Nêzîkî her hefte, pergalên me yên tespîtkirina malware bi hezaran pakêtên nû û nûjenkirî li seranserê qeydên giştî yên wekî npm û PyPI dişopînin. Ev hefte jî ji vê yekê îstîsna nebû.
Me di navbera 7ê Hezîrana 2026an û 12ê Hezîrana 2026an de zêdetirî 130 pakêtên xerabkar piştrast kirin, bi piranî li seranserê npm, û rewşên din di PyPI de jî çêbûn. Çend ji wan di komên hevrêzkirî, berdanên xerabkar ên dubarekirî yên di bin heman navan de an jî li seranserê malbatên pakêtên nêzîk de xuya bûn.
doza herî berbiçav a vê hefteyê ew bû ku sensivity, ku npm bi zêdetirî 40 guhertoyên li seranserê rêza 2.5.x tijî kir, di çend rojan de piştrast kir. Komên din ên girîng pêlek ji @solana-labs typosquatên ku ekosîstema Solana hedef digirin (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — li ser du kampanyayên weşanê yên cuda di 7ê Hezîranê û 8ê Hezîranê de), ew @nstrlabs malbat (sdk, ixel, utils, pêkhateyên-parvekirî, api-client, auth - êrîşa tevliheviya girêdayîbûnê li dijî navên pakêtên navxweyî), ew @klapp-login-platform kom (native-sdk, oidc, routes — teqlîdkirina platformek pejirandinê), internallib_v557 û internallib_v984 (gelek guhertoyên sextekarên pirtûkxaneya navxweyî yên tevlihev), pocteszep (6 guhertoyên ku di 11ê Hezîranê de hatine weşandin), û komek ji amûrên krîpto û Web3-ê di nav de blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87, û farming-tools-12. Ew morningstar-design-system pakêt di 10ê Hezîranê de bi sê guhertoyan xuya bû, ku pergalek sêwirana darayî ya navdar teqlîd dikir. Di PyPI de, helixagentai, telegramlite, û cdjeez Di tevahiya hefteyê de hate piştrast kirin.
Ev ne anomalîyên îzolekirî bûn. Tiştê ku vê hefteyê derket pêş, kombûna êrîşên tevliheviya girêdayîbûnê li dijî navên pakêtên navxweyî, weşana domdar a çend rojan a sensivity kluster, û armancgirtina berdewam a amûrên Web3 û Solana, şêwazek ku di sala 2026an de bi girîngî leztir bûye.
Ev wênekirina heftane beşek ji Daweta Koda Xerabkar a me ya berdewam e, ku em gefên nû piştrast dikin û îstîxbarata çalak peyda dikin da ku alîkariya tîmên DevSecOps bikin ku xwe biparêzin. pipelines berî ku zirarê çêbibe.
Werin em vê hefteyê çi dîtin û çima ew girîng in, parve bikin.
Nehêlin pakêtên xerab bigihîjin hilberînê
Pakêtên ku tîmên we pê ve girêdayî ne, her ku diçe wekî xalek ketinê têne bikar anîn. Tesbîtkirina Zû ya Malware ya Xygeni qeydan di wextê rast de dişopîne, ji ber vê yekê gefên mîna yên di kurteya vê hefteyê de berî ku bigihîjin avahiyên we têne asteng kirin.
Encamên vê hefteyê bîranînek in ku taktîk bi zanebûntir dibin. Lehiya guhertoyan, teqlîdkirina navên namespace, û kampanyayên hevrêzkirî yên çend rojî êdî ne dozên girîng in, ew in. standard pirtûka lîstika êrîşkar. Skenkirinên yek-carî û denetimên destî nikarin bi kampanyayên ku bi dehan guhertoyan di gelek rojan û qeydan de di heman demê de diweşînin re hevdem bibin.
Xygeni's Open Source Security çareserî tîmên DevSecOps-a we bi awayekî domdar li seranserê npm, PyPI û derveyî wê dibîne, pakêtên zirardar di kêliya weşanê de tespît dike, tiştên ku xetereya rastîn a îstismarkirinê çêdikin dide pêşiyê, û rêya ji tespîtkirinê heta sererastkirinê kurt dike. Ji ber vê yekê tîmên we dikarin bêyî ku li ser ewlehiyê tawîz bidin, zû bişînin.
