Setiap minggu, sistem pengesanan malware kami mengimbas beribu-ribu pakej baharu dan dikemas kini merentasi daftar awam seperti npm, PyPI dan OpenVSX. Kami mengesahkan 114 pakej berniat jahat antara 7 Ogos dan 14 Ogos, 2026, diketuai oleh kluster pakej npm yang dijenamakan secara terbuka sempena alat penyerang LLM gelap yang sebenar, gelombang kekeliruan kebergantungan yang menyasarkan pustaka protokol DeFi dan Web3 dan kempen pengurangan jenama berskala besar terhadap penyedia fintech Brazil.
Penemuan yang paling menarik perhatian: wormgpt-cli pada npm, sembilan versi diterbitkan secara berturut-turut pada 7 Ogos, bersama pakej pendamping, gpt-terminal-cli, diterbitkan pada hari yang sama. Nama tersebut merupakan rujukan langsung kepada WormGPT, alat dark-LLM sebenar yang dipasarkan kepada penjenayah siber untuk penjanaan pancingan data dan perisian hasad, menunjukkan pakej tersebut didagangkan berdasarkan pengecaman jenama alat penyerang sebenar dan bukannya bersembunyi di sebalik nama neutral.
Kelompok berasingan menyasarkan infrastruktur kewangan terdesentralisasi secara langsung: sepuluh nama pakej pada npm yang menyamar sebagai protokol DeFi sebenar dan standardperpustakaan s (ethereum-vault-connector, boring-vault, camelot-ammv2-core, camelot-ammv2-periphery, @aerodrome-finance/contracts, @aerodrome-finance/slipstream, permit2, @openzeppelin-4/contracts, @openzeppelin-5/contracts, passkeys-react), enam belas versi yang disahkan secara keseluruhan, diterbitkan dalam beberapa jam antara satu sama lain pada 11 Ogos. Ia merupakan lakonan kekeliruan-kebergantungan yang ditujukan tepat kepada pembangun yang membina berdasarkan Camelot, Aerodrome Finance dan OpenZeppelin standard kontrak.
Kelompok tunggal terbesar minggu ini menyamar sebagai Alelo, penyedia kad faedah dan pembayaran korporat Brazil: sepuluh nama pakej berbeza (alelo-core, alelo-api, alelo-client, alelo-utils, alelo-auth, alelo-sdk, alelo-services, alelo-common, alelo-payment, meualelo), kebanyakannya diterbitkan dalam dua atau tiga versi, untuk dua puluh satu pakej yang disahkan pada 14 Ogos sahaja. Di samping itu, kempen ruang nama berskop yang berasingan menerbitkan dua puluh satu yang serupa n8n-nodes-utils-helper-* pakej merentasi tiga skop npm (@years17, @years18, @years20) antara 13 dan 14 Ogos, corak yang konsisten dengan tindakan mencangkung automatik terhadap ekosistem nod platform automasi n8n dan bukannya serangan buatan tangan tunggal.
Dua pakej Maven diterbitkan di bawah io.github.davidtimur/c2-lab pada 7 Ogos adalah wajar ditandakan pada nama sahaja. C2 adalah singkatan untuk arahan dan kawalan, dan pakej pengiklanan yang berfungsi atas namanya sendiri sama ada sangat cuai atau menguji seberapa pantas pengesanan dapat dikesan. Untuk maklumat lanjut tentang risiko rantaian bekalan khusus Maven, lihat analisis kami tentang JavaCDoor, pintu belakang masa kompilasi yang kami temui dalam ekosistem Maven.
Gambaran ringkas mingguan ini merupakan sebahagian daripada aktiviti berterusan kami Ringkasan Kod Berniat Jahat, di mana kami mengesahkan ancaman baharu dan menyediakan risikan yang boleh diambil tindakan untuk membantu pasukan DevSecOps melindungi mereka pipelines sebelum kerosakan berlaku.
Apabila Nama Memberikannya: 114 Pakej Berniat Jahat Minggu Ini
Ringkasan minggu ini menunjukkan penyerang lebih bersandar pada pengiktirafan jenama dan bukannya bersembunyi daripadanya. wormgpt-cli berubah daripada sifar kepada sembilan versi pada npm dalam satu hari, dinamakan sempena alat dark-LLM sebenar yang dijual kepada penjenayah siber, bersama pakej pendamping, gpt-terminal-cli, diterbitkan pada hari yang sama. Dua pakej Maven telah melangkah lebih jauh, menerbitkan secara terbuka di bawah nama c2-lab, arahan-dan-kawalan yang dinyatakan dalam nama pakej itu sendiri.
Volume menceritakan kisahnya sendiri di tempat lain. Kluster sepuluh pakej yang menyamar sebagai pustaka protokol DeFi (ethereum-vault-connector, boring-vault, camelot-ammv2-core, dan lain-lain) telah melancarkan enam belas versi yang disahkan dalam beberapa jam antara satu sama lain pada 11 Ogos, penurunan serentak yang bertujuan untuk pembangun menarik apa yang kelihatan seperti standard kontrak daripada Camelot, Aerodrome Finance dan OpenZeppelin. Beberapa hari kemudian, kelompok sepuluh nama yang menyamar sebagai Alelo, penyedia faedah korporat Brazil, menghasilkan dua puluh satu pakej yang disahkan dalam satu hari, manakala kempen selari menghasilkan dua puluh satu pakej yang serupa n8n-nodes-utils-helper-* nama merentasi tiga skop npm berasingan, corak yang menunjukkan infrastruktur setinggan automatik dan bukannya seorang penyerang yang bekerja dengan tangan.
Amaran Perisian Hasad Awal Xygeni memantau npm, PyPI, Maven, OpenVSX dan daftar lain dalam masa nyata, menandakan ancaman pada saat penerbitan, sebelum ia mencapai binaan dan sebelum ejen AI memasangnya secara autonomi. Apabila ruang nama berskop menghasilkan dua puluh satu pakej yang serupa dalam masa dua hari, atau artifak Maven dihantar dengan niatnya dalam nama tersebut, pengesanan yang dijalankan selepas fakta tersebut sudah terlambat.
Xygeni's Open Source Security platform memberikan pasukan DevSecOps pengesanan dan keutamaan masa nyata yang diperlukan untuk kekal mendahului tekanan rantaian bekalan yang diselaraskan, jadi anda pipelineKekal bersih tanpa memperlahankan pasukan anda.
