Minden hétenkártevő-észlelő rendszereink több ezer új és frissített csomagot vizsgálnak át nyilvános rendszerleíró adatbázisokban, mint például az npm és a PyPI. Ez a hét sem volt kivétel.
2026. június 26. és július 3. között több mint 90 kártékony csomagot erősítettünk meg az npm és a PyPI rendszerben, számos kampány folytatódott az előző hetekből, és újak is megjelentek.
Az nolimit-agent kampány folytatta az új verziók (1.0.306, 1.0.315, 1.0.316) kiadását, kiterjesztve a Microsoft 365 eszközkód-adathalászati keretrendszerét, amelyet részletesen dokumentáltunk a mi ...-nkben. DeviceDoor jelentés Az anthropic-toolkit A cluster volt a domináns új kampány, amelynek csak június 30-án 20 verzióját erősítették meg – közvetlenül az Anthropic fejlesztői eszközeihez kapcsolódó csomagokat célozva meg. cursed-modules a család több mint 15 változatot tett közzé július 1. és július 2. között mindkét oldalon standard és a felfújt verziószámok (999.x), a függőségi zavarokkal kapcsolatos forgatókönyvet követve. date-fns-lite A cluster (5 verzió, július 2.) folytatta a legitim, széles körben használt segédprogramcsomagok utánzásának mintáját.
A múlt héten létrehozott mesterséges intelligencia eszközeinek célzási mintája ollama-helpers és a openai-agents-helpers meghosszabbítva erre az időszakra ai-explain, ai-sdk-helpersés @langgraphjs/toolkit, mindegyiket június 28. és június 30. között erősítették meg. @szc-ft/mcp-szcd-client csomag (0.38.0 és 0.39.0 verziók, július 2-án megerősítve) egy új mintát vezetett be, amelyet folyamatosan követünk. SkillLeak: egy MCP-készségbe rejtett hitelesítőadat-visszafejtő, nem pedig egy telepítési hook, amely láthatatlan a telepítés után leállító szkennerek számára. Közzétettünk egy teljes SkillLeak elemzés itt.
Ez a heti pillanatkép a folyamatos Rosszindulatú kód összefoglalása, ahol új fenyegetéseket validálunk, és hasznosítható információkat nyújtunk a DevSecOps csapatok számára, hogy megvédjék a sajátjukat pipelinemielőtt kár keletkezik. Nézzük meg, mit találtunk ezen a héten, és miért fontosak ezek.
90+ csomag. Egy hét. A Pipeline A Célpont.
A hét összefoglalója a támadók fókuszának eltolódását tükrözi, nemcsak a mennyiség, hanem a felkészülés terén is.cision. Tartós verzióelárasztás, mesterséges intelligencia eszközcsoportok, MCP-rétegbeli hitelesítő adatok ellopása és függőségi zavart okozó támadások a belső monorepo névterek ellen. A kampányok automatizáltak és folyamatosak. A heti vizsgálat nem védekezés.
Xygeni korai figyelmeztetés a rosszindulatú programokról valós időben figyeli az npm-et, a PyPI-t és más nyilvántartásokat, és a fenyegetéseket a közzététel pillanatában, még mielőtt elérnék a buildet, mielőtt egy MI-ügynök automatikusan telepítené őket, és mielőtt egy SkillLeak-stílusú hasznos adatnak esélye lenne a végrehajtásra. anthropic-toolkit egyetlen nap alatt 20 verziót tesz közzé, vagy cursed-modules két napon keresztül elárasztja az npm-et a 999.x verzióval, az utólagos észlelés már túl későn történik.
Xygenié Open Source Security A platform valós idejű észlelést és priorizálást biztosít a DevSecOps csapatoknak, amelyekre szükségük van ahhoz, hogy megelőzzék a koordinált ellátási lánc nyomását, így az Ön pipelinetiszták maradhatnak anélkül, hogy lelassítanák a csapataikat.
