Come ogni settimana, i nostri sistemi di rilevamento malware analizzano migliaia di pacchetti nuovi e aggiornati presenti nei registri pubblici. Abbiamo confermato 24 versioni di pacchetti dannosi tra l'18 e il 25 settembre 2026., tutti su npm, con sei pacchetti numerati in sequenza pubblicati negli stessi due minuti, uno spazio dei nomi con ambito limitato attaccato da tre direzioni contemporaneamente e una coppia di nomi che puntano direttamente a un pacchetto interno.
simple-date-formatter-new-11 attraverso -16 Sono stati pubblicati il 25 settembre tra le 06:01 e le 06:03 sei pacchetti alla versione 1.0.0, distinguibili solo dal numero finale. La nomenclatura è l'elemento rivelatore. Nessuno che si cimenti con un formattatore di date arriva alla versione da undici a sedici in meno di due minuti. Si tratta di una sequenza generata per assegnare dei nomi, e la semplicità della struttura di utilità è ciò che permette di distinguerli rapidamente in un elenco di dipendenze.
siriusbeyond è apparso in due forme nella stessa operazione: come pacchetto senza ambito alla versione 1.0.0 il 20 settembre, poi come @siriusbeyond/auth, @siriusbeyond/ui and @siriusbeyond/utils, tutti bloccati a 99.0.0, il 24 settembre, insieme @dbbhk/ui-components alla stessa versione e nello stesso batch. Coprire le forme con ambito e senza ambito di un nome è una scommessa sul comportamento del resolver di destinazione piuttosto che sul pacchetto scelto dallo sviluppatore.
Vale anche la pena notare: commerce-materials and byted-commerce-materials sono stati pubblicati a un minuto di distanza, entrambi alla versione 1.0.0, e l'abbinamento di un nome generico con un gemello con prefisso del fornitore è la forma che assume la confusione delle dipendenze quando l'attaccante sa che il pacchetto interno esiste. L'inflazione delle versioni è continuata per tutta la settimana in bulk-add-sdk a 1.99.99 anni, @alphaspace/core agli indirizzi 99.0.1 e 99.0.2, e al cluster 99.0.0 sopra. n8n-nodes-data-transformer-utils continua la serie di impersonificazione del nodo n8n che abbiamo segnalato la scorsa settimana e my-auto-follow Sono state rilasciate le versioni 1.0.6 e 1.0.7 una dopo l'altra.
Questa istantanea settimanale fa parte del nostro continuo Digest del codice dannoso, dove convalidiamo nuove minacce per aiutare i team DevSecOps a proteggere i loro pipelineprima che si verifichino danni.
Sei in due minuti: 24 versioni di pacchetti dannosi questa settimana
Il riepilogo di questa settimana è più breve e conciso del precedente: 24 versioni confermate, tutte su npm, con sei pacchetti numerati in sequenza pubblicati negli stessi due minuti e un singolo nome attaccato simultaneamente in forma con ambito e senza ambito.
simple-date-formatter-new-11 attraverso -16 sono aumentati il 25 settembre tra le 06:01 e le 06:03, tutti a 1.0.0, identici tranne che per la cifra finale. Nessuno raggiunge la versione sedici di un formattatore di date in due minuti. Questa è l'occupazione del nome, vestita con l'etichetta di utilità più noiosa disponibile in modo che sopravviva a un'occhiata in un elenco di dipendenze. siriusbeyond L'operazione è andata nella direzione opposta, coprendo entrambe le forme dello stesso nome: un pacchetto senza ambito il 20 settembre, poi @siriusbeyond/auth, /ui and /utils a 99.0.0 quattro giorni dopo, con @dbbhk/ui-components nello stesso lotto. Scommettere su entrambe le forme significa scommettere sul resolver piuttosto che sullo sviluppatore.
E la coppia da tenere d'occhio più da vicino: commerce-materials and byted-commerce-materials, pubblicati a un minuto di distanza nella stessa versione. Un nome generico accanto a un gemello con prefisso del fornitore è ciò che appare come confusione di dipendenza quando l'attaccante sa già che il pacchetto interno esiste. L'inflazione della versione è avvenuta di nuovo sotto tutto questo, in bulk-add-sdk alle 1.99.99 e @alphaspace/core alle 7:11 e 7:23.
Nessuno di questi nomi aveva una firma al momento del loro debutto. Erano nuovi, ed è proprio questo il punto.
Avviso di prevenzione contro il malware Xygeni Monitora npm, PyPI, Maven, Composer, OpenVSX e altri registri in tempo reale, segnalando le minacce al momento della pubblicazione, prima che raggiungano una build e prima che un agente di intelligenza artificiale le installi autonomamente. Quando compaiono sei pacchetti in due minuti, il rilevamento che attende una firma non è in ritardo di giorni, ma è in ritardo dell'intero attacco.
Quello di Xygeni Open Source Security La piattaforma offre ai team DevSecOps la possibilità di rilevare e dare priorità in tempo reale alle minacce, consentendo loro di anticipare le pressioni coordinate sulla catena di approvvigionamento.
