Секоја недела, нашите системи за откривање на малициозен софтвер скенираат илјадници нови и ажурирани пакети низ јавни регистри како npm, PyPI и OpenVSX. Потврдивме 35 малициозни пакети помеѓу 28 август и 4 септември, 2026 година, предводен од кластер од четиринаесет пакети што ја имитира бразилската инфраструктура за плаќање, објавен во еден ден, продолжение на кампањата за имитирање на Бејлис под две нови имиња и координиран кластер од пакети со крипто/блокчејн тематика што делат идентичен број на верзија.
Најголемиот кластер во неделата беше насочен кон она што се чини дека е бразилска финтех инфраструктура и инфраструктура за проверка на кредитот: четиринаесет пакети (grafeno-products, spc-grafeno, grafeno-client, grafeno-utils, grafeno-core, grafeno-logger, grafeno-config, grafeno-auth, grafeno-pix, spc-grafeno-login, spc_login, grafeno-payments, grafeno-webhook, grafeno-billing) сите беа објавени на 29 август, претежно во верзијата 1.0.0, Со grafeno-products стои на надуен 999.0.1, истиот модел на инфлација на верзиите забележан во кластерот за е-трговија од минатата недела.
Кампањата за лажно претставување на Бејлис, забележана во претходните недели, продолжи под два нови идентитети: @fyxzpediaa/baileys:8.1.0 на 28 август и cloud-baileys, кој испорача две верзии (1.1.37 и 1.1.38) во текот на неделата.
Исто така, вреди да се напомене: кластер од четири пакети под @stellarshift опсег (token-units, evm-address-kit, abi-tools, chain-metadata), сите објавени на 2 септември во идентична верзија 1.0.3, имиња на алатки за крипто и блокчејн во согласност со таргетирањето на програмерите кои работат во таа област; и mcp-consultasdeveiculos-client, кој испорача три верзии во еден ден (0.0.2, 0.1.0, 0.1.1 на 4 септември), MCP клиентски пакет, видот на зависност што агентот со вештачка интелигенција е сè поверојатно да ја повлече сам.
Оваа неделна слика е дел од нашите тековни Малициозен код Диџест, каде што ги потврдуваме новите закани за да им помогнеме на тимовите DevSecOps да ги заштитат своите pipelineпред да се случи штетата. Оваа недела објавивме и Ризичен бизнис: Објаснување на самобришењето на npm пакетите, Вреди да се погледне ако сакате подетално да се нурнете во тоа како некои од овие кампањи ги покриваат своите траги по инсталацијата.
Четиринаесет имиња, еден образец: 35 злонамерни пакети оваа недела
Овонеделниот преглед го прикажува зголемениот отпечаток од прст на истиот актер: еднодневен кластер од четиринаесет пакети кои се претставуваат како финансиска инфраструктура и две кампањи кои сè уште се повторуваат на псевдоними означени во претходните недели.
Најголемиот кластер оваа недела се покажа себеси преку именување и модел на верзија. Четиринаесет пакети се изградени околу бразилскиот финтех и брендирање со проверка на кредитната историја (grafeno-products, spc-grafeno, grafeno-client, grafeno-utils, grafeno-core, grafeno-logger, grafeno-config, grafeno-auth, grafeno-pix, spc-grafeno-login, spc_login, grafeno-payments, grafeno-webhook, grafeno-billing) сите објавени на 29 август, повеќето на верзијата 1.0.0 освен grafeno-products, кој се испорачува со надуена 999.0.1, истиот број на верзијата кажува што го откри кластерот за е-трговија од минатата недела.
Кампањата за имитирање на Бејлис, означена во претходните извештаи, не престана, туку се ротирани алијаси. @fyxzpediaa/baileys се појави на 28 август, и cloud-baileys испорача уште две верзии (1.1.37, 1.1.38) во текот на неделата, што е во согласност со тоа што напаѓачот ги менувал имињата, наместо да го напушти обидот по откривањето.
Одделен кластер од четири пакети под @stellarshift опсег (token-units, evm-address-kit, abi-tools, chain-metadata) сите објавени на 2 септември во идентична верзија 1.0.3, имиња за алатки за крипто и блокчејн, наменети за програмери кои работат во таа област. И mcp-consultasdeveiculos-client испорача три верзии во еден ден, MCP клиентски пакет, токму таков вид зависност што автономниот агент сега е позициониран да ја преземе сам без човек прво да го прочита името.
Рано предупредување за малициозен софтвер од Xygeni ги следи npm, PyPI, Maven, OpenVSX и другите регистри во реално време, означувајќи ги заканите во моментот на објавување, пред да стигнат до верзијата и пред агентот на вештачката интелигенција да ги инсталира автономно. Кога четиринаесет неповрзани имиња на пакети се објавуваат во истиот ден со ист надуен образец на верзијата или кампањата се појавува повторно под трет псевдоним за исто толку недели, откривањето што проверува само еднаш веќе заостанува.
Ксигени Open Source Security платформата им дава на тимовите на DevSecOps детекција во реално време и приоритизација потребни за да останат чекор пред координираниот притисок во синџирот на снабдување, така што вашите pipelineОстанете чисти без да ги забавувате вашите тимови.
