Кош келиңиз Xygeni Malicious Code Digest журналынын июнь айындагы саныБул айда биздин коопсуздук боюнча изилдөө тобубуз төмөнкүлөрдөн көбүрөөк нерсени тастыктады 645 зыяндуу пакет npm, PyPI жана (биринчи жолу) VSCode кеңейтүү базарында.
Июнь айы үч конвергенциялык тенденция менен аныкталды: блок тизмелеринен ашып түшүү үчүн иштелип чыккан версияларды көбөйтүү боюнча туруктуу кампаниялар, жасалма интеллект куралдарын жана агенттик иштеп чыгуу жумуш агымдарын бутага алган чабуулдардын кескин ылдамдашы жана ички монорепо аталыш мейкиндиктерине каршы координацияланган көз карандылыкты чаташтыруу чабуулдары.
Бул айда документтештирилген эң көрүнүктүү өнөктүктөрдүн арасында:
- сезгичтик npm версиясы 2.5.x диапазонунда 70тен ашык версиясы менен капталып, алып салуулардан алдыда болуу үчүн тынымсыз кайра жарыяланып турган тынымсыз качуу кампаниясы.
- A эки толкундуу Солананын typosquat өнөктүгү (7–8-июнь) кимдир бирөөнүн атынан жасалган 15 таңгак жарыяланган
@solana-labsэкосистемалык куралдар, түздөн-түз Web3 жана DeFi иштеп чыгуучуларына багытталган. - houzidawang806 бир күндө (13-июнь) 25тен ашык версияны түздү, ага кошулган метрикалар-pipeline-d8k2 15-18-июнь аралыгында 21 версияда кайра басылып чыккан.
- The CryptoDAO башаламандыгы campaign (17-июнь) 99.99.99 версиясында 11 пакетти жарыялаган, алардын ар бири орнотуудан кийинки бирдей пайдалуу жүктү алып жүрөт. CI/CD токендер, булуттагы грамоталары жана крипто капчыктын сырлары.
- 20–26-июнь жумасында айдын ичинде жасалма интеллекттин эң көп колдонулган куралдары көрсөтүлдү: оллама жардамчылары (20 версия), openai-агенттери-жардамчылары (23 версия), моноклав, ai-sdk-жардамчылары, жана @langgraphjs/toolkit, баары бир жуманын ичинде тастыкталды, түздөн-түз Ollama, OpenAI агенттеринин SDK, LangGraph жана Claude API интеграцияларына багытталган.
- Эки тастыкталды зыяндуу VSCode кеңейтүүлөрү ушул айда пайда болуп, чабуулчулар пакет реестрлеринен тышкары иштеп чыгуучу чөйрөгө да жайылып жатканын көрсөтүп турат.
Июнь айынын аныктоочу схемасы: чабуулдар IDE кеңейтүүлөрүнө, AI агентинин куралдарына жана агенттик жумуш агымдарына өтүп жатат, мында зыяндуу пакет өз алдынча орнотулганда, инфекция менен аткарылуунун ортосунда адамдык кароочу болбойт.
Бул ай сайын чыгарылуучу жаңыртуу Xygeni компаниясынын уланып жаткан зыяндуу программаларды жана жеткирүү чынжырынын коркунучтарын изилдөө демилгесинин бир бөлүгү болуп саналат. Ушул айда тастыкталган ар бир зыяндуу пакет боюнча толук маалымат алуу үчүн, Xygeni коопсуздук тобунун июнь айындагы толук зыяндуу код дайджестин жана ага байланыштуу изилдөөлөрдү карап чыгыңыз.
4-жума: 201ден ашык посылка табылды
| Экосистемалык | таңгак | дата |
|---|---|---|
| Май 20, 2026 | ||
| КЭУБ | панроутер: 5.0.2 5.x–6.x версияларындагы + 30 версия 22-июнга чейин — жуманын эң негизги өнөктүгү | Jun 20, 2026 |
| КЭУБ | trimprompt:1.0.5 + 4 версия — мурунку жуманын уландысы, дагы эле активдүү | Jun 20, 2026 |
| КЭУБ | моноклауд: 1.0.1 + 2 версия — Claude API куралдарынын имперсонациясы | Jun 20, 2026 |
| vscode | кичинекей сүйлөшүү үчүн орбиталык-агенттик-жуп-программалоо: 1.206.0 + 1 версиясы — агенттик иштеп чыгууга багытталган зыяндуу VSCode кеңейтүүсү | Jun 20, 2026 |
| КЭУБ | жөнөкөйлөштүрүлгөн-гейтсби:1.0.1 Акылдуу үй платформасынын аталыш мейкиндигин туурап жасоо | Jun 20, 2026 |
| Май 21, 2026 | ||
| КЭУБ | atlasora-shared:1.0.0 + 6 пакет — координацияланган монорепо көз карандылыгынын башаламандыгы: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| КЭУБ | апинтерграция посту:4.0.2 + 6 версия — интеграциялоо куралдарын максат кылган атайылап ката жазуу кампаниясы | Jun 21, 2026 |
| КЭУБ | llm-traces-колдонмосу:1.0.1 LLM байкоо жүргүзүүгө багытталган куралдар | Jun 21, 2026 |
| pypi | d0rk3r-телеметрия:1.0.0 PyPIдеги бүдөмүк телеметрия пакети | Jun 21, 2026 |
| Май 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 версия — PyPI версиясын жайылтуу боюнча туруктуу өнөктүк | Jun 22, 2026 |
| pypi | суроо-кэш-py:1.0.4 + 6 версия — PyPI версиясынын суу каптоосу | Jun 22, 2026 |
| pypi | corvinos:0.17.0 + 6 версия — PyPI жапырт каттоо кампаниясы | Jun 22, 2026 |
| Май 23, 2026 | ||
| КЭУБ | web3-токен-жардамчысы: 1.1.1 + 2 версия — Web3 токен утилитасын максаттуу багыттоо | Jun 23, 2026 |
| КЭУБ | монокросс: 1.0.1 + 1 версия — моноклод жана монотакос менен катар моно-* аталыштар кластери | Jun 23, 2026 |
| Май 24, 2026 | ||
| КЭУБ | ollama-жардамчылары:0.1.0 + 19 версия — айдын эң ири AI куралдарын колдонуу өнөктүгү, Ollama жергиликтүү AI иштөө убактысына багытталган | Jun 24, 2026 |
| КЭУБ | openai-agents-helpers:0.1.1 + 22 версия — OpenAI агенттеринин SDK экосистемасына багытталган координацияланган өнөктүк | Jun 24, 2026 |
| Май 25, 2026 | ||
| КЭУБ | ai-sdk-жардамчылары:1.4.3 @langgraphjs/toolkit:1.2.11 менен бирге багытталган AI SDK куралдары | Jun 25, 2026 |
| КЭУБ | катталуу-киргизгич: 99.99.99-poc3 + hs-locale-management — HubSpot ички аталыш мейкиндигине көз карандылыктын башаламандыгы, poc суффикси активдүү изилдөө өнөктүгүн тастыктайт | Jun 25, 2026 |
| Май 26, 2026 | ||
| КЭУБ | жеңил-сап комплекти: 1.0.1 + easy-string-kit232 вариантын кошо алганда 8 версия — жалпы утилита аталышы астында жапырт каттоо | Jun 26, 2026 |
| КЭУБ | кооптуу-зыяндуу-пакет: 1.0.0 + 5 версия — зыяндуу деп ачык аталган пакет, тастыкталган пайдалуу жүктөм, ыктымалдуу сыноо же провокациялык кампания | Jun 26, 2026 |
| КЭУБ | @vpms/дизайн-системасы:1.1.2 + 2 версия — дизайн системасынын аталыш мейкиндигин туурап жасоо | Jun 26, 2026 |
3-жума: 200ден ашык посылка табылды
| Экосистемалык | таңгак | дата |
|---|---|---|
| Май 13, 2026 | ||
| КЭУБ | houzidawang806:1.0.0 1.0.x–1.2.x версияларында + 25 версия, анын ичинде houzidawang807 жана houzidawang808 бир тууган версиялары — жуманын эң негизги өнөктүгү | Jun 13, 2026 |
| КЭУБ | достук-саламдашуу-демо: 1.0.2 + 4 версия — бир нече күндүн ичинде туруктуу өнөктүк кайра пайда болот | Jun 13, 2026 |
| КЭУБ | tsc-ai:1.2.0 tsc-* кластери: tsc-ai, tsc-mesh, tsc-lotl — CI куралдарынын аталыш мейкиндигин туурап жасалышы | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 4.5.x–5.1.x версияларында 6 версия — көп күндүк PyPI өнөктүгү | Jun 13, 2026 |
| Май 15, 2026 | ||
| КЭУБ | токен-баалары-cron:999.0.0 + 6 пакет — Ички cron жана сейф куралдарын бутага алган DeFi инфраструктурасына көз карандылыктын башаламандык кластери | Jun 15, 2026 |
| Май 16, 2026 | ||
| КЭУБ | bodega-sdk:9.9.9 + 8 пакет — DeFi насыясы жана Cardano экосистемалык кластери: агым-кредит, серф-кредит, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| КЭУБ | окуя-метрикалары-q3x7:1.0.0 + 8 версия — жапырт мониторинг темасындагы аталыштарды каттоочу жалпы hex-suffix пакети | Jun 16, 2026 |
| КЭУБ | nic-datagov:1.0.0 + 3 пакет — өкмөттүк маалымат платформасынын аталыш мейкиндигин туурап жасоо: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| Май 17, 2026 | ||
| КЭУБ | криптодао-келишимдер: 99.99.99 + 10 пакет — CryptoDAO көз карандылыгынын башаламандыгы: өзөк, sdk, bot, config, utils, deploy, signer, backend, typs | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 PyPIде AI агентинин куралдары максаттуу колдонулган | Jun 17, 2026 |
| Май 18, 2026 | ||
| КЭУБ | метрикалар-pipeline-d8k2:1.0.0 18-июнь боюнча + 20 версия — бир күндүк качуу өнөктүгү, блок тизмелеринен ашып түшүү үчүн тынымсыз кайра жарыяланып турат | Jun 18, 2026 |
| КЭУБ | сканерлөө гана: 0.4.5 + 6 версия — версияларды суу каптоо өнөктүгү | Jun 18, 2026 |
| КЭУБ | түстүү-утилиталар-диз0:1.0.0 + 5 жалпы hex-suffix пакеттери: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — скрипттелген жапырт каттоо | Jun 18, 2026 |
| КЭУБ | @azure-lab-services/ml-ts:99.0.0 Azure ML аталыш мейкиндигинин имперсонациясы | Jun 18, 2026 |
| Май 19, 2026 | ||
| КЭУБ | trimprompt:1.0.2 + trimprompt-hub — максаттуу инженердик куралдарды тез арада иштетүү | Jun 19, 2026 |
| КЭУБ | клод-кап:0.8.6 Claude API куралдарынын имперсонациясы | Jun 19, 2026 |
| pypi | aiaddin-агент: 0.1.0 PyPIде AI агентинин куралдары максаттуу колдонулган | Jun 19, 2026 |
| КЭУБ | web3-крипто-дарек-утилиталар:0.1.0 Web3 утилиталарын максаттуу колдонуу | Jun 19, 2026 |
2-жума: 135ден ашык посылка табылды
| Экосистемалык | таңгак | дата |
|---|---|---|
| Май 7, 2026 | ||
| КЭУБ | @solana-labs/web3.js:1.0.0 + 5 вариант — Солана экосистемасынын typosquat кампаниясы, биринчи толкун | Jun 7, 2026 |
| КЭУБ | @jisan901/teamfocus:1.0.0 + 2 версия | Jun 7, 2026 |
| КЭУБ | @sflyinc-knapsack/shutterfly-react:999.0.0 Көз карандылыктын башаламандыгы, көбүртүлгөн версия | Jun 7, 2026 |
| Май 8, 2026 | ||
| КЭУБ | @solana-labs/web3.js:1.98.102 + 9 вариант — Солана экосистемасынын typosquat кампаниясы, экинчи толкун | Jun 8, 2026 |
| pypi | спираль агенттери:0.1.3 PyPIде AI агентинин куралдары максаттуу колдонулган | Jun 8, 2026 |
| Май 9, 2026 | ||
| КЭУБ | @nstrlabs/sdk:99.0.0 + 7 пакет — ички монорепо аталыш мейкиндигине карата көз карандылыктын башаламандыгы | Jun 9, 2026 |
| КЭУБ | @klapp-login-platform/native-sdk:99.0.0 + 9 пакет — бир нече klapp аталыш мейкиндиктеринде аутентификация платформасынын репликациясы | Jun 9, 2026 |
| КЭУБ | блокчейн-жардамчы-0:1.0.0 + 7 пакет — Web3 иштеп чыгуучуларга багытталган крипто/DeFi утилиталык кластери | Jun 9, 2026 |
| КЭУБ | @card-pci-data/store:99.0.0 Төлөм картасынын маалыматтарынын аталыш мейкиндиги максаттуу | Jun 9, 2026 |
| Май 10, 2026 | ||
| КЭУБ | Morningstar-дизайн-системасы: 99.0.0 + 2 версия — каржылык долбоорлоо системасынын тууроосу | Jun 10, 2026 |
| Май 11, 2026 | ||
| КЭУБ | pocteszep:1.0.1 + 5 версия ошол эле күнү жарыяланды | Jun 11, 2026 |
| КЭУБ | @coze-common/chat-area:99.1.1 AI чат платформасынын аталыш мейкиндигин туурап жасоо | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 версия — PyPIде билдирүү платформасынын репликациясы | Jun 11, 2026 |
| Май 12, 2026 | ||
| КЭУБ | ecto-corsair-whisper-6f3b9:1.0.18 + 7 ecto-* варианты — түшүнүксүз аталыштар топтому | Jun 12, 2026 |
| КЭУБ | internallib_v984:1.0.3 + internallib_v557 кластери — ички китепкана алдамчыларынын 13 версиясы | Jun 12, 2026 |
| КЭУБ | voyager-web:999.0.0 Көз карандылыктын башаламандыгы, көбүртүлгөн версия | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
1-жума: 118ден ашык посылка табылды
| Экосистемалык | таңгак | дата |
|---|---|---|
| 30 мүмкүн, 2026 | ||
| КЭУБ | @cloudplatform-single-spa/administration: 99.99.100 Көз карандылыктын башаламандыгы, көбүртүлгөн версия | 30 мүмкүн, 2026 |
| vscode | xampp-менеджери: 5.1.3 VSCode кеңейтүүсү — иштеп чыгуучунун куралын туурап жасоо | 30 мүмкүн, 2026 |
| Май 1, 2026 | ||
| КЭУБ | @tse-digital/core:99.0.0 Көз карандылыктын башаламандыгы — @telenor-se жана @ownit да таасир этти | Jun 1, 2026 |
| КЭУБ | cms-дүкөн: 1.3.4 + 2 версия, CMS аталыш мейкиндигинин кластери | Jun 1, 2026 |
| КЭУБ | @antoncallahan/aws-user-helper:6767.67.69 + 6 версия, AWS грамоталарын бутага алган версия номерлери көбөйтүлгөн | Jun 1, 2026 |
| КЭУБ | бейтаптын документтери: 75.0.0 Саламаттыкты сактоо аталыш мейкиндигинин максаты | Jun 1, 2026 |
| КЭУБ | @emcd-vue/auth:6.4.9 Крипто биржасынын аталыш мейкиндигин туурап жасоо | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| Май 2, 2026 | ||
| КЭУБ | сезгичтик: 2.5.8 2.5.x диапазонунда + 70 версия, 2–5-июнь — ошол мезгилдеги эң чоң өнөктүк | Jun 2, 2026 |
| КЭУБ | @langgraphjs/toolkit:1.2.10 LangGraph куралдары максаттуу | Jun 2, 2026 |
| Май 4, 2026 | ||
| КЭУБ | @sentry-browser-sdk/profiling-node:1.0.1 + 2 версия, Sentry аталыш мейкиндигинин имперсонациясы | Jun 4, 2026 |
| КЭУБ | internallib_v346:1.0.3 + 2 версия, ички китепкана алдамчысы | Jun 4, 2026 |
| КЭУБ | ai-sdk-жардамчылары:0.2.1 + 7 версия, AI SDK куралдарын колдонууга багытталган | Jun 4, 2026 |
Зыяндуу код сизге жеткенге чейин токтотуңуз Pipeline
Программалык камсыздоо чынжырындагы коркунучтар теориялык жактан алда канча артта калды. Көз карандылыктын башаламандык чабуулдары, ишеним грамоталарын уурдоочулар, жасалма интеллектке багытталган зыяндуу программалар жана ууланган иштеп чыгуучулардын куралдары чыныгы командаларга реалдуу түрдө сокку уруп жатат. SDLCс жума сайын.
Xygeni's зыяндуу программаларды аныктоо жана жеткирүү чынжырынын коопсуздук платформасы уюмдарга зыяндуу көз карандылыктарды иштеп чыгуучунун машинасында ишке киргизүүдөн, куруу системасына кирүүдөн же өндүрүшкө жетүүдөн мурун аныктоо мүмкүнчүлүгүн берет. Камтуу npm, PyPI, VSCode жана андан тышкары шектүү жарыялоо үлгүлөрүн, аталыш мейкиндигин кыянаттык менен пайдаланууну, терүүлөрдү жана жасалма интеллектке негизделген чабуул ыкмаларын пайда болгондо көзөмөлдөйт.
Ар бир табылга автоматтык түрдө пайдаланууга жарамдуулук, жеткиликтүүлүк жана бизнеске тийгизген таасири боюнча артыкчылыктуу деп эсептелет, андыктан сиздин командаңыз ызы-чуу эмес, чындыгында оңдоону талап кылган нерсеге көңүл бурат.
Зыяндуу ачык булактуу пакет, бузулган иштеп чыгуучунун куралы же жасалма интеллект тарабынан түзүлгөн код тобокелдиги болобу, Xygeni коопсуздук жана инженердик топторду жеткирүү чынжырынын коркунуч чөйрөсүнөн бир кадам алдыда кармап турат.
Xygeni коопсуздук тобу тарабынан текшерилген ар бир зыяндуу пакетти жана кампанияны изилдеңиз Зыяндуу код дайджести.
Коопсуздукту сактаңыз. Ыкчам болуңуз. Xygeni менен көзөмөлдөңүз.
