Selamat datang ke Edisi Jun Ringkasan Kod Berbahaya XygeniBulan ini, pasukan penyelidikan keselamatan kami mengesahkan lebih daripada 645 pakej berniat jahat merentasi npm, PyPI dan (buat pertama kalinya) pasaran sambungan VSCode.
Jun ditakrifkan oleh tiga trend yang menumpu: kempen pembanjiran versi berterusan yang direka untuk bertahan lebih lama daripada senarai sekatan, pecutan mendadak dalam serangan yang menyasarkan alur kerja pembangunan perkakasan dan agen AI, dan serangan kekeliruan kebergantungan yang diselaraskan terhadap ruang nama monorepo dalaman.
Antara kempen paling ketara yang didokumentasikan pada bulan ini:
- kepekaan membanjiri npm dengan lebih 70 versi merentasi julat 2.5.x, kempen pengelakan berterusan yang diterbitkan semula secara berterusan untuk mendahului penghapusan.
- A kempen typosquat Solana dua gelombang (7–8 Jun) menerbitkan 15 pakej yang menyamar sebagai
@solana-labsperkakasan ekosistem, menyasarkan pembangun Web3 dan DeFi secara langsung. - houzidawang806 menyumbang lebih 25 versi dalam satu hari (13 Jun), disertai oleh metrik-pipeline-d8k2 diterbitkan semula merentasi 21 versi antara 15–18 Jun.
- . Kekeliruan CryptoDAO kempen (17 Jun) menerbitkan 11 pakej pada versi 99.99.99, setiap satu membawa muatan pasca pemasangan yang serupa CI/CD token, kelayakan awan dan rahsia dompet kripto.
- Minggu 20–26 Jun membawakan penyasaran perkakasan AI yang paling tertumpu pada bulan tersebut: pembantu-ollama (20 versi), ejen-pembantu-openai (23 versi), monoklaud, ai-sdk-helpers, dan @langgraphjs/kit alat, semuanya disahkan dalam masa seminggu, menyasarkan secara langsung integrasi Ollama, SDK ejen OpenAI, LangGraph dan API Claude.
- Dua disahkan sambungan VSCode yang berniat jahat muncul bulan ini, menandakan bahawa penyerang sedang berkembang melangkaui pendaftaran pakej ke dalam persekitaran pembangun itu sendiri.
Corak penentu bulan Jun: serangan beralih ke sambungan IDE, perkakasan ejen AI dan aliran kerja ejen di mana pakej berniat jahat yang dipasang secara autonomi tidak mempunyai pengulas manusia antara jangkitan dan pelaksanaan.
Kemas kini bulanan ini merupakan sebahagian daripada inisiatif penyelidikan malware dan ancaman rantaian bekalan Xygeni yang berterusan. Untuk konteks penuh merentasi setiap pakej berniat jahat yang disahkan bulan ini, terokai Ringkasan Kod Berniat Jahat Jun yang lengkap dan penyelidikan berkaitan daripada Pasukan Keselamatan Xygeni.
Minggu 4: Lebih 201 Pakej Ditemui
| Ekosistem | Pakej | Tarikh |
|---|---|---|
| Jun 20, 2026 | ||
| npm | panrouter:5.0.2 + 30 versi merentasi julat 5.x–6.x sehingga 22 Jun — kempen dominan minggu ini | Jun 20, 2026 |
| npm | trimprompt:1.0.5 + 4 versi — sambungan dari minggu sebelumnya, masih aktif | Jun 20, 2026 |
| npm | monoklaud:1.0.1 + 2 versi — Penyamaran perkakasan API Claude | Jun 20, 2026 |
| vscode | pengaturcaraan-pasangan-agen-orbit-untuk-smalltalk:1.206.0 + 1 versi — sambungan VSCode berniat jahat yang menyasarkan pembangunan ejen | Jun 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Penyamaran ruang nama platform rumah pintar | Jun 20, 2026 |
| Jun 21, 2026 | ||
| npm | atlasora-kongsi:1.0.0 + 6 pakej — kekeliruan kebergantungan monorepo yang diselaraskan: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| npm | apintergrationpost:4.0.2 + 6 versi — alatan penyepaduan penyasaran kempen yang salah ejaan yang disengajakan | Jun 21, 2026 |
| npm | aplikasi-jejak-llm:1.0.1 Perkakas pemerhatian LLM disasarkan | Jun 21, 2026 |
| pypi | d0rk3r-telemetri:1.0.0 Pakej telemetri yang dikaburkan dalam PyPI | Jun 21, 2026 |
| Jun 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 versi — kempen banjir versi PyPI yang berterusan | Jun 22, 2026 |
| pypi | permintaan-cache-py:1.0.4 + 6 versi — Versi PyPI membanjiri | Jun 22, 2026 |
| pypi | corvinos:0.17.0 + 6 versi — Kempen pendaftaran pukal PyPI | Jun 22, 2026 |
| Jun 23, 2026 | ||
| npm | web3-token-helper:1.1.1 + 2 versi — Penyasaran utiliti token Web3 | Jun 23, 2026 |
| npm | monocross:1.0.1 + 1 versi — gugusan penamaan mono-* bersama monoclaude dan monotacos | Jun 23, 2026 |
| Jun 24, 2026 | ||
| npm | ollama-helpers:0.1.0 + 19 versi — kempen perkakasan AI terbesar bulan ini, menyasarkan masa jalan AI tempatan Ollama | Jun 24, 2026 |
| npm | openai-ejen-pembantu:0.1.1 + 22 versi — kempen terselaras yang menyasarkan ekosistem SDK ejen OpenAI | Jun 24, 2026 |
| Jun 25, 2026 | ||
| npm | ai-sdk-helpers:1.4.3 Perkakas SDK AI disasarkan bersama @langgraphjs/toolkit:1.2.11 | Jun 25, 2026 |
| npm | pendaftaran-pembenam:99.99.99-poc3 + pengurusan-tempatan-hs — kekeliruan kebergantungan ruang nama dalaman HubSpot, akhiran poc mengesahkan kempen penyelidikan aktif | Jun 25, 2026 |
| Jun 26, 2026 | ||
| npm | kit-tali-mudah:1.0.1 + 8 versi termasuk varian easy-string-kit232 — pendaftaran pukal di bawah nama utiliti generik | Jun 26, 2026 |
| npm | pakej-berniat-berniat-yang-tidak-selamat:1.0.0 + 5 versi — pakej yang dinamakan secara eksplisit sebagai kempen berniat jahat, muatan yang disahkan, kemungkinan ujian atau provokasi | Jun 26, 2026 |
| npm | @vpms/sistem-reka bentuk:1.1.2 + 2 versi — reka bentuk penyamaran ruang nama sistem | Jun 26, 2026 |
Minggu 3: Lebih 200 Pakej Ditemui
| Ekosistem | Pakej | Tarikh |
|---|---|---|
| Jun 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 versi merentasi 1.0.x–1.2.x termasuk adik-beradik houzidawang807 dan houzidawang808 — kempen dominan minggu ini | Jun 13, 2026 |
| npm | demo-penyambut-ramah:1.0.2 + 4 versi — kempen berterusan muncul semula merentasi berbilang hari | Jun 13, 2026 |
| npm | tsc-ai:1.2.0 kluster tsc-*: tsc-ai, tsc-mesh, tsc-lotl — penyamaran ruang nama perkakasan CI | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 versi merentasi 4.5.x–5.1.x — kempen PyPI berbilang hari yang berterusan | Jun 13, 2026 |
| Jun 15, 2026 | ||
| npm | harga-token-cron:999.0.0 + 6 pakej — Kluster kekeliruan kebergantungan infrastruktur DeFi yang menyasarkan perkakasan cron dan peti besi dalaman | Jun 15, 2026 |
| Jun 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pakej — pinjaman DeFi dan kluster ekosistem Cardano: pinjaman aliran, pinjaman surfing, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| npm | metrik-peristiwa-q3x7:1.0.0 + 8 versi — pakej hex-suffix generik yang mendaftarkan nama bertema pemantauan pukal | Jun 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pakej — penyamaran ruang nama platform data kerajaan: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| Jun 17, 2026 | ||
| npm | kontrak-cryptodao:99.99.99 + 10 pakej — Kekeliruan kebergantungan CryptoDAO: teras, sdk, bot, konfigurasi, utils, deploy, penandatangan, backend, jenis | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 Peralatan ejen AI disasarkan dalam PyPI | Jun 17, 2026 |
| Jun 18, 2026 | ||
| npm | metrik-pipeline-d8k2:1.0.0 + 20 versi merentasi 18 Jun — kempen pengelakan satu hari yang berterusan, menerbitkan semula secara berterusan untuk bertahan lebih lama daripada senarai sekatan | Jun 18, 2026 |
| npm | imbasan sahaja:0.4.5 + 6 versi — kempen pembanjiran versi | Jun 18, 2026 |
| npm | warna-utils-dee0:1.0.0 + 5 pakej hex-suffix generik: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — pendaftaran pukal berskrip | Jun 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Penyamaran ruang nama Azure ML | Jun 18, 2026 |
| Jun 19, 2026 | ||
| npm | trimprompt:1.0.2 + trimprompt-hub — perkakasan kejuruteraan segera disasarkan | Jun 19, 2026 |
| npm | claude-cup:0.8.6 Penyamaran perkakasan API Claude | Jun 19, 2026 |
| pypi | ejen-aiaddin:0.1.0 Peralatan ejen AI disasarkan dalam PyPI | Jun 19, 2026 |
| npm | web3-crypto-address-utils:0.1.0 Penyasaran utiliti Web3 | Jun 19, 2026 |
Minggu 2: Lebih 135 Pakej Ditemui
| Ekosistem | Pakej | Tarikh |
|---|---|---|
| Jun 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 varian — kempen typosquat ekosistem Solana, gelombang pertama | Jun 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + 2 versi | Jun 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Kekeliruan kebergantungan, versi yang melambung tinggi | Jun 7, 2026 |
| Jun 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 varian — kempen typosquat ekosistem Solana, gelombang kedua | Jun 8, 2026 |
| pypi | helixagentai:0.1.3 Peralatan ejen AI disasarkan dalam PyPI | Jun 8, 2026 |
| Jun 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pakej — kekeliruan kebergantungan terhadap ruang nama monorepo dalaman | Jun 9, 2026 |
| npm | @klapp-login-platform/sdk-asli:99.0.0 + 9 pakej — penyamaran platform pengesahan merentasi berbilang ruang nama klapp | Jun 9, 2026 |
| npm | penolong-blok-rantai-0:1.0.0 + 7 pakej — kluster utiliti kripto/DeFi yang menyasarkan pembangun Web3 | Jun 9, 2026 |
| npm | @card-pci-data/kedai:99.0.0 Ruang nama data kad pembayaran disasarkan | Jun 9, 2026 |
| Jun 10, 2026 | ||
| npm | sistem-reka-bentuk-morningstar:99.0.0 + 2 versi — penyamaran sistem reka bentuk kewangan | Jun 10, 2026 |
| Jun 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 versi diterbitkan pada hari yang sama | Jun 11, 2026 |
| npm | @coze-common/kawasan-sembang:99.1.1 Penyamaran ruang nama platform sembang AI | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 versi — penyamaran platform pemesejan dalam PyPI | Jun 11, 2026 |
| Jun 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 varian ecto-* — gugusan nama yang dikaburkan | Jun 12, 2026 |
| npm | internallib_v984:1.0.3 + kluster internallib_v557 — 13 versi penipu perpustakaan dalaman | Jun 12, 2026 |
| npm | web-pelayar:999.0.0 Kekeliruan kebergantungan, versi yang melambung tinggi | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
Minggu 1: Lebih 118 Pakej Ditemui
| Ekosistem | Pakej | Tarikh |
|---|---|---|
| Semoga 30, 2026 | ||
| npm | @cloudplatform-single-spa/pentadbiran:99.99.100 Kekeliruan kebergantungan, versi yang melambung tinggi | Semoga 30, 2026 |
| vscode | pengurus-xampp:5.1.3 Sambungan VSCode — penyamaran alat pembangun | Semoga 30, 2026 |
| Jun 1, 2026 | ||
| npm | @tse-digital/teras:99.0.0 Kekeliruan kebergantungan — @telenor-se dan @ownit turut terkena | Jun 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 versi, kluster ruang nama CMS | Jun 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 versi, nombor versi yang dibesar-besarkan yang menyasarkan kelayakan AWS | Jun 1, 2026 |
| npm | dokumenpesakit:75.0.0 Sasaran ruang nama penjagaan kesihatan | Jun 1, 2026 |
| npm | @emcd-vue/auth:6.4.9 Penyamaran ruang nama pertukaran kripto | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| Jun 2, 2026 | ||
| npm | sensitiviti:2.5.8 + 70 versi merentasi julat 2.5.x, 2–5 Jun — kempen dominan dalam tempoh tersebut | Jun 2, 2026 |
| npm | @langgraphjs/kit alat:1.2.10 Perkakas LangGraph disasarkan | Jun 2, 2026 |
| Jun 4, 2026 | ||
| npm | @sentry-browser-sdk/nod-pemprofilan:1.0.1 + 2 versi, penyamaran ruang nama Sentry | Jun 4, 2026 |
| npm | internallib_v346:1.0.3 + 2 versi, penipu perpustakaan dalaman | Jun 4, 2026 |
| npm | ai-sdk-helpers:0.2.1 + 7 versi, menyasarkan perkakasan SDK AI | Jun 4, 2026 |
Hentikan Kod Berniat Jahat Sebelum Ia Sampai ke Anda Pipeline
Ancaman rantaian bekalan perisian telah melepasi tahap teori. Serangan kekeliruan kebergantungan, pencuri kelayakan, perisian hasad yang disasarkan AI dan perkakasan pembangun yang diracuni sedang melanda pasukan sebenar dalam dunia sebenar. SDLCs setiap minggu.
Xygeni's pengesanan perisian hasad dan platform keselamatan rantaian bekalan memberikan organisasi keterlihatan untuk mengesan kebergantungan berniat jahat sebelum mereka melaksanakan pada mesin pembangun, memasuki sistem binaan atau mencapai pengeluaran. Liputan merangkumi npm, PyPI, VSCode dan seterusnya, memantau corak penerbitan yang mencurigakan, penyalahgunaan ruang nama, typosquatting dan teknik serangan natif AI apabila ia muncul.
Setiap penemuan diutamakan secara automatik mengikut keboleheksploitasian, kebolehcapaian dan impak perniagaan, jadi pasukan anda memberi tumpuan kepada perkara yang sebenarnya perlu dibaiki, bukannya gangguan.
Sama ada pakej sumber terbuka yang berniat jahat, alat pembangun yang dikompromi atau risiko kod yang dijana AI, Xygeni memastikan pasukan keselamatan dan kejuruteraan selangkah lebih maju daripada landskap ancaman rantaian bekalan.
Terokai setiap pakej dan kempen berniat jahat yang disahkan oleh Pasukan Keselamatan Xygeni dalam Ringkasan Kod Berniat Jahat.
Kekal selamat. Kekal pantas. Kekal terkawal dengan Xygeni.
