Ringkasan Bulanan Intisari Kod Berbahaya: September

Selamat datang ke edisi September Ringkasan Kod Berbahaya Xygeni. Bulan ini, pasukan penyelidikan keselamatan kami mengesahkan 104 pakej berniat jahat merentasi npm dan PyPI, yang dikesan merentasi empat ringkasan mingguan.

September ditakrifkan oleh tiga trend yang menumpu: kempen yang berterusan dari Ogos dan terus berjalan walaupun terdapat penghapusan; kekeliruan kebergantungan pada skala besar, dengan berpuluh-puluh pakej mendakwa nombor versi yang melambung tinggi seperti 99.0.0 dan 19999.x untuk merampas ruang nama persendirian; dan langkah yang jelas ke arah ekosistem pemalam dan automasi yang dipercayai oleh pembangun dengan akses istimewa, seperti Strapi, n8n dan MCP.

Antara kempen paling ketara yang didokumentasikan pada bulan ini:

• . pengendali anti-pengawasan pemadaman kendiri kembali pada 1 September, dengan amicat, bmcat, eyevox dan moidevh disahkan bersama dua nama baharu daripada nama asal yang sama, moidevk dan moidevl.
• Baileys, pustaka API Web WhatsApp yang disamarkan sepanjang bulan Ogos, terus diserang: cloud-baileys versi yang dicapai 1.1.37 dan 1.1.38 pada minggu pertama dan 1.1.41 menjelang 19 September, menjadikannya salah satu penyamaran paling lama yang kami jejaki.
• Kempen 21 pakej (15 hingga 17 September) menerbitkan pemalam Strapi palsu di bawah tag "meeb", semuanya pada versi yang sama 3.6.8, bersama pakej pendamping dengan nama seperti os-info-meeb322k dan fs-pwn-meeb322k.
• Satu pakej, @nimbusedge/auth, menghantar 39 versi dalam satu hari (11 September), semuanya bernombor 19999.x jadi mereka akan mengatasi mana-mana versi dalaman yang sah.
• Pakej kekeliruan kebergantungan yang mempunyai nama korporat dan kedengaran dalaman muncul setiap minggu: etoro-cashout, etoro-analytics dan etoro-aggregator (September 11) concierge-sdk at 99.99.99 (September 13) @traktis/core (September 17), dan @dbbhk/ui-components, @siriusbeyond/* dan @alphaspace/core at 99.x pada minggu terakhir bulan tersebut.
• Pengendali “siriusbeyond” bermula dengan satu pakej tanpa skop pada 20 September dan kembali empat hari kemudian sebagai sebuah keluarga yang mempunyai skop (@siriusbeyond/auth, /ui, /utils), jenama yang sama digayakan sebagai set pakej dalaman.
• Nod aliran kerja n8n palsu berulang sepanjang bulan, termasuk n8n-nodes-sysdiag2, n8n-nodes-buildcheck dan n8n-nodes-data-transformer-utils, meneruskan corak yang pertama kali dilihat pada bulan Ogos.
• Seorang pelanggan MCP, mcp-consultasdeveiculos-client, telah diterbitkan dalam tiga versi pada satu hari (4 September), satu peringatan bahawa lapisan perkakasan AI kini merupakan sebahagian daripada rantaian bekalan yang sama.
• Enam salinan bernombor simple-date-formatter-new-* (11 hingga 16) telah diterbitkan pada 25 September, satu letusan skrip yang dibina untuk menguji nama mana yang berjaya.

Corak penentu bulan September: penyerang bukan lagi hanya meminjam nama yang dipercayai, mereka meminjam kedudukan yang dipercayai. Plugin, nod aliran kerja, klien MCP dan ruang nama pakej peribadi semuanya berjalan dengan lebih banyak akses daripada kebergantungan biasa, dan di situlah kempen bulan September tertumpu.

Berikut adalah ringkasan tentang apa yang kami temui. Anda boleh melihat semua data empat minggu yang didedahkan secara terperinci di Indeks Ringkasan Kod Berniat Jahat.