Seperti setiap minggu, sistem pengesanan malware kami mengimbas beribu-ribu pakej baharu dan dikemas kini merentasi daftar awam. Kami mengesahkan 24 versi pakej berniat jahat antara 18 dan 25 September 2026, kesemuanya di npm, dengan enam pakej bernombor berjujukan yang diterbitkan dalam dua minit yang sama, ruang nama berskop yang diserang dari tiga arah sekaligus dan sepasang nama yang menghala terus ke pakej dalaman.
simple-date-formatter-new-11 melalui -16 telah diterbitkan pada 25 September antara 06:01 dan 06:03, enam pakej pada versi 1.0.0, hanya boleh dibezakan dengan nombor di hujungnya. Penamaan adalah petunjuk. Tiada sesiapa yang berulang pada pemformat tarikh akan tiba pada versi sebelas hingga enam belas dalam masa kurang daripada dua minit. Ia merupakan jujukan yang dijana untuk mengisi nama, dan pembingkaian utiliti biasa adalah yang menjadikannya kekal sepintas lalu dalam senarai kebergantungan.
siriusbeyond muncul dalam dua bentuk pada operasi yang sama: sebagai pakej tanpa skop pada 1.0.0 pada 20 September, kemudian sebagai @siriusbeyond/auth, @siriusbeyond/ui dan @siriusbeyond/utils, semuanya disematkan pada 99.0.0, pada 24 September, di samping @dbbhk/ui-components pada versi yang sama dan dalam kelompok yang sama. Meliputi bentuk nama yang berskop dan tidak berskop adalah pertaruhan tentang bagaimana penyelesai sasaran bertindak dan bukannya pada pakej yang dicapai oleh pembangun.
Juga perlu diperhatikan: commerce-materials dan byted-commerce-materials diterbitkan selang satu minit, kedua-duanya pada 1.0.0, dan gandingan nama generik dengan kembar berawalan vendor adalah kekeliruan kebergantungan bentuk apabila penyerang tahu pakej dalaman wujud. Inflasi versi berjalan sepanjang minggu sekali lagi dalam bulk-add-sdk di 1.99.99, @alphaspace/core pada 99.0.1 dan 99.0.2, dan gugusan 99.0.0 di atas. n8n-nodes-data-transformer-utils meneruskan penyamaran nod n8n yang telah kami tandakan minggu lepas, dan my-auto-follow dihantar 1.0.6 dan 1.0.7 berturut-turut.
Gambaran ringkas mingguan ini merupakan sebahagian daripada aktiviti berterusan kami Ringkasan Kod Berniat Jahat, tempat kami mengesahkan ancaman baharu untuk membantu pasukan DevSecOps melindungi mereka pipelines sebelum kerosakan berlaku.
Enam dalam Dua Minit: 24 Versi Pakej Berniat Jahat Minggu Ini
Ringkasan minggu ini lebih kecil daripada yang terakhir dan bentuknya lebih ketat: 24 versi yang disahkan, setiap satunya di npm, dengan enam pakej bernombor berjujukan diterbitkan dalam masa dua minit yang sama dan satu nama diserang dalam bentuk berskop dan tidak berskop sekaligus.
simple-date-formatter-new-11 melalui -16 naik pada 25 September antara 06:01 dan 06:03, semuanya pada 1.0.0, sama kecuali untuk digit di hujungnya. Tiada siapa yang mencapai versi enam belas pemformat tarikh dalam masa dua minit. Itulah pekerjaan nama, berpakaian label utiliti paling membosankan yang ada supaya ia kekal sepintas lalu dalam senarai kebergantungan. siriusbeyond operasi berlaku sebaliknya, meliputi kedua-dua bentuk nama yang sama: pakej tanpa skop pada 20 September, kemudian @siriusbeyond/auth, /ui dan /utils pada 99.0.0 empat hari kemudian, dengan @dbbhk/ui-components dalam kelompok yang sama. Pertaruhan pada kedua-dua bentuk adalah pertaruhan pada penyelesai dan bukannya pada pembangun.
Dan pasangan yang paling berbaloi untuk ditonton: commerce-materials dan byted-commerce-materials, diterbitkan seminit selang pada versi yang sama. Nama generik di sebelah kembar berawalan vendor ialah kekeliruan kebergantungan apabila penyerang sudah tahu pakej dalaman wujud. Inflasi versi berjalan di bawahnya sekali lagi, dalam bulk-add-sdk pada pukul 1.99.99 dan @alphaspace/core pada 99.0.1 dan 99.0.2.
Tiada satu pun daripada nama-nama ini mempunyai tandatangan semasa ia tiba. Nama-nama ini adalah baharu, itulah intinya.
Amaran Awal Perisian Hasad Xygeni memantau npm, PyPI, Maven, Composer, OpenVSX dan daftar lain dalam masa nyata, menandakan ancaman semasa penerbitan, sebelum ia sampai ke binaan dan sebelum ejen AI memasangnya secara autonomi. Apabila enam pakej muncul dalam masa dua minit, pengesanan yang menunggu tandatangan tidak lewat setiap hari, ia lewat oleh keseluruhan serangan.
Xygeni's Open Source Security Platform ini memberikan pasukan DevSecOps pengesanan dan keutamaan masa nyata untuk terus mendahului tekanan rantaian bekalan yang diselaraskan.
