Bi xweşî hatî ferhenga Çapa Hezîranê ya Xygeni Malicious Code DigestVê mehê, tîma me ya lêkolîna ewlehiyê ji 645 pakêtên zirardar li seranserê npm, PyPI, û (ji bo cara yekem) bazara dirêjkirina VSCode.
Hezîran bi sê meylên hevgirtî hate destnîşankirin: kampanyayên domdar ên tijîkirina guhertoyên ku ji bo dirêjkirina domandina navnîşên astengkirinê hatine çêkirin, lezbûnek tûj di êrîşên ku amûrên AI û herikînên xebatê yên pêşkeftina ajantiyê hedef digirin, û êrîşên tevliheviya girêdayîbûnê yên hevrêzkirî li dijî navên monorepo yên navxweyî.
Di nav kampanyayên herî berbiçav ên ku vê mehê hatine belgekirin de ev in:
- hesasiyet npm bi zêdetirî 70 guhertoyên li seranserê rêza 2.5.x tijî kir, kampanyayek berdewam a xwe ji nû ve weşandinê da ku li pêşiya hilaniyan bimîne.
- A kampanyaya du-pêlan a Solana typosquat (7-8ê Hezîranê) 15 pakêtên ku sextekarî dikirin hatin weşandin
@solana-labsamûrên ekosîstemê, ku rasterast pêşdebirên Web3 û DeFi hedef digire. - houzidawang806 di rojekê de (13ê Hezîranê) zêdetirî 25 versiyonan pêşkêş kirin, û tevlî wan bûn pîvan-pipeline-d8k2 di navbera 15-18ê Hezîranê de li 21 versiyonan ji nû ve hate weşandin.
- Ew Tevliheviya CryptoDAO kampanyayê (17ê Hezîranê) 11 pakêt di guhertoya 99.99.99 de weşand, her yek ji wan barkêşek piştî sazkirinê ya wekhev hildigirt. CI/CD nîşanekan, bawernameyên ewr, û razên berîka krîptoyê.
- Hefteya 20-26ê Hezîranê hedefgirtina amûrên AI-ê yên herî komkirî ya mehê anî: alîkarên ollama (20 guhertoyên), alîkarên-ajantên-openai (23 guhertoyên), monoklaud, alîkarên-ai-sdk, û @langgraphjs/toolkit, hemî di hefteyekê de hatin piştrast kirin, rasterast entegrasyonên Ollama, SDK ajanên OpenAI, LangGraph, û Claude API hedef digirin.
- Du piştrast kirin dirêjkirinên VSCode yên zirardar vê mehê derket holê, ku nîşan dide ku êrîşkar ji qeydên pakêtan wêdetir ber bi hawîrdora pêşdebiran ve berfireh dibin.
Qaliba diyarker a Hezîranê: êrîş ber bi dirêjkirinên IDE, amûrên ajana AI, û herikên xebatê yên ajanî ve diçin ku tê de pakêtek zirardar a ku bi awayekî xweser tê sazkirin, di navbera vegirtin û bicîhanînê de nirxanderek mirovî tune.
Ev nûvekirina mehane beşek ji înîsiyatîfa lêkolîna berdewam a Xygeni ya li ser malware û gefên zincîra dabînkirinê ye. Ji bo çarçoveya tevahî ya li ser her pakêta xerabkar a ku vê mehê hatiye piştrast kirin, Kurteya Koda Xerîdar a Hezîranê ya tevahî û lêkolînên têkildar ên ji Tîma Ewlehiyê ya Xygeni bigerin.
Hefteya 4: Zêdetirî 201 Pakêt Hatin Vedîtin
| Ecosystem | Pakêt | Date |
|---|---|---|
| June 20, 2026 | ||
| npm | panrouter: 5.0.2 + 30 guhertoyên li seranserê rêza 5.x–6.x heta 22ê Hezîranê - kampanyaya serdest a hefteyê | Jun 20, 2026 |
| npm | trimprompt:1.0.5 + 4 guhertoy — berdewamiya hefteya berê, hîn jî çalak e | Jun 20, 2026 |
| npm | monoklaud: 1.0.1 + 2 guhertoy — teqlîdkirina amûrên API-ya Claude | Jun 20, 2026 |
| vscode | orbit-agent-cotek-bernamekirina-ji-bo-smalltalk:1.206.0 + 1 guherto — dirêjkirina VSCode ya xerabkar ku pêşveçûna ajantiyê hedef digire | Jun 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Qaşo namespace platforma mala jîr | Jun 20, 2026 |
| June 21, 2026 | ||
| npm | parvekirina-atlasora:1.0.0 + 6 pakêt — tevliheviya girêdayîbûna monorepo ya hevrêzkirî: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| npm | posta entegrasyona pinterê: 4.0.2 + 6 guhertoy — kampanyaya şaşnivîsîna bi zanebûn a ku amûrên entegrasyonê hedef digire | Jun 21, 2026 |
| npm | llm-traces-app:1.0.1 Amûrên çavdêriya LLM-ê yên hedefgirtî | Jun 21, 2026 |
| pypi | d0rk3r-telemetrî:1.0.0 Pakêta telemetrîyê ya şaşbûyî di PyPI de | Jun 21, 2026 |
| June 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 guhertoy — kampanyaya lehiyê ya guhertoyên PyPI ya domdar | Jun 22, 2026 |
| pypi | daxwaz-cache-py:1.0.4 + 6 guhertoy — Guhertoya PyPI lehiyê dibarîne | Jun 22, 2026 |
| pypi | korvînos:0.17.0 + 6 guhertoy — Kampanyaya qeydkirina girseyî ya PyPI | Jun 22, 2026 |
| June 23, 2026 | ||
| npm | alîkarê-nîşana-web3:1.1.1 + 2 guhertoy — Armanckirina amûra nîşaneya Web3 | Jun 23, 2026 |
| npm | monokros: 1.0.1 + 1 guhertoy — koma navlêkirinê ya mono-* li kêleka monoclaude û monotacos | Jun 23, 2026 |
| June 24, 2026 | ||
| npm | alîkarên ollama: 0.1.0 + 19 guhertoy — mezintirîn kampanyaya amûrên AI ya mehê, ku dema xebitandina AI ya herêmî ya Ollama hedef digire | Jun 24, 2026 |
| npm | alîkarên-ajanên-vekirî: 0.1.1 + 22 guhertoy — kampanyaya hevrêzkirî ya ku ekosîstema SDK ya ajanên OpenAI hedef digire | Jun 24, 2026 |
| June 25, 2026 | ||
| npm | alîkarên-ai-sdk:1.4.3 Amûrên SDK-ya AI-ê li kêleka @langgraphjs/toolkit:1.2.11 hatine armanckirin | Jun 25, 2026 |
| npm | qeydkirina-embedder:99.99.99-poc3 + hs-locale-management — Tevliheviya girêdayîbûna navnavê navxweyî ya HubSpot, paşgira poc kampanyaya lêkolînê ya çalak piştrast dike | Jun 25, 2026 |
| June 26, 2026 | ||
| npm | kîta-hêsan-a-têlan: 1.0.1 + 8 guhertoyên ku guhertoya easy-string-kit232 jî di nav de ye — qeydkirina girseyî di bin navê amûra gelemperî de | Jun 26, 2026 |
| npm | pakêta-xerab-ne ewle:1.0.0 + 5 guhertoy — pakêt bi eşkere wekî kampanyaya xerabkar, barkêşiya piştrastkirî, ceribandina muhtemel an provokasyonê tê binavkirin | Jun 26, 2026 |
| npm | @vpms/sîstema-sêwirandinê:1.1.2 + 2 guhertoy — sêwirandina teqlîdkirina navnavê pergalê | Jun 26, 2026 |
Hefteya 3: Zêdetirî 200 Pakêt Hatin Vedîtin
| Ecosystem | Pakêt | Date |
|---|---|---|
| June 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 guhertoyên li seranserê 1.0.x–1.2.x, tevî xwişk û birayên houzidawang807 û houzidawang808 — kampanyaya serdest a hefteyê | Jun 13, 2026 |
| npm | demoya-silavdanê-dostane:1.0.2 + 4 guhertoy - kampanyaya domdar di nav çend rojan de ji nû ve xuya dibe | Jun 13, 2026 |
| npm | tsc-ai:1.2.0 klustera tsc-*: tsc-ai, tsc-mesh, tsc-lotl - teqlîdkirina navnasê amûra CI | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 guhertoyên li seranserê 4.5.x–5.1.x — kampanyaya PyPI ya pir-rojî ya domdar | Jun 13, 2026 |
| June 15, 2026 | ||
| npm | buhayên-token-ê-cron:999.0.0 + 6 pakêt — Koma tevliheviya girêdayîbûna binesaziya DeFi ku amûrên cron û vault ên navxweyî hedef digire | Jun 15, 2026 |
| June 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pakêt — Deyndana DeFi û koma ekosîstema Cardano: flow-lending, surf-lending, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| npm | metrîkên-bûyerê-q3x7:1.0.0 + 8 guhertoy — pakêta hex-suffix a gelemperî navên bi mijara çavdêriya girseyî tomar dike | Jun 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pakêt — teqlîdkirina navên platforma daneyên hikûmetê: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| June 17, 2026 | ||
| npm | peymanên-cryptodao: 99.99.99 + 10 pakêt — Tevliheviya girêdayîbûna CryptoDAO: core, sdk, bot, config, utils, deploy, signer, backend, types | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 Amûrên ajanên AI di PyPI de hedef digirin | Jun 17, 2026 |
| June 18, 2026 | ||
| npm | pîvan-pipeline-d8k2:1.0.0 + 20 guhertoyên li seranserê 18ê Hezîranê - kampanyaya dûrxistina rojekê ya domdar, ji nû ve weşandina berdewam da ku ji navnîşên astengkirinê dirêjtir bimîne | Jun 18, 2026 |
| npm | tenê-skenkirin: 0.4.5 + 6 guhertoy — kampanyaya lehiyê ya guhertoyan | Jun 18, 2026 |
| npm | reng-bikaranînên-dee0:1.0.0 + 5 pakêtên hex-suffix ên gelemperî: data-utils, string-tools, type-check, fmt-helpers, metrics-probe - qeydkirina girseyî ya skrîptkirî | Jun 18, 2026 |
| npm | @xizmetên-azure-lab/ml-ts:99.0.0 Teqlîdkirina navnasê Azure ML | Jun 18, 2026 |
| June 19, 2026 | ||
| npm | trimprompt:1.0.2 + trimprompt-hub — amûrên endezyariyê yên bilez ên hedefgirtî | Jun 19, 2026 |
| npm | claude-cup: 0.8.6 Teqlîdkirina amûrên API-ya Claude | Jun 19, 2026 |
| pypi | ajan-aiaddin:0.1.0 Amûrên ajanên AI di PyPI de hedef digirin | Jun 19, 2026 |
| npm | navnîşana-krîpto-web3-bikaranîn:0.1.0 Armanckirina karanîna Web3 | Jun 19, 2026 |
Hefteya 2: Zêdetirî 135 Pakêt Hatin Vedîtin
| Ecosystem | Pakêt | Date |
|---|---|---|
| June 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 guhertoy — Kampanyaya typosquat a ekosîstema Solana, pêla yekem | Jun 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + 2 guhertoyên | Jun 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Tevliheviya girêdayîbûnê, guhertoya zêdebûyî | Jun 7, 2026 |
| June 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 guhertoy — Kampanyaya typosquat a ekosîstema Solana, pêla duyemîn | Jun 8, 2026 |
| pypi | helixagentai:0.1.3 Amûrên ajanên AI di PyPI de hedef digirin | Jun 8, 2026 |
| June 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pakêt — tevliheviya girêdayîbûnê li dijî navên monorepo yên navxweyî | Jun 9, 2026 |
| npm | @klapp-login-platform/sdk-ya xwemalî: 99.0.0 + 9 pakêt — teqlîdkirina platforma pejirandinê li seranserê gelek navên klapp | Jun 9, 2026 |
| npm | alîkarê-blokê-0:1.0.0 + 7 pakêt — koma amûrên krîpto/DeFi ku pêşdebirên Web3 hedef digire | Jun 9, 2026 |
| npm | @karta-pci-data/store:99.0.0 Cihê navên daneyên karta dravdanê hedefgirtî | Jun 9, 2026 |
| June 10, 2026 | ||
| npm | sîstema-sêwirana-morningstar:99.0.0 + 2 guhertoy — teqlîdkirina sîstema sêwirana darayî | Jun 10, 2026 |
| June 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 guhertoyên ku di heman rojê de hatine weşandin | Jun 11, 2026 |
| npm | @coze-common/chat-area:99.1.1 Qaşo kirina navnavê platforma sohbeta AI-ê | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 guhertoy — teqlîdkirina platforma peyamnêriyê di PyPI de | Jun 11, 2026 |
| June 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 guhertoyên ecto-* - koma navên nezelal | Jun 12, 2026 |
| npm | internallib_v984:1.0.3 + klustera internallib_v557 — 13 guhertoyên sextekarên pirtûkxaneya navxweyî | Jun 12, 2026 |
| npm | voyager-web:999.0.0 Tevliheviya girêdayîbûnê, guhertoya zêdebûyî | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
Hefteya 1: Zêdetirî 118 Pakêt Hatin Vedîtin
| Ecosystem | Pakêt | Date |
|---|---|---|
| Bila 30, 2026 | ||
| npm | @cloudplatform-single-spa/administration:99.99.100 Tevliheviya girêdayîbûnê, guhertoya zêdebûyî | Bila 30, 2026 |
| vscode | rêveberê-xampp:5.1.3 Dirêjkirina VSCode - teqlîdkirina amûra pêşdebiran | Bila 30, 2026 |
| June 1, 2026 | ||
| npm | @tse-digital/core:99.0.0 Tevliheviya girêdayîbûnê — @telenor-se û @ownit jî ketin meriyetê | Jun 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 guhertoy, koma navên CMS | Jun 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 guherto, hejmarên guhertoyên zêdekirî yên ku armanc dikin bawernameyên AWS | Jun 1, 2026 |
| npm | belgeyên nexweşan: 75.0.0 Armanca qada navên tenduristiyê | Jun 1, 2026 |
| npm | @emcd-vue/auth:6.4.9 Teqlîdkirina namespace borsaya krîptoyê | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| June 2, 2026 | ||
| npm | hesasiyet: 2.5.8 + 70 guhertoyên li seranserê rêza 2.5.x, 2-5ê Hezîranê - kampanyaya serdest a serdemê | Jun 2, 2026 |
| npm | @langgraphjs/toolkit:1.2.10 Amûrên LangGraph-ê yên hedefgirtî | Jun 2, 2026 |
| June 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + 2 guhertoy, teqlîdkirina navnavê Sentry | Jun 4, 2026 |
| npm | internallib_v346:1.0.3 + 2 guhertoy, sextekarê pirtûkxaneya navxweyî | Jun 4, 2026 |
| npm | alîkarên-ai-sdk:0.2.1 + 7 guhertoyên ku amûrên AI SDK hedef digirin | Jun 4, 2026 |
Koda Xerabkar Berî Ku Bigihîje We Rawestîne Pipeline
Gefên zincîra dabînkirina nermalavê ji teorîyê pir derbas bûne. Êrîşên tevliheviya girêdayîbûnê, dizîna bawernameyan, malware-a hedefgirtî ya AI, û amûrên pêşdebiran ên jehrî li tîmên rastîn di rastiyê de bandor dikin. SDLCs her hefte.
Xygeni's tespîtkirina malware û platforma ewlehiya zincîra dabînkirinê rê dide rêxistinan ku berî ku ew li ser makîneyek pêşdebiran bicîh bînin, bikevin pergalek avakirinê, an bigihîjin hilberînê, girêdayiyên xerab bigirin. Berfirehî npm, PyPI, VSCode, û ji wê pê ve vedihewîne, çavdêriya şêwazên weşanê yên gumanbar, îstismara navên namespace, typosquatting, û teknîkên êrîşa AI-xwemalî dike dema ku ew derdikevin holê.
Her dîtin bixweber li gorî bikêrhatîbûn, gihîştin û bandora karsaziyê tê destnîşankirin, ji ber vê yekê tîmê we balê dikişîne ser tiştê ku bi rastî hewceyê sererastkirinê ye, ne li ser deng.
Çi pakêtek çavkaniya vekirî ya zirardar be, amûrek pêşdebir a xeternak be, an jî xetereyek kodê ya ji hêla AI ve hatî çêkirin be, Xygeni tîmên ewlehî û endezyariyê gavek li pêşiya peyzaja gefên zincîra dabînkirinê dihêle.
Her pakêt û kampanyaya xerabkar a ku ji hêla Tîma Ewlehiyê ya Xygeni ve hatî pejirandin, lêkolîn bikin Kurteya Koda Xerabkar.
Ewle bimînin. Lez bimînin. Bi Xygeni re di bin kontrolê de bimînin.
