Долоо хоног бүр манай хортой програм хангамж илрүүлэх системүүд npm болон PyPI зэрэг олон нийтийн бүртгэлүүдээр мянга мянган шинэ болон шинэчлэгдсэн багцуудыг шалгадаг. Энэ долоо хоног ч мөн адил байсан. Бид үүнийг баталсан. 2026 оны 7-р сарын 17-ноос 7-р сарын 24-ний хооронд 165 хортой багц, npm болон PyPI даяар, нэг өндөр хурдтай кампанит ажил болон хэд хэдэн шинэ дүр эсгэх кластеруудаар удирдуулсан.
Хамгийн том ганц үйл явдал нь байсан bingo-ai PyPI дээр дахин: 7-р сарын 21-нд 23 минутын дотор бараг 85 хувилбар батлагдсан бөгөөд энэ нь өнгөрсөн долоо хоногт энэ багцад тэмдэглэсэн автоматжуулсан хэвлэлийн хэв маягтай адил юм.
Бид мөн цаашдын үйл ажиллагааг баталгаажуулсан gcli-control манай судалгааны багийн багц болох PyPI дээр энэ долоо хоногт дэлгэрэнгүй танилцуулсан: бүрэн хэмжээний Windows RAT (товчлуурын бүртгэл, вэбкамер/микрофоны бичлэг, clipboard хяналт, хөтчийн итгэмжлэлийн хулгай, тогтвортой байдал) нь халдагчийн эзэмшлийн домэйн биш харин үнэгүй JSON хостинг үйлчилгээ болох npoint.io-оор дамжуулан тушаал болон хяналтаа дамжуулдаг. Эхний тэсрэлт (0.1.0-0.7.1 хувилбарууд) 7-р сарын 21-22-нд ойролцоогоор 13.5 цагийн дотор бүрэн хүчин чадлаар нэмэгдсэн. Энэ долоо хоногийн дайжест кампанит ажил үүгээр зогссонгүй: 7-р сарын 23-24 хүртэл тогтвортой хурдаар таван хувилбар (0.8.0-0.12.0) гарсан.
Бид мөн npm дээр есөн багц Twilio дуураймал кластерыг баталгаажуулсан (twilio-serverless, twilio-functions, twilio-internal, болон бусад), бүгд 7-р сарын 21-нд хувилбарын дугаарыг хөөрөгдсөн байдлаар нийтэлсэн бөгөөд энэ нь сонгодог хамаарал-төөрөгдлийн хэв маяг юм. Хоёр дахь кластер нь npm дээрх крипто/DeFi хэрэгслийг чиглүүлсэн бөгөөд есөн багц багтсан болно. uniswap-sdk-v4, wagmi-reactБолон ethers-secure, 7-р сарын 23-нд нийтлэгдсэн.
Жижиг боловч мэдэгдэхүйц: гурван тусдаа кампанит ажлын хүрээнд давтагддаг "огноо форматлах хэрэгсэл" нэрлэх сэдэв, мөн n8n-nodes-pwn, сэжигтэй нэртэй automation-node багцыг 7-р сарын 22-нд баталгаажуулсан.
Энэхүү долоо хоног тутмын тойм нь бидний үргэлжилж буй үйл явдлын нэг хэсэг юм Хортой кодын дайжест, бид шинэ аюул заналхийллийг баталгаажуулж, DevSecOps багуудад өөрсдийнхөө хамгаалалтыг хамгаалахад нь туслах зорилгоор үйл ажиллагааны боломжтой мэдээлэл өгдөг pipelineхохирол учрахаас өмнө. Энэ долоо хоногт юу олсон, яагаад чухал болохыг задлан шинжилье.
165+ багц. Нэг долоо хоног. Жинлүүр үргэлжлэн өссөөр байна.
Энэ долоо хоногийн дайжест мөн адил чиглэлийг тусгасан: халдагчид бүртгэлүүд устгаснаас хурдан, долоо хоног тутмын сканнердахаас ч хурдан нийтэлдэг. Ганц PyPI багц, bingo-ai, эхний хувилбараас бараг 85 баталгаажсан хувилбар руу 23 минутын дотор шилжсэн бөгөөд гараар хянах процессоос давж гарахгүй хурдаар автоматжуулсан нийтлэлт хийгдсэн. Үүний зэрэгцээ, gcli-control эзлэхүүн нь цорын ганц эрсдэл биш гэдгийг харуулж байна: бүрэн хэмжээний RAT нь юу болохыг нуухыг хичээлгүй, харин тушаалуудаа үнэгүй JSON хостинг үйлчилгээ болох npoint.io-оор дамжуулдаг тул түүний урсгал нь ердийн хөгжүүлэгчийн үйл ажиллагаанд холилдож, халдагчийн эзэмшдэг домэйнгүйгээр хаах боломжтой. Twilio болон crypto/DeFi-ийн дуураймал кластерууд нь гурав дахь хэв маягийг бүрэн харуулж байна: дотоод багцын нэрсийн эсрэг хамаарлын төөрөгдлийн уралдаанд ялахын тулд хөөрөгдсөн хувилбарын дугааруудыг ашиглан зохицуулалттай, олон багцын уналт.
Xygeni-ийн эрт үеийн хортой програмын анхааруулга npm, PyPI болон бусад бүртгэлүүдийг бодит цаг хугацаанд хянаж, аюул заналыг нийтлэх мөчид, бүтээхэд хүрэхээс өмнө, хиймэл оюун ухааны агент тэдгээрийг бие даан суулгахаас өмнө, мөн нууц дамжуулалт эсвэл хамаарлын төөрөгдлийн багц ажиллах боломжтой болохоос өмнө тэмдэглэдэг. Хэзээ bingo-ai хагас цагаас бага хугацаанд хэдэн арван хувилбарыг илгээдэг, эсвэл gcli-control өөрийн C2-г таны гарах дүрмүүд аль хэдийн зөвшөөрсөн үйлчилгээгээр дамжуулдаг бөгөөд энэ нь баримт хэтэрхий оройтсоны дараа ажилладаг илрүүлэлт юм.
Xygeni's Open Source Security Энэ платформ нь DevSecOps багуудад зохицуулалттай хангамжийн сүлжээний дарамтаас түрүүлж гарахад шаардлагатай бодит цагийн илрүүлэлт болон эрэмбэлэлтийг өгдөг тул таны pipelineБагуудаа удаашруулахгүйгээр цэвэрхэн байгаарай.
