Welcome to the Ringkesan Kode Malicious Xygeni edisi JuniWulan iki, tim riset keamanan kita ngonfirmasi luwih saka 645 paket jahat ing npm, PyPI, lan (kanggo pisanan) pasar ekstensi VSCode.
Juni ditegesi dening telung tren sing konvergen: kampanye banjir versi sing terus-terusan sing dirancang kanggo ngluwihi dhaptar blok, akselerasi sing tajem ing serangan sing nargetake alur kerja pangembangan piranti AI lan agen, lan serangan kebingungan dependensi sing terkoordinasi marang ruang nama monorepo internal.
Antarane kampanye paling penting sing didokumentasikake ing wulan iki:
- sensitivitas Kebanjiran npm nganggo luwih saka 70 versi ing kisaran 2.5.x, kampanye penghindaran sing terus-terusan diterbitake maneh supaya tetep unggul saka takedown.
- A Kampanye typosquat Solana rong gelombang (7–8 Juni) nerbitake 15 paket sing nyamar dadi
@solana-labspiranti ekosistem, kanthi nargetake pangembang Web3 lan DeFi kanthi langsung. - houzidawang806 nyumbang luwih saka 25 versi sajrone sedina (13 Juni), digabung karo metrik-pipeline-d8k2 diterbitake maneh ing 21 versi antarane 15-18 Juni.
- The Kebingungan CryptoDAO kampanye (17 Juni) nerbitake 11 paket ing versi 99.99.99, saben paket nggawa muatan pasca-instalasi sing padha CI/CD token, kredensial méga, lan rahasia dompet kripto.
- Minggu tanggal 20-26 Juni nggawa target piranti AI sing paling terkonsentrasi ing sasi iki: para pembantu ollama (20 versi), agen-pembantu-openai (23 versi), monoklaude, ai-sdk-helpers, Lan @langgraphjs/toolkit, kabeh dikonfirmasi sajrone seminggu, langsung nargetake Ollama, OpenAI agents SDK, LangGraph, lan integrasi Claude API.
- Loro dikonfirmasi ekstensi VSCode sing mbebayani muncul ing sasi iki, menehi tandha yen para penyerang lagi ngembangake ngluwihi registri paket menyang lingkungan pangembang dhewe.
Pola sing nemtokake ing wulan Juni: serangan pindhah menyang ekstensi IDE, piranti agen AI, lan alur kerja agen ing ngendi paket jahat sing diinstal kanthi mandiri ora duwe peninjau manungsa antarane infeksi lan eksekusi.
Nganyari saben wulan iki minangka bagéan saka inisiatif riset ancaman malware lan rantai pasokan Xygeni sing terus-terusan. Kanggo konteks lengkap babagan saben paket jahat sing dikonfirmasi ing wulan iki, telusuri Ringkesan Kode Malicious Juni lengkap lan riset sing gegandhengan saka Tim Keamanan Xygeni.
Minggu 4: Luwih saka 201 Paket Ditemokake
| Ekosistem | paket | tanggal |
|---|---|---|
| Juni 20, 2026 | ||
| npm | panrouter:5.0.2 + 30 versi ing kisaran 5.x–6.x nganti 22 Juni — kampanye dominan minggu iki | Jun 20, 2026 |
| npm | trimpront:1.0.5 + 4 versi — terusan saka minggu kepungkur, isih aktif | Jun 20, 2026 |
| npm | monoklaude:1.0.1 + 2 versi — peniruan tooling Claude API | Jun 20, 2026 |
| vscode | pemrograman-pasangan-agen-orbit-kanggo-smalltalk:1.206.0 + 1 versi — ekstensi VSCode sing mbebayani sing nargetake pangembangan agen | Jun 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Peniruan namespace platform omah pinter | Jun 20, 2026 |
| Juni 21, 2026 | ||
| npm | atlasora-shared:1.0.0 + 6 paket — kebingungan ketergantungan monorepo sing terkoordinasi: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| npm | apintergrationpost:4.0.2 + 6 versi — piranti integrasi penargetan kampanye sing salah eja kanthi disengaja | Jun 21, 2026 |
| npm | aplikasi-lacak-llm:1.0.1 Piranti pengamatan LLM sing ditargetkan | Jun 21, 2026 |
| pypi | d0rk3r-telemetri:1.0.0 Paket telemetri sing dikaburkan ing PyPI | Jun 21, 2026 |
| Juni 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 versi — kampanye banjir versi PyPI sing lestari | Jun 22, 2026 |
| pypi | panjalukan-cache-py:1.0.4 + 6 versi — Versi PyPI kebanjiran | Jun 22, 2026 |
| pypi | corvinos:0.17.0 + 6 versi — kampanye registrasi massal PyPI | Jun 22, 2026 |
| Juni 23, 2026 | ||
| npm | web3-token-helper:1.1.1 + 2 versi — Penargetan utilitas token Web3 | Jun 23, 2026 |
| npm | monocross:1.0.1 + 1 versi — kluster penamaan mono-* bebarengan karo monoclaude lan monotacos | Jun 23, 2026 |
| Juni 24, 2026 | ||
| npm | ollama-helpers:0.1.0 + 19 versi — kampanye piranti AI paling gedhé ing sasi iki, kanthi target runtime AI lokal Ollama | Jun 24, 2026 |
| npm | agen-pembantu-openai:0.1.1 + 22 versi — kampanye terkoordinasi sing nargetake ekosistem SDK agen OpenAI | Jun 24, 2026 |
| Juni 25, 2026 | ||
| npm | ai-sdk-helpers:1.4.3 Piranti AI SDK ditargetkan bebarengan karo @langgraphjs/toolkit:1.2.11 | Jun 25, 2026 |
| npm | ndhaptar-embedder:99.99.99-poc3 + manajemen-lokal-hs — Kebingungan katergantungan ruang jeneng internal HubSpot, akhiran poc ngonfirmasi kampanye riset aktif | Jun 25, 2026 |
| Juni 26, 2026 | ||
| npm | kit-tali-gampang:1.0.1 + 8 versi kalebu varian easy-string-kit232 — registrasi massal nganggo jeneng utilitas umum | Jun 26, 2026 |
| npm | paket-bebayani-sing-ora-aman:1.0.0 + 5 versi — paket sing dijenengi kanthi eksplisit minangka kampanye jahat, muatan sing dikonfirmasi, uji coba utawa provokasi sing mungkin | Jun 26, 2026 |
| npm | @vpms/sistem-desain:1.1.2 + 2 versi — desain peniruan namespace sistem | Jun 26, 2026 |
Minggu 3: Luwih saka 200 Paket Ditemokake
| Ekosistem | paket | tanggal |
|---|---|---|
| Juni 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 versi ing 1.0.x–1.2.x kalebu sedulur houzidawang807 lan houzidawang808 — kampanye dominan minggu iki | Jun 13, 2026 |
| npm | demo-penyambut-ramah:1.0.2 + 4 versi — kampanye sing terus-terusan muncul maneh sajrone pirang-pirang dina | Jun 13, 2026 |
| npm | tsc-ai:1.2.0 kluster tsc-*: tsc-ai, tsc-mesh, tsc-lotl — peniruan ruang jeneng CI tooling | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 versi ing 4.5.x–5.1.x — kampanye PyPI pirang-pirang dina sing lestari | Jun 13, 2026 |
| Juni 15, 2026 | ||
| npm | rega-token-cron:999.0.0 + 6 paket — Klaster kebingungan ketergantungan infrastruktur DeFi sing nargetake cron internal lan tooling vault | Jun 15, 2026 |
| Juni 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 paket — DeFi lending lan kluster ekosistem Cardano: flow-lending, surf-lending, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| npm | metrik-kedadeyan-q3x7:1.0.0 + 8 versi — paket hex-suffix umum sing ndhaftar jeneng kanthi tema pemantauan massal | Jun 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 paket — peniruan namespace platform data pemerintah: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| Juni 17, 2026 | ||
| npm | kontrak-cryptodao:99.99.99 + 10 paket — Kebingungan ketergantungan CryptoDAO: core, sdk, bot, config, utils, deploy, signer, backend, types | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 Piranti agen AI sing ditargetake ing PyPI | Jun 17, 2026 |
| Juni 18, 2026 | ||
| npm | metrik-pipeline-d8k2:1.0.0 + 20 versi wiwit tanggal 18 Juni — kampanye penghindaran sedina sing lestari, diterbitake maneh terus-terusan supaya luwih awet tinimbang dhaptar blokir | Jun 18, 2026 |
| npm | mung pindai: 0.4.5 + 6 versi — kampanye banjir versi | Jun 18, 2026 |
| npm | werna-utils-dee0:1.0.0 + 5 paket hex-suffix umum: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — registrasi massal sing wis diskrip | Jun 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Peniruan namespace Azure ML | Jun 18, 2026 |
| Juni 19, 2026 | ||
| npm | trimpront:1.0.2 + trimprompt-hub — piranti teknik cepet sing ditargetake | Jun 19, 2026 |
| npm | claude-cup:0.8.6 Peniruan piranti API Claude | Jun 19, 2026 |
| pypi | aiaddin-agent:0.1.0 Piranti agen AI sing ditargetake ing PyPI | Jun 19, 2026 |
| npm | web3-crypto-address-utils:0.1.0 Penargetan utilitas Web3 | Jun 19, 2026 |
Minggu 2: Luwih saka 135 Paket Ditemokake
| Ekosistem | paket | tanggal |
|---|---|---|
| Juni 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 varian — kampanye typosquat ekosistem Solana, gelombang pertama | Jun 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + 2 versi | Jun 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Kebingungan ketergantungan, versi sing dibesar-besarkan | Jun 7, 2026 |
| Juni 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 varian — kampanye typosquat ekosistem Solana, gelombang kapindho | Jun 8, 2026 |
| pypi | helixagentai:0.1.3 Piranti agen AI sing ditargetake ing PyPI | Jun 8, 2026 |
| Juni 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 paket — kebingungan katergantungan marang namespace monorepo internal | Jun 9, 2026 |
| npm | @klapp-login-platform/asli-sdk:99.0.0 + 9 paket — peniruan platform otentikasi ing pirang-pirang ruang jeneng klapp | Jun 9, 2026 |
| npm | blockchain-helper-0:1.0.0 + 7 paket — kluster utilitas crypto/DeFi sing nargetake para pangembang Web3 | Jun 9, 2026 |
| npm | @card-pci-data/toko:99.0.0 Namespace data kertu pembayaran sing ditargetake | Jun 9, 2026 |
| Juni 10, 2026 | ||
| npm | sistem-desain-morningstar:99.0.0 + 2 versi — peniruan sistem desain keuangan | Jun 10, 2026 |
| Juni 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 versi diterbitake ing dina sing padha | Jun 11, 2026 |
| npm | @coze-common/area-ngobrol:99.1.1 Peniruan namespace platform obrolan AI | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 versi — peniruan platform olahpesen ing PyPI | Jun 11, 2026 |
| Juni 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 varian ecto-* — kluster jeneng sing dikaburkan | Jun 12, 2026 |
| npm | internallib_v984:1.0.3 + kluster internallib_v557 — 13 versi penipu perpustakaan internal | Jun 12, 2026 |
| npm | web-pelayaran:999.0.0 Kebingungan ketergantungan, versi sing dibesar-besarkan | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
Minggu 1: Luwih saka 118 Paket Ditemokake
| Ekosistem | paket | tanggal |
|---|---|---|
| Muga 30, 2026 | ||
| npm | @cloudplatform-single-spa/administrasi:99.99.100 Kebingungan ketergantungan, versi sing dibesar-besarkan | Muga 30, 2026 |
| vscode | xampp-manager:5.1.3 Ekstensi VSCode — peniruan alat pangembang | Muga 30, 2026 |
| Juni 1, 2026 | ||
| npm | @tse-digital/inti:99.0.0 Kebingungan ketergantungan — @telenor-se lan @ownit uga kena pengaruh | Jun 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 versi, kluster namespace CMS | Jun 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 versi, nomer versi sing digedhekake kanthi target kredensial AWS | Jun 1, 2026 |
| npm | dokumen pasien:75.0.0 Target ruang jeneng layanan kesehatan | Jun 1, 2026 |
| npm | @emcd-vue/auth:6.4.9 Peniruan namespace ijol-ijolan crypto | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| Juni 2, 2026 | ||
| npm | sensitivitas: 2.5.8 + 70 versi ing kisaran 2.5.x, 2–5 Juni — kampanye dominan ing periode kasebut | Jun 2, 2026 |
| npm | @langgraphjs/toolkit:1.2.10 Piranti LangGraph sing ditargetake | Jun 2, 2026 |
| Juni 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + 2 versi, peniruan ruang jeneng Sentry | Jun 4, 2026 |
| npm | internallib_v346:1.0.3 + 2 versi, penipu perpustakaan internal | Jun 4, 2026 |
| npm | ai-sdk-helpers:0.2.1 + 7 versi, nargetake piranti AI SDK | Jun 4, 2026 |
Mungkasi Kode Malicious Sadurunge Tekan Sampeyan Pipeline
Ancaman rantai pasokan piranti lunak wis ngluwihi teoritis. Serangan kebingungan dependensi, pencuri kredensial, malware sing ditargetkan AI, lan piranti pangembang sing diracuni nyerang tim nyata ing wektu nyata. SDLCsaben minggu. s
Xygeni's deteksi malware lan platform keamanan rantai pasokan menehi organisasi visibilitas kanggo nyekel dependensi sing mbebayani sadurunge nglakokake eksekusi ing mesin pangembang, mlebu sistem build, utawa tekan produksi. Cakupane kalebu npm, PyPI, VSCode, lan liya-liyane, ngawasi pola penerbitan sing mencurigakan, penyalahgunaan namespace, typosquatting, lan teknik serangan AI-native nalika muncul.
Saben temuan kanthi otomatis diprioritasake miturut kemampuan eksploitasi, kemampuan jangkauan, lan dampak bisnis, mula tim sampeyan fokus ing apa sing sejatine kudu didandani, dudu gangguan.
Apa iku paket sumber terbuka sing mbebayani, alat pangembang sing disusupi, utawa risiko kode sing digawe AI, Xygeni njaga tim keamanan lan teknik selangkah luwih maju tinimbang lanskap ancaman rantai pasokan.
Jelajahi saben paket lan kampanye mbebayani sing divalidasi dening Tim Keamanan Xygeni ing Ringkesan Kode Jahat.
Tetep aman. Tetep cepet. Tetep kendhali karo Xygeni.
