Selamat datang di edisi Juli dari Xygeni Malicious Code Digest. Bulan ini, Tim riset keamanan kami mengkonfirmasi lebih dari 780 paket berbahaya di npm, PyPI, dan OpenVSX (pasar ekstensi VS Code), yang dilacak melalui lima ringkasan mingguan..
Bulan Juli ditandai oleh tiga tren yang saling berkaitan: kampanye penyebaran versi secara besar-besaran dan berkelanjutan yang dirancang untuk bertahan lebih lama daripada upaya penghapusan; peningkatan tajam dalam serangan yang menargetkan perangkat AI, server MCP, dan alur kerja agen; dan kampanye kebingungan ketergantungan yang terkoordinasi terhadap keduanya. enterprise namespace dan ekosistem kripto/DeFi.
Di antara kampanye-kampanye paling penting yang didokumentasikan bulan ini:
bingo-aiVersi tersebut muncul kembali di PyPI dua kali, membanjiri registri dengan lebih dari 150 versi dalam dua gelombang (13 Juli dan 21 Juli), yang menegaskan bahwa ini adalah operasi yang sedang berlangsung, bukan kejadian sekali saja.zevairoutermenjadi kampanye paket tunggal terbesar di bulan Juli: lebih dari 65 versi di seluruh npm, diterbitkan secara terus menerus dari tanggal 25–28 Juli.gcli-control, Windows RAT kami membuat profil secara detail yang mengarahkan C2-nya melalui npoint.io, ditingkatkan dari versi 0.1.0 ke 0.13.0 selama tiga minggu terpisah.@szc-ft/mcp-szcd-client, paket di baliknya SkillLeakTulisan kami tentang dekriptor kredensial yang diberikan melalui paket keterampilan MCP, telah dikonfirmasi pada tanggal 2 Juli.- Pekan tanggal 7 Juli menghadirkan penargetan perangkat AI terberat bulan ini:
mcp-server-pg,anthropic-toolkit,openai-agents-helpers,ollama-helpers, dan@langgraphjs/toolkit, dengan menyamar sebagai MCP, Anthropic, OpenAI, Ollama, dan LangGraph. - Sebuah kelompok penipuan PayPal yang terdiri dari 17 paket muncul di npm pada tanggal 27 Juli, semuanya pada versi 28.0.0 dalam hitungan menit.
@wagni_bot, sekitar 60 paket npm yang meniru SDK dompet kripto (Ethereum, Solana, Binance, dan lainnya), semuanya diterbitkan dalam satu hari, 10 Juli.- Lebih dari selusin ekstensi VS Code palsu muncul di OpenVSX, yang menegaskan bahwa penyerang memperluas jangkauan serangan mereka dari registri paket ke dalam IDE itu sendiri.
Pola utama bulan Juli: serangan semakin menargetkan agen AI dan perangkat otomatis yang menginstal paket tanpa campur tangan manusia, dengan kecepatan penerbitan yang dirancang untuk melampaui tinjauan manual.
Berikut adalah ringkasan dari temuan kami. Anda dapat melihat data lengkap selama lima minggu tersebut di [tautan]. Indeks Ringkasan Kode Berbahaya.
Minggu ke-5: Lebih dari 180 Paket Ditemukan
Minggu ke-4: Lebih dari 165 Paket Ditemukan
Minggu ke-3: Lebih dari 145 Paket Ditemukan
Minggu ke-2: Lebih dari 200 Paket Ditemukan
Minggu ke-1: Lebih dari 90 Paket Ditemukan
Dari Badai Versi hingga Peniruan AI: Apa yang Terungkap dari Serangan Rantai Pasokan Bulan Juli
Kampanye-kampanye di atas bukanlah kasus pengecualian, melainkan kondisi standar saat ini. Badai pembaruan versi yang berlebihan, serangan peniruan identitas yang terkoordinasi, dan peniruan identitas menggunakan alat AI kini menghantam tim-tim nyata. SDLCsetiap minggu, seringkali tanpa campur tangan manusia antara proses penerbitan dan pemasangan.
Xygeni's deteksi malware ke splatform keamanan rantai hulu Memberikan visibilitas kepada organisasi untuk mendeteksi dependensi berbahaya sebelum dieksekusi pada mesin pengembang, masuk ke sistem build, atau mencapai produksi. Cakupannya meliputi npm, PyPI, OpenVSX, dan lainnya, memantau pola penerbitan yang mencurigakan, penyalahgunaan namespace, typosquatting, dan teknik serangan berbasis AI saat muncul.
Setiap temuan secara otomatis diprioritaskan berdasarkan potensi eksploitasi, jangkauan, dan dampak bisnis, sehingga tim Anda dapat fokus pada apa yang benar-benar perlu diperbaiki, bukan hal-hal yang tidak penting.
Jelajahi setiap paket dan kampanye berbahaya yang telah divalidasi oleh Tim Keamanan Xygeni di Ringkasan Kode Berbahaya.
Tetap aman. Tetap cepat. Tetap terkendali dengan Xygeni.
