Секоја недела, нашите системи за откривање на малициозен софтвер скенираат илјадници нови и ажурирани пакети низ јавни регистри како npm, PyPI и OpenVSX. Потврдивме 114 малициозни пакети помеѓу 7 август и 14 август, 2026, предводен од кластер на npm пакети отворено брендиран по вистинска алатка за напаѓачи на dark-LLM, бран на конфузија од зависности насочен кон библиотеките на протоколи DeFi и Web3 и голема кампања за заземање на брендот против бразилски финтех провајдер.
Највпечатливото откритие: wormgpt-cli на npm, девет верзии објавени брзо едно по друго на 7 август, заедно со придружен пакет, gpt-terminal-cli, објавено истиот ден. Името е директна референца за WormGPT, вистинска алатка за dark-LLM наменета за сајбер криминалци за фишинг и генерирање малициозен софтвер, што сугерира дека пакетот тргува со препознавањето на брендот на вистинска алатка за напаѓачи, наместо да се крие зад неутрално име.
Одделен кластер директно ја таргетираше децентрализираната финансиска инфраструктура: десет имиња на пакети на npm кои се претставуваат како вистински DeFi протокол и standardбиблиотеки (ethereum-vault-connector, boring-vault, camelot-ammv2-core, camelot-ammv2-periphery, @aerodrome-finance/contracts, @aerodrome-finance/slipstream, permit2, @openzeppelin-4/contracts, @openzeppelin-5/contracts, passkeys-react), вкупно шеснаесет потврдени верзии, објавени во рок од неколку часа една од друга на 11 август. Тоа е игра на конфузија помеѓу зависностите насочена директно кон програмерите кои градат врз основа на Камелот, Аеродром Фајнанс и ОпенЗепелин standard договори.
Најголемиот поединечен кластер оваа недела се претставуваше како Алело, бразилски давател на корпоративни бенефиции и платежни картички: десет различни имиња на пакети (alelo-core, alelo-api, alelo-client, alelo-utils, alelo-auth, alelo-sdk, alelo-services, alelo-common, alelo-payment, meualelo), повеќето објавени во две или три верзии, за дваесет и еден потврден пакет само на 14 август. Заедно со него, посебна кампања со ограничен именски простор објави дваесет и еден сличен пакет n8n-nodes-utils-helper-* пакети низ три npm опсези (@years17, @years18, @years20) помеѓу 13 и 14 август, шема што е во согласност со автоматизирано сквотирање против екосистемот на јазли на платформата за автоматизација n8n, наместо со еден рачно изработен напад.
Два пакети на Maven објавени под io.github.davidtimur/c2-lab на 7 август вреди да се означат само по име. C2 е кратенка од „command-and-control“, а рекламирањето на пакет што функционира во свое име е или извонредно невнимателно или тестира колку брзо откривањето го достигнува. За повеќе информации за ризикот во синџирот на снабдување специфичен за Maven, видете ја нашата анализа на JavaCDoor, задна врата во време на компајлирање што ја откривме во екосистемот Maven.
Оваа неделна слика е дел од нашите тековни Малициозен код Диџест, каде што ги потврдуваме новите закани и обезбедуваме практични информации за да им помогнеме на тимовите DevSecOps да ги заштитат своите pipelines пред да се случи оштетувањето.
Кога името го открива: 114 малициозни пакети оваа недела
Овонеделниот преглед покажува дека напаѓачите се потпираат на препознатливоста на брендот, наместо да се кријат од неа. wormgpt-cli се зголеми од нула на девет верзии на npm во еден ден, дрско именуван по вистинска алатка за темна LLM што се продава на сајбер криминалци, заедно со придружен пакет, gpt-terminal-cli, објавено истиот ден. Два пакети на Maven отидоа уште подалеку, објавувајќи отворено под името c2-lab, командата и контролата се наведени во самото име на пакетот.
Томот ја раскажа својата приказна на друго место. Кластер од десет пакети што ги имитира библиотеките на DeFi протоколи (ethereum-vault-connector, boring-vault, camelot-ammv2-coreи други) добија шеснаесет потврдени верзии во рок од неколку часа една од друга на 11 август, синхронизирано објавување насочено кон развивачите што ќе го внесат она што изгледа како standard договори од Камелот, Аеродром Фајнанс и ОпенЗепелин. Неколку дена подоцна, кластер од десет имиња кој се претставуваше како Алело, бразилски давател на корпоративни бенефиции, произведе дваесет и еден потврден пакет во еден ден, додека паралелна кампања присвои дваесет и еден пакет слични на нив. n8n-nodes-utils-helper-* имиња низ три одделни npm опсези, шема што укажува на автоматизирана инфраструктура за сквотирање, наместо на еден напаѓач што работи рачно.
Рано предупредување за малициозен софтвер од Xygeni ги следи npm, PyPI, Maven, OpenVSX и другите регистри во реално време, означувајќи ги заканите во моментот на објавување, пред да стигнат до градбата и пред агентот на вештачката интелигенција да ги инсталира автономно. Кога именскиот простор со опсег произведува дваесет и еден пакет што личи на друг за два дена, или артефакт од Maven се испраќа со својата намера во името, откривањето што се извршува по фактот е веќе предоцна.
Ксигени Open Source Security платформата им дава на тимовите на DevSecOps детекција во реално време и приоритизација потребни за да останат чекор пред координираниот притисок во синџирот на снабдување, така што вашите pipelineОстанете чисти без да ги забавувате вашите тимови.
