Malicious Code Digest Riepilogo mensile: settembre

Benvenuti all'edizione di settembre del Xygeni Malicious Code Digest. Questo mese, il nostro team di ricerca sulla sicurezza ha confermato la presenza di 104 pacchetti dannosi su npm e PyPI, monitorati attraverso quattro report settimanali.

Settembre è stato definito da tre tendenze convergenti: campagne che sono proseguite direttamente da agosto e sono continuate nonostante le rimozioni; confusione di dipendenze su larga scala, con decine di pacchetti che dichiarano numeri di versione gonfiati come 99.0.0 and 19999.x per appropriarsi indebitamente di namespace privati; e un chiaro spostamento verso gli ecosistemi di plugin e automazione a cui gli sviluppatori si affidano per l'accesso privilegiato, come Strapi, n8n e MCP.

Tra le campagne più significative documentate questo mese:

• Migliori operatore anti-proctoring autoeliminante è tornato il 1 settembre, con amicat, bmcat, eyevox and moidevh confermato insieme a due nuovi nomi derivati ​​dallo stesso ramo, moidevk and moidevl.
• Baileys, la libreria WhatsApp Web API oggetto di attacchi di impersonificazione per tutto il mese di agosto, è rimasta sotto attacco: cloud-baileys versioni raggiunte 1.1.37 and 1.1.38 nella prima settimana e 1.1.41 entro il 19 settembre, diventando così una delle imitazioni più longeve che abbiamo monitorato.
• Una campagna di 21 pacchetti (dal 15 al 17 settembre) ha pubblicato falsi plugin Strapi con il tag "meeb", tutti alla stessa versione 3.6.8, insieme a pacchetti complementari con nomi come os-info-meeb322k and fs-pwn-meeb322k.
• Un singolo pacchetto, @nimbusedge/auth, spedite 39 versioni in un giorno (11 settembre), tutte numerate 19999.x quindi avrebbero la precedenza su qualsiasi versione interna legittima.
• Ogni settimana comparivano pacchetti che creavano confusione tra le dipendenze, recanti nomi aziendali e che richiamavano l'ambiente interno: etoro-cashout, etoro-analytics and etoro-aggregator (Settembre 11), concierge-sdk at 99.99.99 (Settembre 13), @traktis/core (Settembre 17) e @dbbhk/ui-components, @siriusbeyond/* and @alphaspace/core at 99.x nell'ultima settimana del mese.
• L'operatore “siriusbeyond” ha iniziato con un singolo pacchetto senza ambito il 20 settembre ed è tornato quattro giorni dopo come una famiglia con ambito (@siriusbeyond/auth, /ui, /utils), lo stesso marchio presentato come un pacchetto interno.
• I falsi nodi del flusso di lavoro n8n si sono ripresentati nel corso del mese, tra cui n8n-nodes-sysdiag2, n8n-nodes-buildcheck and n8n-nodes-data-transformer-utils, confermando un andamento osservato per la prima volta ad agosto.
• Un cliente MCP, mcp-consultasdeveiculos-client, è stato pubblicato in tre versioni in un solo giorno (4 settembre), a ricordare che lo strato di strumenti per l'IA fa ora parte della stessa catena di fornitura.
• Sei copie numerate di simple-date-formatter-new-* (dall'11 al 16) sono stati pubblicati il ​​25 settembre, un'esplosione programmata creata per testare quali nomi passano.

Il modello distintivo di settembre: gli aggressori non si limitano più a utilizzare nomi di aziende affidabili, ma occupano posizioni di rilievo. Plugin, nodi di workflow, client MCP e namespace di pacchetti privati ​​vengono eseguiti con privilegi di accesso superiori a quelli di una normale dipendenza, ed è proprio in questi ambiti che si sono concentrate le campagne di settembre.

Di seguito è riportato un riepilogo di ciò che abbiamo scoperto. Puoi visualizzare i dati di tutte e quattro le settimane divulgati in dettaglio su Indice di Malicious Code Digest.