Секоја недела, нашите системи за детекција на малициозен софтвер скенираат илјадници нови и ажурирани пакети низ јавни регистри како npm, PyPI и OpenVSX. Потврдивме 34 малициозни пакети помеѓу 15 август и 20 август 2026 година, предводени од континуирана кампања за лажно претставување против Baileys, популарна библиотека WhatsApp Web API со отворен код, кластер од пакети за проби со бренд Twilio/HackerOne и збир на неповрзани npm пакети кои делат идентичен, невообичаено висок број на верзија.
Имитацијата на Бејлис траеше најдолго: четири одделни имиња на пакети (@mrlegendbot/baileys, cloud-baileys, @vanzxy/baileys, ourin-baileys) потврдено во текот на шест дена, со cloud-baileys само тоа беше повторно објавено четири пати помеѓу 15 и 20 август со растечки број на верзии, шема што е во согласност со тоа што напаѓачот повторува повеќе од детекцијата, наместо еднократно прикачување.
Одделен кластер на 15 август објави пакети што се однесуваат на Twilio и HackerOne (twilio-hackerone-poc-afe6937c, пет верзии во еден ден, плус tw-pkgprobe-7731 hunterone-build-probe-9210), конвенции за именување кои обично се поврзуваат со испитување на награда за грешки или конфузија во зависностите, наместо со прикриен товар.
Исто така вреди да се означи: pump-segments-sdk, carbon-monorepo, и pump-fun-skills, три инаку неповрзани имиња на пакети, сите објавени на верзијата 20.1.1 на 19 август, необичен споделен број на верзија низ наводно независни проекти што укажува на еден актер зад сите тројца.
Оваа неделна слика е дел од нашите тековни Малициозен код Диџест, каде што ги потврдуваме новите закани за да им помогнеме на тимовите DevSecOps да ги заштитат своите pipelines пред да се случи оштетувањето.
Кога итерацијата е подобра од детекцијата: 34 малициозни пакети оваа недела
Овонеделниот преглед покажува дека напаѓачите се потпираат на упорност, а не на едно среќно прикачување. cloud-baileys Имитацијата на популарната библиотека WhatsApp Web API беше повторно објавена четири одделни пати помеѓу 15 и 20 август под броеви на верзии што се зголемуваат, заедно со три други слични имиња (@mrlegendbot/baileys, @vanzxy/baileys, ourin-baileys), одржлива кампања, а не еднократен обид.
Конвенциите за именување открија други кластери исто толку брзо. Група пакети брендирани околу Twilio и HackerOne, вклучувајќи twilio-hackerone-poc-afe6937c објавено во пет верзии во еден ден, заедно со tw-pkgprobe-7731 hunterone-build-probe-9210, користеле шеми за именување кои обично се поврзуваат со испитување на bug-bonuty или confusion-consusion. На друго место, три неповрзани имиња на пакети (pump-segments-sdk, carbon-monorepo, pump-fun-skills) сите се испорачуваат под идентичен број на верзија 20.1.1 на истиот ден, необична случајност што укажува на еден актер кој дејствува зад сите тројца.
Рано предупредување за малициозен софтвер од Xygeni Ги следи npm, PyPI, Maven, OpenVSX и другите регистри во реално време, означувајќи ги заканите во моментот на објавување, пред да стигнат до верзијата и пред агентот на вештачката интелигенција да ги инсталира автономно. Кога истото име на пакетот се појавува четири пати во шест дена под нова верзија секој пат, детекцијата што проверува само еднаш веќе заостанува.
Ксигени Open Source Security платформата им дава на тимовите на DevSecOps детекција во реално време и приоритизација потребни за да останат чекор пред координираниот притисок во синџирот на снабдување, така што вашите pipelineОстанете чисти без да ги забавувате вашите тимови.
