כמדי שבוע, מערכות זיהוי התוכנות הזדוניות שלנו סורקות אלפי חבילות חדשות ומעודכנות ברישומים ציבוריים. אישרנו 35 גרסאות חבילות זדוניות בין ה-4 ל-9 באוקטובר 2026 — 31 ב-npm, 3 ב-PyPI ו-1 ב-Composer — בהובלת עשר חבילות שפורסמו בהפרש של שלוש דקות זו מזו, שני מרחבי שמות בעלי טווח מנופח על פני ארבע גרסאות כל אחד, וקמפיין החיקוי של בייליס שעדיין נמשך.
עשר בשלוש דקות
ב-4 באוקטובר, בין השעות 01:00 ל-01:03, אושרו עשר חבילות npm ברצף, כל אחת מהן מוצמדת ל... 100.0.0: ai-workshop-radio-app, ai-workshop-radio-lambda, ai-workshop-maa15-radio, apl-rive-renderer, brioche-apl-dev-env, figma-to-apl, alexa-cybertron-team-code-review-agent, live-detection-dashboard, okra-cloud-cdk ו niksinnkatalapp - עם eslint-plugin-skywagon-web להגיע לאותו הדבר 100.0.0 מוקדם יותר באותו בוקר. השמות הם מה שרואים: כלים שנשמעים פנימיים שאין להם סיבה להתקיים ב-npm ציבורי. מצמידים אותם ל 100.0.0 זה לא ניסיון להיראות לגיטימי. זהו ניסיון להתעלות מעל כל גרסה שחבילה פנימית מפענחת אליה, כך שבנייה שתצורתה אינה מוגדרת כראוי תפנה תחילה לעותק של התוקף.
שמות בהיקף, גרסאות מוגדלות
שני מרחבי שמות בעלי היקף אימצו את אותו רעיון עם יותר סבלנות. @inpeek/odata ו @inpeek/odata-angular כל אחד מהם נדחף לצד השני 99.99.99, 99.99.100, 99.99.101 ו 99.99.102 ב-5 באוקטובר - שמונה גרסאות המכסות את הצמד. ב-9 באוקטובר, @galicia-toolkit/tag-manager ו @galicia-toolkit/spa-build-config הגיע 999.0.5 ו 999.0.6שמות מוגבלים שנקראים כמו ארגז כלים פרטי של חברה, מוצמדים לגרסאות ששום גרסה אמיתית לא מגיעה אליהן, הם בלבול תלויות המכוון לפותר ולא למפתח.
טיפוסקווטים, פקודות מכירה וקמפיין חוזר
שאר השבוע מילא את הקצוות המוכרים. cloud-baileys shipped 1.1.42, הקטע האחרון של קמפיין החיקוי של בייליס שעקבנו אחריו מאז אוגוסט - התקציר האחרון זה היה 1.1.41. @tunstock/remact-dom כמעט החמצה על react-dom, סוג של טיפוסקוואט בן אות אחת שצריך לשרוד רק מבט עייף בקובץ נעילה. @rutxploit-sec/waves-button-poc שלחו שלוש גרסאות "PoC" עוקבות, voxeval אושר על פני שלוש מהדורות נקודות PyPI, ו slimfit/formbase היה הערך היחיד של המלחין השבוע.
תמונת מצב שבועית זו היא חלק מההתנסות המתמשכת שלנו סיכום קוד זדוני, שם אנו מאמתים איומים חדשים כדי לעזור לצוותי DevSecOps להגן על שלהם pipelineלפני שיתרחש נזק.
הרשימה המלאה: 35 גרסאות חבילות זדוניות שאושרו
מה השבוע הזה אומר לנו
צורת השבוע היא מהירות ותחפושת. עשר חבילות ב 100.0.0 בתוך חלון של שלוש דקות זה לא עשרה דקותcisיונים; זה סקריפט אחד. המטען פחות חשוב מהמיקום: שם שנראה כאילו הוא שייך לרישום הפרטי שלך, נושא מספר גרסה גבוה מספיק כדי לנצח במירוץ לפתרון בעיות. כמה מהשמות האלה נשענים על הגל הנוכחי של כלי בינה מלאכותית וסוכנים - סוכן סקירת קוד, ערכת סדנת בינה מלאכותית, ממיר Figma ל-APL - כי שם צוותים מייצרים חבילות פנימיות הכי מהר, ומהירות היא המקום שבו קיים בלבול.
מתחת לפרץ, הקמפיינים האיטיים שמרו על קצבם. בייליס עדיין מפרסמת, כעת ב cloud-baileys 1.1.42מרחבי שמות בעלי טווח עדיין מתנפחים בארבע גרסאות בכל פעם, החל מ- @inpeek ל @galicia-toolkit. react-dom דומה עדיין זקוק רק להתקנה אחת רשלנית. לאף אחד מהשמות האלה לא הייתה חתימה כשהם נחתו - הם היו חדשים, וזה בדיוק זיהוי בזמן אמת של חלון קיים כדי לסגור.
אזהרה מוקדמת של תוכנה זדונית של Xygeni מנטר את npm, PyPI, Maven, Composer, OpenVSX ורישומים אחרים בזמן אמת, מסמן איומים בעת הפרסום - לפני שהם מגיעים לגרסה קודמת, ולפני שסוכן בינה מלאכותית מתקין אותם באופן אוטונומי. כאשר עשר חבילות נוחתות תוך שלוש דקות, זיהוי שמחכה לחתימה אינו מתעכב בימים; הוא מתעכב בכל ההתקפה. Xygeni's Open Source Security הפלטפורמה מוסיפה את העדיפויות שצוותי DevSecOps צריכים כדי לפעול תחילה בנושאים החשובים.
