पैकेज नेमस्पेस के खिलाफ निर्भरता भ्रम हमला), @klapp-login-platform समूह (नेटिव-एसडीके, ओआईडीसी, रूट्स - प्रमाणीकरण प्लेटफ़ॉर्म का प्रतिरूपण करना), internallib_v557 और internallib_v984 (अस्पष्ट आंतरिक लाइब्रेरी के कई नकली संस्करण), pocteszep (11 जून को 6 संस्करण प्रकाशित हुए), और क्रिप्टो और वेब3 यूटिलिटीज का एक समूह जिसमें शामिल हैं blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87, तथा farming-tools-12। morningstar-design-system यह पैकेज 10 जून को तीन संस्करणों में सामने आया, जो एक प्रसिद्ध वित्तीय डिज़ाइन प्रणाली का रूप धारण किए हुए था। PyPI में, helixagentai, telegramlite, तथा cdjeez सप्ताह भर में इनकी पुष्टि हुई।
ये कोई अलग-थलग विसंगतियाँ नहीं थीं। इस सप्ताह जो बात सबसे ज़्यादा ध्यान खींचने वाली थी, वह थी आंतरिक पैकेज नेमस्पेस के विरुद्ध निर्भरता भ्रम हमलों की सघनता, और कई दिनों तक लगातार प्रकाशित होने वाली घटनाएँ। sensivity क्लस्टर, और वेब3 और सोलाना टूलिंग को लगातार लक्षित करना, एक ऐसा पैटर्न है जिसमें 2026 में काफी तेजी आई है।
यह साप्ताहिक स्नैपशॉट हमारे चल रहे मैलिशियस कोड डाइजेस्ट का हिस्सा है, जिसमें हम नए खतरों का सत्यापन करते हैं और डेवसेकऑप्स टीमों को उनकी सुरक्षा में मदद करने के लिए कार्रवाई योग्य जानकारी प्रदान करते हैं। pipelineक्षति होने से पहले।
आइए इस सप्ताह हमने जो पाया और वह क्यों महत्वपूर्ण है, इसका विश्लेषण करें।
दुर्भावनापूर्ण पैकेजों को उत्पादन तक न पहुंचने दें
आपकी टीमें जिन पैकेजों पर निर्भर हैं, उनका उपयोग तेजी से प्रवेश बिंदु के रूप में किया जा रहा है। Xygeni प्रारंभिक मैलवेयर पहचान यह रजिस्ट्री की वास्तविक समय में निगरानी करता है, इसलिए इस सप्ताह के सारांश में उल्लिखित खतरों को आपके बिल्ड तक पहुंचने से पहले ही रोक दिया जाता है।
इस सप्ताह के निष्कर्ष इस बात की याद दिलाते हैं कि रणनीति अधिक सुनियोजित होती जा रही है। वर्ज़न फ़्लडिंग, नेमस्पेस प्रतिरूपण और कई दिनों तक चलने वाले समन्वित अभियान अब अपवाद नहीं रह गए हैं, बल्कि ये आम चलन बन गए हैं। standard हमलावरों की रणनीति। एक बार की स्कैनिंग और मैन्युअल ऑडिट उन अभियानों का मुकाबला नहीं कर सकते जो एक साथ कई दिनों और रजिस्टरों में दर्जनों संस्करण प्रकाशित करते हैं।
ज़ाइगेनी का Open Source Security यह समाधान आपकी DevSecOps टीमों को npm, PyPI और अन्य प्लेटफॉर्म्स पर निरंतर निगरानी प्रदान करता है, प्रकाशन के समय ही हानिकारक पैकेजों का पता लगाता है, वास्तविक जोखिम पैदा करने वाले पैकेजों को प्राथमिकता देता है और पता लगाने से लेकर समाधान तक की प्रक्रिया को छोटा करता है। इस प्रकार, आपकी टीमें सुरक्षा से समझौता किए बिना तेजी से काम कर सकती हैं।
