Ogni settimana, i nostri sistemi di rilevamento malware analizzano migliaia di pacchetti nuovi e aggiornati su registri pubblici come npm, PyPI e OpenVSX. Abbiamo confermato 53 pacchetti dannosi tra il 21 e il 28 agosto, 2026, guidato dalla continuazione della campagna di impersonificazione di Baileys segnalata la scorsa settimana, un gruppo di sette pacchetti di e-commerce con la stessa versione pubblicati in un solo giorno e un'ondata di pacchetti a tema autenticazione (TOTP, 2FA, OTP) diffusi attraverso cinque diverse varianti di denominazione.
L'imitazione di Baileys continuò sotto @vanzxy/baileys, con sette nuove versioni (dalla 1.4.3 alla 1.4.9) confermate tra il 22 e il 23 agosto, lo stesso schema di iterazione rapida osservato la settimana precedente.
Un gruppo di sette pacchetti (sm-billing-form, sm-cart, sm-payment, sm-checkout, sm-session, sm-admin, sm-apikey-model) sono stati tutti pubblicati nella stessa versione 99.0.1 Il 24 agosto, è emerso un insolito numero di versione condiviso tra nomi di pacchetti apparentemente indipendenti e a tema e-commerce.
Da segnalare anche: una serie di nomi di pacchetti relativi all'autenticazione, totp-utils, secret-key-totp, secretkey-2fa, secretkey2fae 2fa-secretkey, sono apparsi nel corso della settimana con diverse convenzioni di denominazione ma un tema comune, insieme auth-otp, che ha pubblicato cinque versioni in un solo giorno (24 agosto).
Questa istantanea settimanale fa parte del nostro continuo Digest del codice dannoso, dove convalidiamo nuove minacce per aiutare i team DevSecOps a proteggere i loro pipelineprima che si verifichino danni.
Stessa versione, sette nomi: 53 pacchetti dannosi questa settimana
Il resoconto di questa settimana mostra la stessa pressione da due prospettive diverse: una campagna che continua a utilizzare un vecchio alias e un nuovo focolaio che si cela dietro un dettaglio insolito e condiviso.
La campagna di impersonamento di Baileys, segnalata la settimana scorsa, non si è fermata. @vanzxy/baileys Sono state pubblicate sette nuove versioni (dalla 1.4.3 alla 1.4.9) tra il 22 e il 23 agosto, seguendo lo stesso schema di progressione delle versioni osservato la settimana precedente sotto un alias diverso, il che è coerente con un attaccante che modifica il nome del pacchetto anziché abbandonare il tentativo dopo essere stato rilevato.
Un cluster separato si è rivelato tramite i numeri di versione piuttosto che i nomi. Sette pacchetti con marchio e-commerce (sm-billing-form, sm-cart, sm-payment, sm-checkout, sm-session, sm-admin, sm-apikey-model) tutti distribuiti con la stessa versione 99.0.1 il 24 agosto, una coincidenza insolita tra progetti apparentemente indipendenti che indica un unico attore dietro tutti e sette. Un'ondata separata di pacchetti a tema autenticazione, totp-utils, secret-key-totp, secretkey-2fa, secretkey2fae 2fa-secretkey, hanno diffuso lo stesso tema attraverso cinque diverse convenzioni di denominazione nel corso della settimana, con auth-otp ha pubblicato ben cinque versioni in un solo giorno.
Avviso di malware anticipato di Xygeni Monitora npm, PyPI, Maven, OpenVSX e altri registri in tempo reale, segnalando le minacce al momento della pubblicazione, prima che raggiungano una build e prima che un agente di intelligenza artificiale le installi autonomamente. Quando sette nomi di pacchetti apparentemente non correlati vengono pubblicati con lo stesso numero di versione nello stesso giorno, o una campagna riemerge con un nuovo alias una settimana dopo la precedente, un sistema di rilevamento che effettua un solo controllo è già obsoleto.
Quello di Xygeni Open Source Security La piattaforma offre ai team DevSecOps il rilevamento e la prioritizzazione in tempo reale necessari per stare al passo con la pressione coordinata della catena di fornitura, in modo che la tua pipelines rimane pulito senza rallentare le tue squadre.
