Seperti setiap minggu, sistem pengesanan malware kami mengimbas beribu-ribu pakej baharu dan dikemas kini merentasi daftar awam. Kami mengesahkan 81 versi pakej berniat jahat antara 11 dan 17 September 2026, dengan satu pakej npm membanjiri pendaftaran dengan 39 versi dalam masa kurang setengah jam, kempen penamaan pemalam yang masih dimuat naik ketika ini dikeluarkan, dan empat pelaku berasingan mencapai helah inflasi versi yang sama.
@nimbusedge/auth menyumbang 39 pengesahan minggu ini sendiri, diterbitkan sebagai versi dalam julat 19999.x dalam masa kira-kira dua puluh minit pada 11 September. Menerbitkan banyak versi yang pantas itu bukanlah percubaan untuk mendapatkan kredibiliti, ia adalah percubaan untuk mengatasi apa sahaja yang diselesaikan oleh pakej dalaman. Secara berasingan, 21 pakej yang berkongsi meeb322k dan meeb Akhiran muncul selama tiga hari berturut-turut, hampir semuanya mengikuti konvensyen penamaan pemalam Strapi dan disematkan pada versi 3.6.8 yang sama. Muat naik berterusan sehingga 17 September, yang menjadikan kempen ini aktif dan bukannya secara kelompok.
Juga perlu diperhatikan: concierge-sdk pada 99.99.99 dan 99.99.100, @traktis/core dan @traktis/environment pada 99.99.2, dan tiga etoro- Pakej berprafiks pada 99.0.2 semuanya mencapai nombor versi yang dinaikkan pada minggu yang sama, di samping kes nimbusedge. Dua pakej menyasarkan penamaan nod n8n (n8n-nodes-sysdiag2, n8n-nodes-buildcheck), Dan darkglitch pada PyPI menghantar 1.4.4 dan 1.4.5 berturut-turut.
Gambaran ringkas mingguan ini merupakan sebahagian daripada aktiviti berterusan kami Ringkasan Kod Berniat Jahat, tempat kami mengesahkan ancaman baharu untuk membantu pasukan DevSecOps melindungi mereka pipelines sebelum kerosakan berlaku.
Empat Pelakon, Satu Helah: 81 Versi Pakej Berniat Jahat Minggu Ini
Ringkasan minggu ini menunjukkan jumlah yang digunakan sebagai senjata: satu pakej diterbitkan 39 kali dalam dua puluh minit, kempen penamaan pemalam masih dimuat naik pada hari kami menerbitkan dan empat pelakon berasingan mencapai nombor versi yang sama dengan peningkatan jumlah.
@nimbusedge/auth menghantar 39 versi dalam julat 19999.x dalam masa kurang daripada setengah jam, yang bukan percubaan untuk kelihatan sah tetapi percubaan untuk mengatasi apa sahaja yang diselesaikan oleh pakej dalaman. meeb kluster mengambil pendekatan yang bertentangan: 21 pakej mengikut konvensyen penamaan plugin Strapi, semuanya disematkan pada 3.6.8, diberi makan titisan selama tiga hari berturut-turut dan masih berjalan. Dan concierge-sdk, @traktis/core, ketiga etoro- Pakej dan Nimbusedge semuanya menggunakan taktik versi yang dibesarkan yang sama pada minggu yang sama, yang memberitahu anda bahawa ia berfungsi cukup kerap untuk diulang.
Amaran Perisian Hasad Awal Xygeni memantau npm, PyPI, Maven, Composer, OpenVSX dan daftar lain dalam masa nyata, menandakan ancaman semasa penerbitan, sebelum ia mencapai binaan dan sebelum ejen AI memasangnya secara autonomi. Apabila seorang pelakon boleh menerbitkan 39 versi dalam masa dua puluh minit, pengesanan yang menunggu tandatangan tidak lewat setiap hari, ia lewat oleh keseluruhan serangan.
Xygeni's Open Source Security Platform ini memberikan pasukan DevSecOps pengesanan dan keutamaan masa nyata untuk terus mendahului tekanan rantaian bekalan yang diselaraskan.
