Setiap minggu, sistem pengesanan malware kami mengimbas beribu-ribu pakej baharu dan dikemas kini merentasi daftar awam seperti npm, PyPI dan OpenVSX. Kami mengesahkan 35 pakej berniat jahat antara 28 Ogos dan 4 September, 2026, diketuai oleh kluster empat belas pakej yang menyamar sebagai infrastruktur pembayaran Brazil yang diterbitkan dalam satu hari, kesinambungan kempen penyamaran Baileys di bawah dua nama baharu dan kluster terselaras pakej bertemakan kripto/rantaian blok yang berkongsi nombor versi yang sama.
Kelompok terbesar minggu ini menyasarkan apa yang kelihatan seperti fintech Brazil dan infrastruktur semakan kredit: empat belas pakej (grafeno-products, spc-grafeno, grafeno-client, grafeno-utils, grafeno-core, grafeno-logger, grafeno-config, grafeno-auth, grafeno-pix, spc-grafeno-login, spc_login, grafeno-payments, grafeno-webhook, grafeno-billing) semuanya diterbitkan pada 29 Ogos, kebanyakannya pada versi 1.0.0, Dengan grafeno-products menonjol pada keadaan yang melambung 999.0.1, corak inflasi versi yang sama yang dilihat dalam kluster e-dagang minggu lepas.
Kempen penyamaran Baileys yang ditandai pada minggu-minggu sebelumnya diteruskan di bawah dua identiti baharu: @fyxzpediaa/baileys:8.1.0 pada 28 Ogos, dan cloud-baileys, yang telah menghantar dua versi (1.1.37 dan 1.1.38) sepanjang minggu.
Juga patut ditandai: kluster empat pakej di bawah @stellarshift skop (token-units, evm-address-kit, abi-tools, chain-metadata), semuanya diterbitkan pada 2 September pada versi yang sama 1.0.3, nama-nama kripto dan alat blockchain yang selaras dengan penyasaran pembangun yang bekerja dalam ruang tersebut; dan mcp-consultasdeveiculos-client, yang menghantar tiga versi dalam satu hari (0.0.2, 0.1.0, 0.1.1 pada 4 September), pakej klien MCP, jenis kebergantungan yang semakin berkemungkinan dilakukan oleh ejen AI sendiri.
Gambaran ringkas mingguan ini merupakan sebahagian daripada aktiviti berterusan kami Ringkasan Kod Berniat Jahat, tempat kami mengesahkan ancaman baharu untuk membantu pasukan DevSecOps melindungi mereka pipelinesebelum kerosakan berlaku. Minggu ini kami juga menyiarkan Perniagaan Berisiko: Pakej npm Pemadaman Kendiri Dijelaskan, patut dilihat jika anda ingin mengetahui lebih lanjut tentang bagaimana sebahagian daripada kempen ini meliputi jejak mereka selepas pemasangan.
Empat Belas Nama, Satu Corak: 35 Pakej Berniat Jahat Minggu Ini
Ringkasan minggu ini menunjukkan cap jari pelakon yang sama yang diskalakan: kelompok satu hari yang terdiri daripada empat belas pakej yang menyamar sebagai infrastruktur kewangan dan dua kempen masih berulang pada alias yang ditandai pada minggu-minggu sebelumnya.
Kelompok terbesar minggu ini mendedahkan dirinya melalui kedua-dua corak penamaan dan versi. Empat belas pakej yang dibina berdasarkan fintech Brazil dan penjenamaan semakan kredit (grafeno-products, spc-grafeno, grafeno-client, grafeno-utils, grafeno-core, grafeno-logger, grafeno-config, grafeno-auth, grafeno-pix, spc-grafeno-login, spc_login, grafeno-payments, grafeno-webhook, grafeno-billing) semuanya diterbitkan pada 29 Ogos, kebanyakannya pada versi 1.0.0 kecuali grafeno-products, yang dihantar pada harga yang melambung 999.0.1, nombor versi yang sama memberitahu yang mendedahkan gugusan e-dagang minggu lepas.
Kempen penyamaran Baileys yang ditandai dalam ringkasan terdahulu tidak berhenti, ia hanyalah alias yang diputar. @fyxzpediaa/baileys muncul pada 28 Ogos, dan cloud-baileys telah menghantar dua lagi versi (1.1.37, 1.1.38) sepanjang minggu, selaras dengan penyerang yang mengimbas nama dan bukannya meninggalkan percubaan selepas pengesanan.
Satu kelompok empat pakej berasingan di bawah @stellarshift skop (token-units, evm-address-kit, abi-tools, chain-metadata) semuanya diterbitkan pada 2 September pada versi yang sama 1.0.3, nama-nama kripto dan alat blockchain yang ditujukan kepada pembangun yang bekerja dalam ruang tersebut. Dan mcp-consultasdeveiculos-client menghantar tiga versi dalam satu hari, pakej klien MCP, jenis kebergantungan yang kini boleh dilakukan oleh ejen autonomi sendiri tanpa manusia membaca namanya terlebih dahulu.
Amaran Perisian Hasad Awal Xygeni memantau npm, PyPI, Maven, OpenVSX dan daftar lain dalam masa nyata, menandakan ancaman pada saat penerbitan, sebelum ia mencapai binaan dan sebelum ejen AI memasangnya secara autonomi. Apabila empat belas nama pakej yang kelihatan tidak berkaitan diterbitkan pada hari yang sama dengan corak versi yang dibesarkan yang sama, atau kempen muncul semula di bawah alias ketiga dalam beberapa minggu, pengesanan yang hanya diperiksa sekali sudah ketinggalan.
Xygeni's Open Source Security platform memberikan pasukan DevSecOps pengesanan dan keutamaan masa nyata yang diperlukan untuk kekal mendahului tekanan rantaian bekalan yang diselaraskan, jadi anda pipelineKekal bersih tanpa memperlahankan pasukan anda.
