Ogni settimana, i nostri sistemi di rilevamento malware analizzano migliaia di pacchetti nuovi e aggiornati su registri pubblici come npm, PyPI e OpenVSX. Tra il 15 e il 20 agosto 2026 abbiamo confermato la presenza di 34 pacchetti dannosi, tra cui una campagna di impersonificazione prolungata ai danni di Baileys, una popolare libreria open-source per l'API Web di WhatsApp, un gruppo di pacchetti di test con il marchio Twilio/HackerOne e una serie di pacchetti npm apparentemente non correlati, ma accomunati da un numero di versione identico e insolitamente elevato.
L'imitazione di Baileys è durata più a lungo: quattro nomi di pacchetti separati (@mrlegendbot/baileys, cloud-baileys, @vanzxy/baileys, ourin-baileys) confermato nell'arco di sei giorni, con cloud-baileys Il contenuto è stato ripubblicato quattro volte tra il 15 e il 20 agosto con numeri di versione crescenti, uno schema coerente con un attacco informatico ripetuto dopo il rilevamento, piuttosto che con un caricamento singolo.
Un cluster separato il 15 agosto ha pubblicato pacchetti che fanno riferimento a Twilio e HackerOne (twilio-hackerone-poc-afe6937c, cinque versioni in un giorno, più tw-pkgprobe-7731 and hunterone-build-probe-9210), convenzioni di denominazione tipicamente associate al bug bounty o al sondaggio di confusione di dipendenza piuttosto che a un payload mascherato.
Da segnalare anche: pump-segments-sdk, carbon-monorepoe pump-fun-skills, tre nomi di pacchetti altrimenti non correlati tutti pubblicati alla versione 20.1.1 Il 19 agosto, un insolito numero di versione condiviso tra progetti apparentemente indipendenti suggerisce un unico autore dietro a tutti e tre.
Questa istantanea settimanale fa parte del nostro continuo Digest del codice dannoso, dove convalidiamo nuove minacce per aiutare i team DevSecOps a proteggere i loro pipelineprima che si verifichino danni.
Quando l'iterazione batte il rilevamento: 34 pacchetti dannosi questa settimana
Il riepilogo di questa settimana mostra che gli aggressori fanno affidamento sulla persistenza piuttosto che su un singolo caricamento fortunato. cloud-baileys L'imitazione della popolare libreria WhatsApp Web API è stata ripubblicata quattro volte distinte tra il 15 e il 20 agosto con numeri di versione crescenti, insieme ad altri tre nomi simili (@mrlegendbot/baileys, @vanzxy/baileys, ourin-baileys), una campagna continuativa piuttosto che un tentativo isolato.
Le convenzioni di denominazione hanno rivelato altri cluster altrettanto rapidamente. Un gruppo di pacchetti con marchio Twilio e HackerOne, tra cui twilio-hackerone-poc-afe6937c pubblicato in cinque versioni in un solo giorno, insieme tw-pkgprobe-7731 and hunterone-build-probe-9210, ha utilizzato modelli di denominazione tipicamente associati al bug-bounty o al sondaggio della confusione di dipendenza. Altrove, tre nomi di pacchetti non correlati (pump-segments-sdk, carbon-monorepo, pump-fun-skills) tutti distribuiti con lo stesso numero di versione 20.1.1 nello stesso giorno, una strana coincidenza che fa pensare a un unico attore che opera dietro a tutti e tre.
Avviso di malware anticipato di Xygeni Monitora npm, PyPI, Maven, OpenVSX e altri registri in tempo reale, segnalando le minacce al momento della pubblicazione, prima che raggiungano una build e prima che un agente di intelligenza artificiale le installi autonomamente. Quando lo stesso nome di pacchetto ricompare quattro volte in sei giorni con una nuova versione ogni volta, un sistema di rilevamento che effettua un solo controllo è già obsoleto.
Quello di Xygeni Open Source Security La piattaforma offre ai team DevSecOps il rilevamento e la prioritizzazione in tempo reale necessari per stare al passo con la pressione coordinata della catena di fornitura, in modo che la tua pipelines rimane pulito senza rallentare le tue squadre.
