All Woch scannen eis Malware-Detektiounssystemer Dausende vun neien an aktualiséierte Paketen iwwer ëffentlech Registere wéi npm a PyPI. Dës Woch war keng Ausnam. Mir hunn bestätegt 165 béiswëlleg Paketen tëscht dem 17. a 24. Juli 2026, iwwer npm a PyPI, ugefouert vun enger Héichgeschwindegkeetskampagne a verschiddenen neien Imitatiounscluster.
Déi gréisst eenzel Evenement war bingo-ai op PyPI, nach eng Kéier: bal 85 Versioune goufen den 21. Juli an engem 23-Minutte-Fënster bestätegt, datselwecht automatiséiert Publikatiounsmuster, dat mir lescht Woch an dësem Pak ugedeit hunn.
Mir hunn och weider Aktivitéiten vun gcli-control op PyPI, engem Package vun eisem Fuerschungsteam dës Woch am Detail profiléiert: e voll ausgestattete Windows RAT (Keylogging, Webcam/Mikrofon-Erfassung, Zwëschespeicher-Iwwerwaachung, Browser-Umeldungsinformatiounsklau, Persistenz), deen säi Kommando a Kontroll iwwer npoint.io, e gratis JSON-Hosting-Service, leet, anstatt iwwer eng Domain, déi dem Ugräifer gehéiert. Den éischte Burst (Versiounen 0.1.0 bis 0.7.1) ass a ronn 13.5 Stonnen vum 21. bis den 22. Juli op seng voll Kapazitéit eskaléiert. De Resumé vun dëser Woch weist, datt d'Kampagne do net opgehalen huet: fënnef weider Versiounen (0.8.0 bis 0.12.0) sinn an engem méi stännege Tempo vum 23. bis den 24. Juli gefollegt.
Mir hunn och en Twilio-Impersonatiounscluster mat néng Paketen op npm bestätegt (twilio-serverless, twilio-functions, twilio-internal, an anerer), all den 21. Juli mat opgeblosenen Versiounsnummeren publizéiert, e klassescht Ofhängegkeets-Duercherneen-Muster. En zweete Cluster huet sech op Krypto/DeFi-Tooling op npm gezielt, néng Paketen, dorënner uniswap-sdk-v4, wagmi-react, an ethers-secure, publizéiert den 23. Juli.
Méi kleng awer bemierkenswäert: en widderhuelend "Datumsformatéierungsprogramm"-Nimmthema iwwer dräi separat Kampagnen, an n8n-nodes-pwn, e verdächteg benannt Automation-Node-Package, dat den 22. Juli confirméiert gouf.
Dës wöchentlech Iwwersiicht ass Deel vun eisem lafende Béiswëlleg Code Digest, wou mir nei Bedrohungen validéieren an ëmsetzbar Informatiounen ubidden, fir DevSecOps-Teams ze hëllefen, hir ... ze schützen pipelines ier Schued entsteet. Loosst eis opbriechen, wat mir dës Woch fonnt hunn a firwat et wichteg ass.
165+ Paketen. Eng Woch. D'Skala klëmmt weider.
De Resumé vun dëser Woch reflektéiert déiselwecht Trajektorie: Attacker publizéieren méi séier wéi Registere läschen, a méi séier wéi e wöchentleche Scan erfaasse kann. Ee eenzegt PyPI-Paket, bingo-ai, ass vun der éischter Versioun op bal 85 bestätegt Versiounen an ongeféier 23 Minutten gaang, automatiséiert Verëffentlechung mat enger Geschwindegkeet, déi kee manuelle Bewäertungsprozess erreeche kann. Mëttlerweil, gcli-control weist datt Volumen net deen eenzege Risiko ass: eng voll ausgestatte RAT, déi sech net beméit huet ze verstoppen, wat se war, mä amplaz seng Befeeler iwwer npoint.io, e gratis JSON-Hosting-Service, weiderginn huet, sou datt säin Traffic an déi normal Entwéckleraktivitéit integréiert gëtt, ouni datt en Ugräifer eng Domain muss blockéieren. An d'Twilio- a Krypto/DeFi-Imitatiounscluster weisen en drëtt ganzt Muster: koordinéiert, Multi-Package-Drops, déi iwwerdriwwe Versiounsnummeren benotzen, fir e Wettlaf géint intern Paketnimm ze gewannen, deen duerch Ofhängegkeeten a Verwirrung féiert.
Xygeni Fréizäiteg Malware Warnung iwwerwaacht npm, PyPI an aner Registere a Echtzäit, andeems se Gefore beim Publikatiounszäitpunkt markéiert, ier se e Build erreechen, ier en KI-Agent se autonom installéiert, a ier e geheime Relais oder e Pakett fir d'Verwirrung vun Ofhängegkeeten eng Chance huet, auszeféieren. bingo-ai verschéckt Dosende vu Versiounen an ënner enger hallwer Stonn, oder gcli-control Wann säin C2 duerch e Service leet, deen Är Egress-Regele scho erlaben, ass d'Detektioun, déi no der Tatsaach leeft, scho ze spéit.
Xygeni's Open Source Security D'Plattform gëtt DevSecOps-Teams déi Echtzäitdetektioun a Prioriséierung, déi néideg sinn, fir dem koordinéierten Drock an der Versuergungskette e Schrëtt viraus ze bleiwen, sou datt Är pipelines bleift propper ouni Är Équipen ze bremsen.
