Setiap minggu, sistem pengesanan malware kami mengimbas beribu-ribu pakej baharu dan dikemas kini merentasi daftar awam seperti npm dan PyPI.
Minggu ini sangat aktif.
Kami mengesahkan 53 pakej berniat jahat, terutamanya merentasi npm, dengan kes tambahan dalam OpenVSXBeberapa muncul dalam kelompok yang diselaraskan, dengan keluaran berniat jahat berulang kali diterbitkan di bawah nama yang sama atau merentasi keluarga pakej yang berkait rapat. Kebanyakannya meniru SDK pembayaran, enterprise peralatan, utiliti pembangun, Sambungan OpenVSX, Pakej bertemakan AI dan agen, komponen kebolehcapaian, Pembantu UI, dan modul lain yang biasa dipercayai dalam aliran kerja pembangunan moden.
Ini bukanlah anomali terpencil. Apa yang menonjol minggu ini ialah penerbitan berulang merentasi keluarga pakej yang sama, penggunaan semula corak penamaan dan cara pakej berniat jahat disamarkan untuk kelihatan seperti kebergantungan yang sah dalam penghantaran perisian sebenar. pipelines.
Gambaran ringkas mingguan ini merupakan sebahagian daripada aktiviti berterusan kami Ringkasan Kod Berniat Jahat, di mana kami mengesahkan ancaman baharu dan menyediakan risikan yang boleh diambil tindakan untuk membantu Pasukan DevSecOps melindungi mereka pipelines sebelum kerosakan berlaku.
Mari kita huraikan apa yang kita temui minggu ini dan mengapa ia penting.
| Ekosistem | Pakej | Tarikh |
|---|---|---|
| npm | pentadbir0911:1.0.23 | April 14, 2026 |
| npm | pentadbir0911:1.0.47 | April 14, 2026 |
| npm | pentadbir0911:1.0.59 | April 14, 2026 |
| npm | @searchos/bot-proxy:0.1.4 | April 10, 2026 |
| npm | baidu-ti:1.0.0 | April 10, 2026 |
| openvsx | rajdeepchandra/token-reka-spektrum-untuk-vscode:0.0.1 | April 11, 2026 |
| openvsx | rajdeepchandra/token-reka-spektrum-untuk-vscode:0.0.3 | April 11, 2026 |
| openvsx | rajdeepchandra/token-reka-spektrum-untuk-vscode:0.0.4 | April 11, 2026 |
| npm | @genoma-ui/komponen:99.99.2 | April 11, 2026 |
| npm | pembayaran-paysafe-sdk-common:99.0.0 | April 13, 2026 |
| npm | pembayaran-kad-paysafe:99.0.0 | April 13, 2026 |
| npm | paysafe-google-pay:99.0.0 | April 13, 2026 |
| npm | paysafe-apple-pay:99.0.0 | April 13, 2026 |
| npm | paysafe-venmo:99.0.0 | April 13, 2026 |
| npm | pembayaran-kad-paysafe:99.99.1 | April 13, 2026 |
| npm | pembayaran-paysafe-sdk-common:99.99.1 | April 13, 2026 |
| npm | paysafe-google-pay:99.99.1 | April 13, 2026 |
| npm | paysafe-venmo:99.99.1 | April 13, 2026 |
| npm | unisys-core:99.99.1 | April 11, 2026 |
| npm | unisys-auth:99.99.1 | April 11, 2026 |
| npm | unisys-sdk:99.99.1 | April 11, 2026 |
| npm | unisys-agentic-ai-taman permainan:99.99.2 | April 11, 2026 |
| npm | unisys-auth:99.99.2 | April 11, 2026 |
| npm | unisys-sdk:99.99.2 | April 11, 2026 |
| npm | sysverify-core:1.0.0 | April 13, 2026 |
| npm | carian-penapis-hos:1.0.0 | April 13, 2026 |
| npm | magentaa11y:9.9.11 | April 14, 2026 |
| npm | magentaa11y:9.9.12 | April 14, 2026 |
| npm | pengguna-bitu:99.0.0 | April 13, 2026 |
| npm | aplikasi-bitu:99.0.0 | April 13, 2026 |
| npm | rn-bitu:99.0.0 | April 13, 2026 |
| npm | bitu-core:99.0.0 | April 13, 2026 |
| npm | bitu-protocol:99.0.0 | April 13, 2026 |
| npm | bitu-staking:99.0.0 | April 13, 2026 |
| npm | bitu-trade:99.0.0 | April 13, 2026 |
| npm | bitu-wallet:99.0.0 | April 13, 2026 |
| npm | bitu-sdk:99.0.0 | April 13, 2026 |
| npm | @gbrlxvii/ts-form-utils:1.0.2 | April 13, 2026 |
| npm | @gbrlxvii/ts-form-utils:1.0.3 | April 13, 2026 |
| npm | bitu-staking:99.0.1 | April 13, 2026 |
| npm | magentaa11y:9.9.16 | April 14, 2026 |
| npm | magentaa11y:9.9.18 | April 14, 2026 |
| npm | penyunting-tindanan:9.9.9 | April 16, 2026 |
| npm | dasar-keselamatan-ekspres:1.0.2 | April 17, 2026 |
| npm | ixpresso-core:1.0.1 | April 16, 2026 |
| npm | ixpresso-core:1.0.2 | April 16, 2026 |
| npm | @athena-ui-komponen/pautan dalam:0.0.41 | April 16, 2026 |
| npm | @athena-ui-components/helpers:1.1.24 | April 16, 2026 |
| npm | @athena-ui-components/lang:0.1.18 | April 16, 2026 |
| npm | @athena-ui-components/layout:1.2.24 | April 16, 2026 |
| npm | nod-merah-sumbangan-yolo-pengesanan-objek:9.1.11 | April 16, 2026 |
| npm | nod-merah-sumbangan-yolo-pengesanan-objek:9.1.12 | April 16, 2026 |
| npm | monerom:1.0.7 | April 17, 2026 |
Lindungi Kebergantungan Sumber Terbuka Anda daripada Kerentanan dan Kod Berniat Jahat
Kurangkan risiko dan lindungi aplikasi anda daripada pakej berniat jahat dengan Pengesanan Perisian Hasad Awal XygeniUtamakan dan tangani kelemahan yang paling penting. Penyelesaian komprehensif kami menawarkan pemantauan masa nyata ke atas kebergantungan anda untuk mengesan dan mengurangkan ancaman sebelum ia memberi kesan kepada perisian anda.
Mengurus komponen sumber terbuka dalam landskap pembangunan perisian semasa adalah penting disebabkan oleh peningkatan kerentanan dan ancaman kod berniat jahat. Xygeni's Open Source Security Penyelesaian mengimbas dan menyekat pakej berbahaya setelah diterbitkan, sekali gus meminimumkan risiko perisian hasad dan kelemahan yang menyusup masuk ke dalam sistem anda secara mendadak. Pemantauan komprehensif kami merangkumi pelbagai daftar awam, memastikan semua kebergantungan diteliti untuk keselamatan dan integriti. Xygeni meningkatkan keupayaan pasukan anda untuk mengekalkan projek perisian yang selamat dan andal dengan mengutamakan isu kritikal secara kontekstual dan memudahkan proses pemulihan yang diperkemas.
Xygeni menggunakan teknik berbilang lapisan untuk menghentikan kod berniat jahat sebelum ia merebak. Pertama sekali, analisis kod statik mengesan corak pengaburan, muatan tersembunyi dan penyalahgunaan skrip. Di samping itu, sandboxing tingkah laku menganalisis pemasangan hooks, arahan masa jalan dan helah kegigihan. Selain itu, pengesanan pembelajaran mesin mengenal pasti malware npm hari sifar dan varian malware pypi yang terlepas pandang oleh pengimbas tandatangan. Akhir sekali, Sistem Amaran Awal memantau repositori awam dalam masa nyata, mengesahkan penemuan dan memaklumkan pasukan DevOps dengan segera.
Hasilnya, gabungan ini memastikan pembangun menerima risikan pantas dan boleh diambil tindakan yang disepadukan terus ke dalam CI/CD aliran kerja.
Mengapa Pembangun Harus Mengambil Berat Tentang Pakej npm Berniat Jahat
Ancaman moden jarang menunggu masa jalan. Contohnya, pakej npm berniat jahat sering dilaksanakan semasa pemasangan, manakala pakej berniat jahat pypi menyembunyikan penyusupan token atau pintu belakang. Penyerang:
- Balikkan repo GitHub peribadi kepada awam untuk menirunya.
- Keluarkan kelayakan dan rahsia yang telah difiltrasi menggunakan muatan yang dikodkan.
- Gunakan pemuat JavaScript yang dikaburkan untuk menggunakan ransomware atau botnet.
Malah, pakej sumber terbuka yang berniat jahat melonjak sebanyak 156% dalam satu tahun. Oleh itu, pasukan yang hanya bergantung pada suapan tertangguh atau pengimbas asas ketinggalan.
Apa yang Dijejaki Laporan Perisian Hasad Ini dalam npm dan PyPI
Ringkasan ini merupakan pusat utama untuk:
- Pakej npm berniat jahat yang disahkan
- Pakej berniat jahat pypi yang disahkan
- Pengesanan kod berniat jahat berasaskan tingkah laku
- Insiden yang disahkan oleh pendaftaran
- Ringkasan laporan perisian hasad mingguan dan bulanan
- Log perubahan sejarah semua penemuan malware npm dan malware pypi
Dalam erti kata lain, ia menyediakan satu titik rujukan. Pasukan penyelidikan di Xygeni mengemas kini halaman ini setiap minggu dengan pautan ke analisis teknikal penuh dan IOC GitHub.
Cara Melindungi Daripada Pakej npm Berniat Jahat dan Perisian Hasad PyPI
Oleh kerana risiko yang semakin meningkat ini, organisasi memerlukan pertahanan yang kukuh:
- Kuatkuasakan pemasangan fail kunci sahaja (
npm ci) dalam CI/CD. - Di samping itu, kebergantungan imbasan perlu dipasang terlebih dahulu dengan Enjin Amaran Awal Xygeni.
- Tambahan pula, blok dibina berdasarkan isyarat kod berniat jahat menggunakan Guardrails.
- Menjana SBOMs untuk mengesan kebergantungan tidak langsung dan menggunakan dasar.
- Paling penting, latih pembangun untuk mengesan kesalahan taip, pengeliruan dan skrip pemasangan yang mencurigakan.
Cuba Alat Pengesanan Perisian Hasad Xygeni
Xygeni menyampaikan:
- Pengesanan kod berniat jahat dalam masa nyata, termasuk pintu belakang, perisian intip dan ransomware.
- Berbeza dengan pengimbas asas, analisis merentasi npm, PyPI, Maven, NuGet, Permata RubyDan banyak lagi.
- Sekatan binaan automatik apabila laporan perisian hasad mengenal pasti risiko.
- Wawasan keboleheksploitasian, pemeriksaan reputasi pengelola dan pengesanan anomali.
