Chak semèn, sistèm deteksyon malveyan nou yo eskane plizyè milye pakè nouvo ak pakè mete ajou atravè rejis piblik tankou npm ak PyPI. Semèn sa a pa t yon eksepsyon.
Nou konfime plis pase 200 pakè move ant 12 jen ak 19 jen 2026, sitou atravè npm, ak lòt ka nan PyPI. Plizyè te parèt nan gwoup kowòdone, plizyè vèsyon move ki te pibliye anba menm non yo oswa atravè fanmi pakè ki gen rapò sere.
Ka ki pi remakab semèn sa a se te sensivity, ki te anvayi npm ak plis pase 70 vèsyon atravè seri 2.5.x la, konfime pandan plizyè jou. Lòt gwoupman remakab yo te gen ladan yon vag @solana-labs typosquats ki vize ekosistèm Solana a (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — atravè de kanpay piblikasyon separe nan dat 7 jen ak 8 jen), la @nstrlabs fanmi (sdk, ixel, utils, shared-components, api-client, auth — atak konfizyon depandans kont yon espas non pake entèn), la @klapp-login-platform gwoup (native-sdk, oidc, routes — pran idantite yon platfòm otantifikasyon), internallib_v557 ta dwe apwouve bèso tibebe w la epi internallib_v984 (plizyè vèsyon enpostè bibliyotèk entèn ki bouche), pocteszep (6 vèsyon pibliye nan dat 11 jen), ak yon gwoup sèvis piblik kriptografik ak Web3 ki gen ladan blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87, epi farming-tools-12. morningstar-design-system Pake a te parèt an twa vèsyon nan dat 10 jen, li te imite yon sistèm konsepsyon finansye byen koni.
Apati 13 jen, ritm lan te akselere. houzidawang806 gwoup la poukont li te konte plis pase 25 vèsyon pibliye nan yon sèl jou, ansanm ak frè ak sè yo houzidawang807 ta dwe apwouve bèso tibebe w la epi houzidawang808. metrics-pipeline-d8k2 Yo te repibliye pake a kontinyèlman atravè 21 vèsyon ant 15 jen ak 18 jen — yon kanpay evazyon soutni ki fèt pou rete devan lis blòk yo. friendly-greeter-demo pake a te kontinye reaparèt nan tout vèsyon yo pandan tout semèn nan. Nouvo tantativ konfizyon sou depandans te parèt anba xy-shared, axl-ui, loadninja-shared, carousel-controller-mixin, token-prices-cron, hemi-supply-cron, portal-backend, vault-strategies, ak plizyè lòt — tout pote nimewo vèsyon gonfle nan seri 999.x la. Yon nouvo gwoup non sèvis piblik jenerik ak sifiks egzagonal o aza (color-utils-dee0, data-utils-d703, string-tools-be6c, type-check-816d, fmt-helpers-794b, metrics-probe-*) te parèt sou 18–19 jen, ki konsistan avèk enskripsyon an mas pa senaryo. Semèn nan te fini ak trimprompt, trimprompt-hub, claude-cup, epi web3-crypto-address-utils konfime nan dat 19 jen. Nan PyPI, neuralbridge-sdk (senk vèsyon atravè 4.5.x–5.1.x), deepstrain, teambot-ai, hello-test-s1, epi aiaddin-agent yo te konfime pandan tout semèn nan.
Sa yo pa t anomali izole. Sa ki te make semèn sa a se konsantrasyon atak konfizyon depandans kont espas non pakè entèn yo, kanpay piblikasyon plizyè jou ki te fèt pou dire pi lontan pase sipresyon yo, sib kontinyèl zouti Web3 ak DeFi (yon modèl ki te akselere anpil an 2026), ak yon itilizasyon k ap grandi nan non pakè jenerik, ki sanble ak bri, ki fèt pou evite deteksyon lè yo melanje nan pyebwa depandans nòmal yo.
Aperçu chak semèn sa a fè pati Malicious Code Digest nou an, kote nou valide nouvo menas yo epi bay entèlijans aksyonab pou ede ekip DevSecOps yo pwoteje tèt yo. pipelineanvan domaj rive. Ann analize sa nou te jwenn semèn sa a ak poukisa li enpòtan.
Pa kite kanpay kowòdone yo rive jwenn ou Pipelines
Rezime semèn sa a pa t konsène yon sèl menas; li te konsène echèl. Plis pase 200 pakè konfime, inondasyon vèsyon kontinyèl pandan plizyè jou, ak kanpay anrejistreman an mas ki fèt ak script k ap kouri pi vit pase sa revizyon manyèl yo ka swiv. Atakan yo pa ap tann ou pou ratrape yo.
Deteksyon bonè lojisyèl malveyan Xygeni siveye npm, PyPI, ak lòt rejis kontinyèlman, siyalize menas yo nan moman piblikasyon an, pa apre yo fin rive nan yon build. Lè yon kanpay pibliye 21 vèsyon menm pake move a pandan kat jou, yon eskan chak semèn pa detekte anyen alè.
Xygeni a Open Source Security solisyon an bay ekip DevSecOps ou yo vizibilite an tan reyèl ak priyorizasyon yo bezwen pou yo rete devan egzakteman kalite presyon kowòdone sa a, kidonk ou pipelineRete pwòp san ralanti ekip ou yo.
