Í hverri viku, skannar spilliforritagreiningarkerfi okkar þúsundir nýrra og uppfærðra pakka í opinberum skrám eins og npm og PyPI. Þessi vika var engin undantekning.
Við staðfestum yfir 200 illgjarn pakka á milli 12. júní og 19. júní 2026, aðallega í npm, með viðbótartilfellum í PyPI. Nokkur birtust í samhæfðum klösum, endurteknum illgjarnum útgáfum sem gefnar voru út undir sömu nöfnum eða í nátengdum pakkafjölskyldum.
Málið sem stóð upp úr í þessari viku var sensivity, sem flæddi yfir 70 útgáfur af 2.5.x sviðinu yfir npm, staðfestar yfir marga daga. Aðrir athyglisverðir klasar voru meðal annars bylgja af @solana-labs typosquats sem miða á vistkerfið Solana (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — í tveimur aðskildum útgáfuherferðum 7. júní og 8. júní), @nstrlabs fjölskylda (sdk, ixel, utils, shared-components, api-client, auth — árás vegna ruglings í tengslum við ósjálfstæði gegn innra nafnrými pakkans), @klapp-login-platform hóp (native-sdk, oidc, routes — að þykjast vera auðkenningarvettvangur), internallib_v557 og internallib_v984 (margar útgáfur af dulbúnum innri bókasafnssvikurum), pocteszep (6 útgáfur birtar 11. júní) og klasa af dulritunar- og Web3-tólum, þar á meðal blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87og farming-tools-12. Í morningstar-design-system Pakkinn birtist í þremur útgáfum 10. júní og hermdi eftir þekktu fjármálahönnunarkerfi.
Frá og með 13. júní jókst hraðinn. houzidawang806 klasinn einn og sér stóð fyrir yfir 25 útgáfum sem gefnar voru út á einum degi, ásamt systkinum houzidawang807 og houzidawang808. Í metrics-pipeline-d8k2 Pakkinn var endurútgefinn stöðugt í 21 útgáfu á milli 15. júní og 18. júní — viðvarandi undanskotsherferð sem var hönnuð til að vera á undan bannlistum. friendly-greeter-demo Pakkinn birtist aftur og aftur í mismunandi útgáfum alla vikuna. Nýjar tilraunir til að rugla saman tengslum komu upp undir xy-shared, axl-ui, loadninja-shared, carousel-controller-mixin, token-prices-cron, hemi-supply-cron, portal-backend, vault-strategiesog nokkur önnur — öll með uppblásin útgáfunúmer í 999.x sviðinu. Nýr hópur almennra gagnanafna með handahófskenndum sexhyrningsviðskeytum (color-utils-dee0, data-utils-d703, string-tools-be6c, type-check-816d, fmt-helpers-794b, metrics-probe-*) birtist 18.–19. júní, í samræmi við handritaða fjöldaskráningu. Vikan endaði með trimprompt, trimprompt-hub, claude-cupog web3-crypto-address-utils staðfest 19. júní. Í PyPI, neuralbridge-sdk (fimm útgáfur í 4.5.x–5.1.x), deepstrain, teambot-ai, hello-test-s1og aiaddin-agent voru staðfestar í vikunni.
Þetta voru ekki einangruð frávik. Það sem stóð upp úr í þessari viku var einbeiting ruglingsárása gegn innri pakkanafnsrýmum, viðvarandi útgáfuherferðir sem stóðu yfir í marga daga og voru hannaðar til að endast lengur en niðurfellingar, áframhaldandi markmiðsetning á Web3 og DeFi verkfæri (mynstur sem hefur aukist verulega árið 2026) og vaxandi notkun almennra, hávaðalíkra pakkanafna sem eru hönnuð til að forðast uppgötvun með því að blandast við venjuleg ósjálfstæðistré.
Þessi vikulega yfirlitsmynd er hluti af áframhaldandi yfirliti okkar um skaðlegan kóða, þar sem við staðfestum nýjar ógnir og veitum nothæfar upplýsingar til að hjálpa DevSecOps teymum að vernda öryggi sitt. pipelineáður en tjón verður. Við skulum skoða hvað við fundum í þessari viku og hvers vegna það skiptir máli.
Láttu ekki samhæfðar herferðir ná til þín Pipelines
Samantekt þessarar viku snerist ekki um eina ógn; hún snerist um umfang. Yfir 200 staðfestir pakkar, viðvarandi útgáfuflæði yfir marga daga og handritaðar fjöldaskráningarherferðir sem keyra hraðar en handvirkar yfirferðir geta fylgst með. Árásarmennirnir eru ekki að bíða eftir að þú náir í þá.
Xygeni snemmbúin greining spilliforrita fylgist stöðugt með npm, PyPI og öðrum skrám og merkir ógnir við birtingu, ekki eftir að þær hafa lent í hugbúnaði. Þegar herferð birtir 21 útgáfu af sama skaðlega pakkanum á fjórum dögum, greinir vikuleg skönnun ekkert í tæka tíð.
Xygeni's Open Source Security Lausnin veitir DevSecOps teymunum þínum rauntímasýn og forgangsröðun sem þau þurfa til að vera á undan nákvæmlega þessari tegund af samhæfðum þrýstingi, svo að ... pipelineHaldið ykkur hreinum án þess að hægja á liðunum ykkar.
