Isan-kerinandro, ny rafitray hamantarana malware dia mijery fonosana vaovao sy nohavaozina an'arivony manerana ny rejisitra ho an'ny daholobe toa ny npm sy PyPI.
Tena nafana ny hetsika tamin'ity herinandro ity.
Nohamafisinay Fonosana mampidi-doza 53, indrindra manerana npm, miaraka amin'ny tranga fanampiny ao amin'ny OpenVSXMaro no niseho tao anaty vondrona mirindra, miaraka amin'ny famoahana ratsy miverimberina navoaka tamin'ny anarana mitovy na tamin'ny fianakaviana fonosana mifandraika akaiky. Maro no naka tahaka SDK fandoavam-bola, enterprise tooling, fitaovana ho an'ny mpamorona, Fanitarana OpenVSX, Fonosana misy lohahevitra AI sy agentic, singa azo idirana, Mpanampy UI, ary ireo môdioly hafa izay matetika itokisana amin'ny fizotran'ny fampandrosoana maoderina.
Tsy zavatra tsy ara-dalàna mitokana ireo. Ny tena niavaka tamin'ity herinandro ity dia ny famoahana miverimberina amin'ny fianakaviana fonosana mitovy, ny fampiasana indray ny lamina anarana, ary ny fomba nanafenana ireo fonosana ratsy mba hitovy amin'ny fiankinan-doha ara-dalàna ao anatin'ny fanaterana rindrambaiko tena izy. pipelines.
Ity topimaso isan-kerinandro ity dia anisan'ny hetsika mitohy ataonay Famintinana ny kaody ratsy, izay hanamarinana ireo fandrahonana vaovao ary hanomezana fampahalalana azo ampiharina mba hanampiana Ekipa DevSecOps arovy ny azy ireo pipelines alohan'ny hitrangan'ny fahasimbana.
Andeha hojerentsika izay hitantsika tamin'ity herinandro ity sy ny antony maha-zava-dehibe izany.
| tontolo iainana | Package | Date |
|---|---|---|
| npm | admin0911:1.0.23 | Apr 14, 2026 |
| npm | admin0911:1.0.47 | Apr 14, 2026 |
| npm | admin0911:1.0.59 | Apr 14, 2026 |
| npm | @searchos/bot-proxy:0.1.4 | Apr 10, 2026 |
| npm | baidu-ti:1.0.0 | Apr 10, 2026 |
| openvsx | rajdeepchandra/spectrum-design-tokens-for-vscode:0.0.1 | Apr 11, 2026 |
| openvsx | rajdeepchandra/spectrum-design-tokens-for-vscode:0.0.3 | Apr 11, 2026 |
| openvsx | rajdeepchandra/spectrum-design-tokens-for-vscode:0.0.4 | Apr 11, 2026 |
| npm | @genoma-ui/singa:99.99.2 | Apr 11, 2026 |
| npm | paysafe-payments-sdk-common:99.0.0 | Apr 13, 2026 |
| npm | fandoavam-bola amin'ny karatra paysafe:99.0.0 | Apr 13, 2026 |
| npm | paysafe-google-pay:99.0.0 | Apr 13, 2026 |
| npm | paysafe-apple-pay:99.0.0 | Apr 13, 2026 |
| npm | paysafe-venmo:99.0.0 | Apr 13, 2026 |
| npm | fandoavam-bola amin'ny karatra paysafe:99.99.1 | Apr 13, 2026 |
| npm | paysafe-payments-sdk-common:99.99.1 | Apr 13, 2026 |
| npm | paysafe-google-pay:99.99.1 | Apr 13, 2026 |
| npm | paysafe-venmo:99.99.1 | Apr 13, 2026 |
| npm | unisys-core:99.99.1 | Apr 11, 2026 |
| npm | unisys-auth:99.99.1 | Apr 11, 2026 |
| npm | unisys-sdk:99.99.1 | Apr 11, 2026 |
| npm | unisys-agentic-ai-kianjan-kianja:99.99.2 | Apr 11, 2026 |
| npm | unisys-auth:99.99.2 | Apr 11, 2026 |
| npm | unisys-sdk:99.99.2 | Apr 11, 2026 |
| npm | sysverify-core:1.0.0 | Apr 13, 2026 |
| npm | fikarohana-sivana-mpampiantrano:1.0.0 | Apr 13, 2026 |
| npm | magentaa11y:9.9.11 | Apr 14, 2026 |
| npm | magentaa11y:9.9.12 | Apr 14, 2026 |
| npm | bitu-user:99.0.0 | Apr 13, 2026 |
| npm | bitu-app:99.0.0 | Apr 13, 2026 |
| npm | rn-bitu:99.0.0 | Apr 13, 2026 |
| npm | bitu-core:99.0.0 | Apr 13, 2026 |
| npm | bitu-protocol:99.0.0 | Apr 13, 2026 |
| npm | bitu-staking:99.0.0 | Apr 13, 2026 |
| npm | bitu-trade:99.0.0 | Apr 13, 2026 |
| npm | bitu-wallet:99.0.0 | Apr 13, 2026 |
| npm | bitu-sdk:99.0.0 | Apr 13, 2026 |
| npm | @gbrlxvii/ts-form-utils:1.0.2 | Apr 13, 2026 |
| npm | @gbrlxvii/ts-form-utils:1.0.3 | Apr 13, 2026 |
| npm | bitu-staking:99.0.1 | Apr 13, 2026 |
| npm | magentaa11y:9.9.16 | Apr 14, 2026 |
| npm | magentaa11y:9.9.18 | Apr 14, 2026 |
| npm | stacks-editor:9.9.9 | Apr 16, 2026 |
| npm | politika-fiarovana-express:1.0.2 | Apr 17, 2026 |
| npm | ixpresso-core:1.0.1 | Apr 16, 2026 |
| npm | ixpresso-core:1.0.2 | Apr 16, 2026 |
| npm | @athena-ui-components/rohy lalina:0.0.41 | Apr 16, 2026 |
| npm | @athena-ui-components/mpanampy:1.1.24 | Apr 16, 2026 |
| npm | @athena-ui-components/lang:0.1.18 | Apr 16, 2026 |
| npm | @athena-ui-components/layout:1.2.24 | Apr 16, 2026 |
| npm | node-red-contrib-yolo-object-detection:9.1.11 | Apr 16, 2026 |
| npm | node-red-contrib-yolo-object-detection:9.1.12 | Apr 16, 2026 |
| npm | monerom:1.0.7 | Apr 17, 2026 |
Arovy ny fiankinan-doha amin'ny loharano misokatra amin'ny fahalemena sy ny kaody ratsy
Ahenao ny risika ary arovy amin'ny fonosana manimba ny fampiharanao Famantarana mialoha ny malware Xygeni. Ataovy laharam-pahamehana ary vahao ireo fahalemena tena manan-danja. Ny vahaolana feno atolotray dia manolotra fanaraha-maso mivantana ny fiankinan-doha amin'ny rindrambaiko mba hamantarana sy hampihenana ny fandrahonana alohan'ny hisy fiantraikany amin'ny rindrambaikonao.
Tena ilaina ny fitantanana ireo singa open-source amin'ny tontolon'ny fampandrosoana rindrambaiko ankehitriny noho ny fitomboan'ny fahalemena sy ny fandrahonana kaody maloto. An'i Xygeni Open Source Security Mijery sy manakana ireo fonosana manimba ny vahaolana rehefa avoaka, ka mampihena be ny mety hisian'ny malware sy ny fahalemena miditra amin'ny rafitrao. Ny fanaraha-maso feno ataonay dia mivelatra amin'ny rejisitra ho an'ny daholobe maro, miantoka fa voadinika tsara ny fiankinan-doha rehetra mba hahazoana antoka fa azo antoka sy azo itokisana. Manatsara ny fahafahan'ny ekipanao mitazona tetikasa rindrambaiko azo antoka sy azo itokisana ny Xygeni amin'ny alàlan'ny fanomezana laharam-pahamehana ireo olana lehibe sy ny fanamorana ny dingana fanarenana.
Mampiasa teknika misy sosona maro ny Xygeni mba hampijanonana ny kaody ratsy alohan'ny hielezany. Voalohany indrindra, ny famakafakana kaody statika dia mamantatra ny lamina fanakorontanana, ny entana miafina, ary ny fanararaotana script. Ankoatra izany, ny famakafakana ny sandboxing fitondran-tena dia mametraka hooks, baiko runtime, ary hafetsena persistence. Ankoatra izany, ny fitadiavana fianarana milina dia mamantatra ny malware npm zero-day sy ny variants malware pypi tsy hitan'ny scanner sonia. Farany, ny Early Warning System dia manara-maso ny tahiry ampahibemaso amin'ny fotoana tena izy, manamarina ny zavatra hita, ary mampandre avy hatrany ny ekipa DevOps.
Vokatr'izany, ity fitambarana ity dia miantoka fa hahazo fampahalalana haingana sy azo ampiharina ireo mpamorona rindrambaiko tafiditra mivantana ao anatin'ny CI/CD workflows.
Nahoana ny mpamorona rindrambaiko no tokony hiahy momba ireo fonosana npm maloto?
Mahalana vao miandry ny fotoana fanombohana ny fandrahonana maoderina. Ohatra, matetika miasa mandritra ny fametrahana ireo fonosana npm maloto, raha toa kosa ka manafina ny fanesorana ny token na ny backdoors ireo fonosana maloto pypi.
- Avadiho ho ampahibemaso ny repo GitHub manokana mba handikana azy ireo.
- Esory ny fahazoan-dàlana sy ny tsiambaratelo amin'ny alàlan'ny fampiasana entana voadika.
- Ampiasao ireo JavaScript loaders voasakana mba hampielezana ransomware na botnets.
Raha ny marina, nitombo 156% tao anatin'ny herintaona ireo fonosana open source ratsy. Noho izany, ireo ekipa izay miantehitra amin'ny fampandehanana miadana na scanner tsotra fotsiny dia taraiky.
Izay arahina amin'ity tatitra momba ny malware ity ao amin'ny npm sy PyPI
Ity famintinana ity no foiben'ny:
- Fonosana npm ratsy voamarina
- Fonosana pypi maloto voamarina
- Fitiliana kaody maloto mifototra amin'ny fitondran-tena
- Tranga voamarina tao amin'ny rejisitra
- Famintinana ny tatitra isan-kerinandro sy isam-bolana momba ny malware
- Tatitra momba ny fiovan'ny tantaran'ny malware npm sy ny malware pypi rehetra hita
Raha lazaina amin'ny teny hafa, dia manome teboka fanondroana tokana izy io. Ny ekipa mpikaroka ao amin'ny Xygeni dia manavao ity pejy ity isan-kerinandro miaraka amin'ny rohy mankany amin'ny fanadihadiana ara-teknika feno sy ny GitHub IOCs.
Ahoana no fomba hiarovana amin'ny fonosana npm ratsy sy rindrambaiko ratsy PyPI
Noho ity risika mitombo ity, mila fiarovana matanjaka ireo fikambanana:
- Ampiharo ny fametrahana lockfile-only (
npm ci) ao CI/CD. - Ankoatra izany, ny scan dependencies dia apetraka mialoha amin'ny alàlan'ny Xygeni's Early Warning Engine.
- Ankoatra izany, ny bloc dia miorina amin'ny famantarana kaody maloto mampiasa Guardrails.
- hiteraka SBOMs mba hanarahana ny fiankinan-doha ankolaka sy hampihatra politika.
- Ambonin'ny zava-drehetra, ampiofano ireo mpamorona rindrankajy mba hamantatra ny lesoka amin'ny tsipelina, ny fanafenana ary ny script fametrahana mampiahiahy.
Andramo ny fitaovana famantarana malware an'ny Xygeni
Manome ireto manaraka ireto ny Xygeni:
- Fitihana kaody mampidi-doza amin'ny fotoana tena izy, anisan'izany ny backdoors, spyware, ary ransomware.
- Mifanohitra amin'ny scanner fototra, ny famakafakana manerana ny npm, PyPI, Maven, NuGet, rubygems, ary mihoatra.
- Fanakanana fananganana mandeha ho azy rehefa mamantatra ny risika ny tatitra momba ny malware.
- Fahitana ny mety hisian'ny fanararaotana, fanamarinana ny lazan'ny mpikojakoja, ary fitadiavana ireo tsy fetezana.
