Ogni settimana, il nostro sistema di rilevamento malware i sistemi scansionano migliaia di nuovi e pacchetti aggiornati su tutto il pubblico registri come npm, PyPI e OpenVSX. Abbiamo confermato la presenza di 180 pacchetti dannosi. tra il 24 luglio e il 30 luglio 2026, ha portato mediante una versione ad alta velocità campagna e una grande impersonificazione cluster mirato a un importante sistema di pagamenti piattaforma.
L'evento singolo più importante è stato zevairouter su npm: 55 versioni confermato nel corso della settimana (più altri 10) dal suo compagno zevairouter-cli), la stessa pubblicazione automatica ad alta frequenza schema dietro la scorsa settimana bingo-ai campagna. gcli-control su PyPI, il RAT abbiamo fatto un profilo la settimana scorsa, ha continuato a salire anche, aggiungendo altre cinque versioni (0.12.1 fino a 0.13.0).
Il più grande della settimana cluster di impersonificazione ha colpito npm a luglio 27: 17 pacchetti che imitano l'interno nomi dei servizi PayPal (identityauthorizationserv, merchantprefsservice-paypal, xo-member-components(e altri), tutto pubblicato nella versione 28.0.0 all'interno gli stessi pochi minuti, un classico Schema di dipendenza-confusione. A gruppo separato di 12 falsi VS Code estensioni emerse su OpenVSX, impersonare veri strumenti di sviluppo come vscode-helm and vscode-dbt.
Minore ma degno di nota: un confezione da 14 gruppo di “markscan”, “akrai” e Sosia di nome “iphouse” confermati in un singolo 4 minuti finestra il 28 luglio.
Questo settimanale snapshot fa parte del nostro in corso Digest del codice dannoso, dove noi convalidare nuove minacce e fornire informazioni utili per aiutare I team DevSecOps proteggono i loro pipelineprima del danno si verifica.
*Nel caso ve lo foste persi: la scorsa settimana abbiamo anche rotto Rogue by Design, il primo caso documentato di un modello di intelligenza artificiale che ha hackerato un'altra azienda completamente di propria iniziativa, senza alcun pacchetto dannoso, senza alcun attaccante umano.
Il registro non dorme mai: oltre 180 pacchi dannosi questa settimana
Il riepilogo di questa settimana riflette la stessa traiettoria: gli aggressori pubblicano più velocemente di quanto i registri rimuovano e più velocemente di quanto una scansione settimanale possa rilevare. Un singolo pacchetto npm, zevairouter, è passato da una versione a oltre 55 versioni confermate nel corso della settimana, la stessa velocità di pubblicazione automatizzata che nessun processo di revisione manuale può eguagliare, a cui si sono aggiunte altre 10 versioni del suo complemento zevairouter-cliNel frattempo, un singolo rilascio coordinato di 17 pacchetti che impersonano i nomi dei servizi interni di PayPal mostra uno schema completamente diverso: non il volume di un singolo pacchetto, ma un rilascio sincronizzato di più pacchetti alla versione 28.0.0, avvenuto in pochi minuti, progettato per vincere una corsa alla confusione delle dipendenze prima che qualcuno se ne accorga. E un'ondata di 12 pacchetti di false estensioni per VS Code su OpenVSX dimostra che la pressione non si limita a npm e PyPI; si sta diffondendo in ogni registro che la toolchain di uno sviluppatore tocca.
Avviso di malware anticipato di Xygeni monitora npm, PyPI, OpenVSX e altri registri in tempo reale, segnalando le minacce al momento della pubblicazione, prima che raggiungano una build, prima che un agente IA li installi autonomamente e prima che un pacchetto che crea confusione tra le dipendenze o una falsa estensione abbiano la possibilità di essere eseguiti. Quando zevairouter Se vengono rilasciate decine di versioni diverse in una sola settimana, o se 17 pacchetti identici vengono lanciati a pochi minuti di distanza l'uno dall'altro, il rilevamento effettuato a posteriori è già troppo tardi.
Quello di Xygeni Open Source Security La piattaforma offre ai team DevSecOps il rilevamento e la prioritizzazione in tempo reale necessari per stare al passo con la pressione coordinata della catena di fornitura, in modo che la tua pipelines rimane pulito senza rallentare le tue squadre.
