Byenveni nan la Edisyon jen nan Xygeni Malicious Code Digest laMwa sa a, ekip rechèch sekirite nou an konfime plis pase 645 pakè move atravè npm, PyPI, ak (pou premye fwa) mache ekstansyon VSCode la.
Mwa jen an te defini pa twa tandans konvèjan: kanpay inondasyon vèsyon soutni ki fèt pou dire pi lontan pase lis blòk yo, yon akselerasyon byen file nan atak ki vize zouti IA ak workflows devlopman ajantik, ak atak konfizyon depandans kowòdone kont espas non monorepo entèn yo.
Pami kanpay ki pi remakab yo ki dokimante mwa sa a:
- sansiblite inonde npm ak plis pase 70 vèsyon atravè seri 2.5.x la, yon kanpay evazyon soutni ki repibliye kontinyèlman pou rete devan yo sou takedowns yo.
- A Kanpay Solana typosquat an de vag (7–8 jen) pibliye 15 pakè ki t ap pran idantite
@solana-labszouti ekosistèm, ki vize devlopè Web3 ak DeFi dirèkteman. - houzidawang806 te konte pou plis pase 25 vèsyon nan yon sèl jou (13 jen), ansanm ak metrik-pipeline-d8k2 repibliye nan 21 vèsyon ant 15 ak 18 jen.
- The Konfizyon CryptoDAO kanpay (17 jen) te pibliye 11 pakè nan vèsyon 99.99.99, chak ak yon payload sweeping postinstall ki idantik. CI/CD jeton, kalifikasyon nwaj, ak sekrè bous kriptografik.
- Semèn 20-26 jen an te pote pi gwo konsantrasyon zouti IA nan mwa a: ollama-asistan (20 vèsyon), openai-ajan-asistan (23 vèsyon), monoklod, ai-sdk-helpers, epi @langgraphjs/zouti, tout konfime nan yon sèl semèn, vize dirèkteman Ollama, SDK ajan OpenAI yo, LangGraph, ak entegrasyon API Claude.
- De konfime ekstansyon VSCode move te parèt mwa sa a, sa ki montre ke atakè yo ap elaji pi lwen pase rejis pake yo nan anviwònman devlopè a li menm.
Modèl ki defini mwa jen an: atak yo ap deplase nan ekstansyon IDE, zouti ajan IA, ak workflows ajantik kote yon pake move enstale otonòm pa gen okenn revizè imen ant enfeksyon an ak ekzekisyon an.
Mizajou mansyèl sa a fè pati inisyativ rechèch Xygeni sou malveyan ak menas nan chèn ekipman yo. Pou yon kontèks konplè sou chak pake move konfime mwa sa a, eksplore Digest Kòd Move konplè pou mwa jen an ak rechèch ki gen rapò ak sa a nan men Ekip Sekirite Xygeni a.
Semèn 4: Plis pase 201 pakè dekouvri
| Ekosistèm | Pake | Dat |
|---|---|---|
| Jen 20, 2026 | ||
| npm | routeur pan:5.0.2 + 30 vèsyon atravè seri 5.x–6.x jiska 22 jen — kanpay dominan semèn nan | Jun 20, 2026 |
| npm | kout kouto:1.0.5 + 4 vèsyon — kontinyasyon depi semèn pase a, toujou aktif | Jun 20, 2026 |
| npm | monoklod:1.0.1 + 2 vèsyon — Imitizasyon zouti API Claude | Jun 20, 2026 |
| vskod | pwogramasyon-pè-ajan-òbit-pou-smalltalk:1.206.0 + 1 vèsyon — ekstansyon VSCode move ki vize devlopman ajans | Jun 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Imitasyon espas non platfòm kay entelijan | Jun 20, 2026 |
| Jen 21, 2026 | ||
| npm | atlasora-pataje:1.0.0 + 6 pakè — konfizyon depandans monorepo kowòdone: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| npm | apintegrationpost:4.0.2 + 6 vèsyon — kanpay fot òtograf volontè ki vize zouti entegrasyon | Jun 21, 2026 |
| npm | llm-tras-aplikasyon:1.0.1 Zouti obsèvabilite LLM ki vize | Jun 21, 2026 |
| pypi | d0rk3r-telemetri:1.0.0 Pake telemetri obfuske nan PyPI | Jun 21, 2026 |
| Jen 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 vèsyon — kanpay inondasyon vèsyon PyPI kontinyèl | Jun 22, 2026 |
| pypi | demann-kach-py:1.0.4 + 6 vèsyon — Inondasyon vèsyon PyPI | Jun 22, 2026 |
| pypi | korvin:0.17.0 + 6 vèsyon — Kanpay enskripsyon an mas PyPI | Jun 22, 2026 |
| Jen 23, 2026 | ||
| npm | web3-token-helper:1.1.1 + 2 vèsyon — Sib pou sèvis piblik jeton Web3 | Jun 23, 2026 |
| npm | monokros:1.0.1 + 1 vèsyon — gwoup nonmen mono-* ansanm ak monoclaude ak monotacos | Jun 23, 2026 |
| Jen 24, 2026 | ||
| npm | ollama-èd:0.1.0 + 19 vèsyon — pi gwo kanpay zouti IA nan mwa a, ki vize fonksyon IA lokal Ollama a | Jun 24, 2026 |
| npm | openai-ajan-asistan:0.1.1 + 22 vèsyon — kanpay kowòdone ki vize ekosistèm SDK ajan OpenAI yo | Jun 24, 2026 |
| Jen 25, 2026 | ||
| npm | ai-sdk-helpers:1.4.3 Zouti SDK IA a vize ansanm ak @langgraphjs/toolkit:1.2.11 | Jun 25, 2026 |
| npm | enkòpore-enskripsyon:99.99.99-poc3 + hs-locale-management — Konfizyon sou depandans espas non entèn HubSpot la, sifiks poc la konfime kanpay rechèch aktif la | Jun 25, 2026 |
| Jen 26, 2026 | ||
| npm | twous-fisèl-fasil:1.0.1 + 8 vèsyon ki gen ladan varyant easy-string-kit232 — anrejistreman an gwo anba non sèvis piblik jenerik la | Jun 26, 2026 |
| npm | pake-malveyan-ki-pa-sekirize:1.0.0 + 5 vèsyon — pakè ki nonmen eksplisitman kòm move, chaj konfime, tès pwobab oswa kanpay pwovokasyon | Jun 26, 2026 |
| npm | @vpms/sistèm-konsepsyon:1.1.2 + 2 vèsyon — konsepsyon imitasyon espas non sistèm | Jun 26, 2026 |
Semèn 3: Plis pase 200 pakè dekouvri
| Ekosistèm | Pake | Dat |
|---|---|---|
| Jen 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 vèsyon atravè 1.0.x–1.2.x ki gen ladan frè ak sè houzidawang807 ak houzidawang808 — kanpay dominan semèn nan | Jun 13, 2026 |
| npm | amikal-akèyi-demo:1.0.2 + 4 vèsyon — kanpay pèsistan k ap reaparèt pandan plizyè jou | Jun 13, 2026 |
| npm | tsc-ai:1.2.0 gwoup tsc-*: tsc-ai, tsc-mesh, tsc-lotl — imitasyon espas non zouti CI | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 vèsyon atravè 4.5.x–5.1.x — kanpay PyPI soutni pandan plizyè jou | Jun 13, 2026 |
| Jen 15, 2026 | ||
| npm | pri-jeton-cron:999.0.0 + 6 pakè — Konfizyon sou depandans enfrastrikti DeFi nan gwoupman ki vize zouti cron ak vout entèn yo | Jun 15, 2026 |
| Jen 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pakè — prè DeFi ak gwoup ekosistèm Cardano: flow-lending, surf-lending, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| npm | metrik-evènman-q3x7:1.0.0 + 8 vèsyon — pake jenerik hex-sifiks ki anrejistre non ki gen tèm siveyans an mas | Jun 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pakè — imitasyon espas non platfòm done gouvènman an: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| Jen 17, 2026 | ||
| npm | kontra kriptodao: 99.99.99 + 10 pakè — Konfizyon depandans CryptoDAO: nwayo, sdk, bot, konfigirasyon, itilite, deplwaman, siyatè, backend, kalite | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 Zouti ajan IA ki vize nan PyPI | Jun 17, 2026 |
| Jen 18, 2026 | ||
| npm | metrik-pipeline-d8k2:1.0.0 + 20 vèsyon pandan tout 18 jen an — kanpay pou evite yon sèl jou, repibliye kontinyèlman pou dire pi lontan pase lis blokaj yo | Jun 18, 2026 |
| npm | eskanè sèlman: 0.4.5 + 6 vèsyon — kanpay inondasyon vèsyon | Jun 18, 2026 |
| npm | koulè-utils-dee0:1.0.0 + 5 pakè jenerik hex-suffix: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — anrejistreman an mas ak script | Jun 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Imitman espas non Azure ML | Jun 18, 2026 |
| Jen 19, 2026 | ||
| npm | kout kouto:1.0.2 + trimprompt-hub — zouti jeni rapid ki vize | Jun 19, 2026 |
| npm | klod-tas: 0.8.6 Imitasyon zouti API Claude | Jun 19, 2026 |
| pypi | aiaddin-ajan:0.1.0 Zouti ajan IA ki vize nan PyPI | Jun 19, 2026 |
| npm | web3-kripto-adrès-itilite:0.1.0 Sib sèvis piblik Web3 | Jun 19, 2026 |
Semèn 2: Plis pase 135 pakè dekouvri
| Ekosistèm | Pake | Dat |
|---|---|---|
| Jen 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 varyant — Kanpay typosquat ekosistèm Solana a, premye vag la | Jun 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + 2 vèsyon | Jun 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Konfizyon depandans, vèsyon gonfle | Jun 7, 2026 |
| Jen 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 varyant — Kanpay typosquat ekosistèm Solana, dezyèm vag | Jun 8, 2026 |
| pypi | helixagentai:0.1.3 Zouti ajan IA ki vize nan PyPI | Jun 8, 2026 |
| Jen 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pakè — konfizyon depandans kont espas non monorepo entèn lan | Jun 9, 2026 |
| npm | @klapp-login-platfòm/natif natal-sdk:99.0.0 + 9 pakè — imitasyon platfòm otantifikasyon atravè plizyè espas non klapp | Jun 9, 2026 |
| npm | blockchain-helper-0:1.0.0 + 7 pakè — gwoup sèvis piblik kripto/DeFi ki vize devlopè Web3 yo | Jun 9, 2026 |
| npm | @card-pci-data/store:99.0.0 Espas non done kat peman ki vize | Jun 9, 2026 |
| Jen 10, 2026 | ||
| npm | sistèm-konsepsyon-morningstar:99.0.0 + 2 vèsyon — imitasyon sistèm konsepsyon finansye | Jun 10, 2026 |
| Jen 11, 2026 | ||
| npm | pòs:1.0.1 + 5 vèsyon pibliye menm jou a | Jun 11, 2026 |
| npm | @coze-common/chat-area:99.1.1 Imitasyon espas non platfòm chat IA | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 vèsyon — imitasyon platfòm mesajri nan PyPI | Jun 11, 2026 |
| Jen 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 varyant ecto-* — gwoup non ki kache | Jun 12, 2026 |
| npm | entènlib_v984:1.0.3 + gwoup internallib_v557 — 13 vèsyon enpostè bibliyotèk entèn yo | Jun 12, 2026 |
| npm | vwayajè-web:999.0.0 Konfizyon depandans, vèsyon gonfle | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
Semèn 1: Plis pase 118 pakè dekouvri
| Ekosistèm | Pake | Dat |
|---|---|---|
| Se pou 30, 2026 | ||
| npm | @cloudplatform-single-spa/administrasyon:99.99.100 Konfizyon depandans, vèsyon gonfle | Se pou 30, 2026 |
| vskod | xampp-manadjè:5.1.3 Ekstansyon VSCode — imitasyon zouti devlopè | Se pou 30, 2026 |
| Jen 1, 2026 | ||
| npm | @tse-digital/nwayo:99.0.0 Konfizyon sou depandans — @telenor-se ak @ownit te frape tou | Jun 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 vèsyon, gwoup espas non CMS | Jun 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 vèsyon, nimewo vèsyon gonfle ki vize kalifikasyon AWS yo | Jun 1, 2026 |
| npm | dokiman pasyan: 75.0.0 Sib espas non swen sante | Jun 1, 2026 |
| npm | @emcd-vue/otorizasyon:6.4.9 Imitasyon espas non echanj kriptografik | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| Jen 2, 2026 | ||
| npm | sansiblite: 2.5.8 + 70 vèsyon atravè seri 2.5.x la, 2–5 jen — kanpay dominan nan peryòd la | Jun 2, 2026 |
| npm | @langgraphjs/zouti:1.2.10 Zouti LangGraph ki vize | Jun 2, 2026 |
| Jen 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + 2 vèsyon, imitasyon espas non Sentry | Jun 4, 2026 |
| npm | entènlib_v346:1.0.3 + 2 vèsyon, bibliyotèk entèn enpostè | Jun 4, 2026 |
| npm | ai-sdk-helpers:0.2.1 + 7 vèsyon, ki vize zouti SDK IA a | Jun 4, 2026 |
Sispann Kòd Malveyan Anvan Li Rive Sou Ou Pipeline
Menas nan chèn ekipman lojisyèl yo depase limit teyorik yo. Atak konfizyon depandans, vòlè kalifikasyon, malveyan ki vize entèlijans atifisyèl, ak zouti devlopè anpwazonnen ap frape ekip reyèl nan sitiyasyon reyèl. SDLCchak semèn.
Xygeni a deteksyon malveyan ta dwe apwouve bèso tibebe w la epi platfòm sekirite chèn ekipman pou bay òganizasyon yo vizibilite pou detekte depandans move yo anvan yo egzekite sou yon machin devlopè, antre nan yon sistèm konstriksyon, oswa rive nan pwodiksyon. Kouvèti a kouvri npm, PyPI, VSCode, ak pi lwen, siveyans pou modèl piblikasyon sispèk, abi espas non, typosquatting, ak teknik atak IA natif natal pandan y ap parèt.
Chak dekouvèt otomatikman klase pa priyorite selon eksplwatasyon, aksè, ak enpak biznis, kidonk ekip ou a konsantre sou sa ki vrèman bezwen koreksyon, pa sou bri.
Kit se yon pake sous ouvè move, yon zouti devlopè ki konpwomèt, oswa yon risk kòd ki pwodui pa entèlijans atifisyèl, Xygeni kenbe ekip sekirite ak enjenyè yo yon pa devan jaden flè menas chèn ekipman an.
Eksplore chak pake ak kanpay move ke Ekip Sekirite Xygeni a valide nan Dijesyon Kòd Malveyan.
Rete an sekirite. Rete rapid. Kenbe kontwòl ak Xygeni.
