Setiap minggu, sistem pengesanan malware kami mengimbas beribu-ribu pakej baharu dan dikemas kini merentasi daftar awam seperti npm, PyPI dan OpenVSX. Kami mengesahkan 34 pakej berniat jahat antara 15 Ogos dan 20 Ogos 2026, yang diketuai oleh kempen penyamaran berterusan terhadap Baileys, pustaka API Web WhatsApp sumber terbuka yang popular, sekumpulan pakej siasatan berjenama Twilio/HackerOne dan satu set pakej npm yang kelihatan tidak berkaitan yang berkongsi nombor versi yang sama dan luar biasa tinggi.
Penyamaran Baileys berlangsung paling lama: empat nama pakej berasingan (@mrlegendbot/baileys, cloud-baileys, @vanzxy/baileys, ourin-baileys) disahkan dalam tempoh enam hari, dengan cloud-baileys sahaja diterbitkan semula empat kali antara 15 dan 20 Ogos di bawah nombor versi yang semakin meningkat, corak yang konsisten dengan penyerang yang mengulangi pengesanan lalu dan bukannya muat naik sekali sahaja.
Kelompok berasingan pada 15 Ogos menerbitkan pakej yang merujuk kepada Twilio dan HackerOne (twilio-hackerone-poc-afe6937c, lima versi dalam satu hari, tambah tw-pkgprobe-7731 dan hunterone-build-probe-9210), konvensyen penamaan yang biasanya dikaitkan dengan penyelidikan bug-bounty atau dependency-confusion dan bukannya muatan yang tersamar.
Juga patut ditandai: pump-segments-sdk, carbon-monorepo, dan pump-fun-skills, tiga nama pakej yang tidak berkaitan semuanya diterbitkan pada versi 20.1.1 pada 19 Ogos, nombor versi kongsi yang luar biasa merentasi projek yang kononnya bebas yang mencadangkan seorang pelakon tunggal di sebalik ketiga-tiganya.
Gambaran ringkas mingguan ini merupakan sebahagian daripada aktiviti berterusan kami Ringkasan Kod Berniat Jahat, tempat kami mengesahkan ancaman baharu untuk membantu pasukan DevSecOps melindungi mereka pipelines sebelum kerosakan berlaku.
Apabila Pengulangan Mengatasi Pengesanan: 34 Pakej Berniat Jahat Minggu Ini
Ringkasan minggu ini menunjukkan penyerang bergantung pada kegigihan dan bukannya satu muat naik bertuah. cloud-baileys Penyamaran pustaka API Web WhatsApp yang popular telah diterbitkan semula empat kali berasingan antara 15 dan 20 Ogos di bawah nombor versi yang semakin meningkat, disertai oleh tiga nama lain yang serupa (@mrlegendbot/baileys, @vanzxy/baileys, ourin-baileys), kempen yang berterusan dan bukannya percubaan sekali sahaja.
Konvensyen penamaan mendedahkan kluster lain dengan pantas. Sekumpulan pakej yang dijenamakan sekitar Twilio dan HackerOne, termasuk twilio-hackerone-poc-afe6937c diterbitkan dalam lima versi dalam satu hari, di samping tw-pkgprobe-7731 dan hunterone-build-probe-9210, menggunakan corak penamaan yang biasanya dikaitkan dengan penyelidikan bug-bounty atau dependency-confusion. Di tempat lain, tiga nama pakej yang tidak berkaitan (pump-segments-sdk, carbon-monorepo, pump-fun-skills) semuanya dihantar di bawah nombor versi yang sama 20.1.1 pada hari yang sama, satu kebetulan luar biasa yang menunjukkan seorang pelakon yang beroperasi di sebalik ketiga-tiganya.
Amaran Perisian Hasad Awal Xygeni memantau npm, PyPI, Maven, OpenVSX dan daftar lain dalam masa nyata, menandakan ancaman pada saat penerbitan, sebelum ia mencapai binaan dan sebelum ejen AI memasangnya secara autonomi. Apabila nama pakej yang sama muncul semula empat kali dalam enam hari di bawah versi baharu setiap kali, pengesanan yang hanya menyemak sekali sudah ketinggalan.
Xygeni's Open Source Security platform memberikan pasukan DevSecOps pengesanan dan keutamaan masa nyata yang diperlukan untuk kekal mendahului tekanan rantaian bekalan yang diselaraskan, jadi anda pipelineKekal bersih tanpa memperlahankan pasukan anda.
