Merħba lill- L-edizzjoni ta' Ġunju tax-Xygeni Malicious Code DigestDan ix-xahar, it-tim tar-riċerka tas-sigurtà tagħna kkonferma aktar minn 645 pakkett malizzjuż madwar npm, PyPI, u (għall-ewwel darba) is-suq tal-estensjonijiet VSCode.
Ġunju kien definit minn tliet xejriet konverġenti: kampanji sostnuti ta' għargħar ta' verżjonijiet iddisinjati biex idumu aktar mill-blocklists, aċċelerazzjoni qawwija fl-attakki mmirati lejn l-għodod tal-AI u l-flussi tax-xogħol tal-iżvilupp aġentiku, u attakki kkoordinati ta' konfużjoni ta' dipendenzi kontra namespaces interni tal-monorepo.
Fost l-aktar kampanji notevoli dokumentati dan ix-xahar:
- sensittività għarraq lil npm b'aktar minn 70 verżjoni fil-medda 2.5.x, kampanja ta' evażjoni sostnuta li terġa' tippubblika kontinwament biex tibqa' pass 'il quddiem mit-tneħħija ta' programmi.
- A Kampanja ta' Solana typosquat b'żewġ mewġiet (7–8 ta' Ġunju) ippubblika 15-il pakkett li jimpersonifikaw
@solana-labsGħodda tal-ekosistema, immirata direttament lejn l-iżviluppaturi tal-Web3 u tad-DeFi. - houzidawang806 ammontaw għal aktar minn 25 verżjoni f'ġurnata waħda (13 ta' Ġunju), flimkien ma' metriċi-pipeline-d8k2 ippubblikat mill-ġdid f'21 verżjoni bejn il-15 u t-18 ta' Ġunju.
- il Konfużjoni dwar il-CryptoDAO Il-kampanja (17 ta' Ġunju) ippubblikat 11-il pakkett fil-verżjoni 99.99.99, kull wieħed iġorr payload sweeping identiku wara l-installazzjoni CI/CD tokens, kredenzjali tal-cloud, u sigrieti tal-kripto-kartiera.
- Il-ġimgħa tal-20 sas-26 ta' Ġunju ġabet magħha l-aktar mira kkonċentrata tal-għodda tal-IA tax-xahar: assistenti tal-ollama (20 verżjoni), aġenti tal-ftuħ tal-uffiċċju-għajnuna (23 verżjoni), monoklawdju, għajnuna għall-ai-sdk, u @langgraphjs/kit tal-għodda, kollha kkonfermati f'ġimgħa waħda, li jimmiraw direttament lejn Ollama, l-SDK tal-aġenti OpenAI, LangGraph, u l-integrazzjonijiet tal-API ta' Claude.
- Tnejn ikkonfermati estensjonijiet malizzjużi tal-VSCode deher dan ix-xahar, u ta sinjal li l-attakkanti qed jespandu lil hinn mir-reġistri tal-pakketti fl-ambjent tal-iżviluppatur innifsu.
Ix-xejra li tiddefinixxi Ġunju: l-attakki qed jimxu lejn estensjonijiet tal-IDE, għodod tal-aġenti tal-AI, u flussi tax-xogħol aġentiċi fejn pakkett malizzjuż installat b'mod awtonomu m'għandu l-ebda reviżur uman bejn l-infezzjoni u l-eżekuzzjoni.
Dan l-aġġornament ta' kull xahar huwa parti mill-inizjattiva ta' riċerka kontinwa ta' Xygeni dwar il-malware u t-theddid fil-katina tal-provvista. Għal kuntest sħiħ ta' kull pakkett malizzjuż ikkonfermat dan ix-xahar, esplora d-Digest sħiħ tal-Kodiċi Malizzjuż ta' Ġunju u riċerka relatata mit-Tim tas-Sigurtà ta' Xygeni.
Ġimgħa 4: Aktar minn 201-il Pakkett Skoperti
| Ekosistema | Pakkett | data |
|---|---|---|
| Ġunju 20, 2026 | ||
| npm | panrouter:5.0.2 + 30 verżjoni fil-medda 5.x–6.x sal-22 ta' Ġunju — il-kampanja dominanti tal-ġimgħa | Ġunju 20, 2026 |
| npm | trimpprompt:1.0.5 + 4 verżjonijiet — kontinwazzjoni mill-ġimgħa ta' qabel, għadha attiva | Ġunju 20, 2026 |
| npm | monoklawdju:1.0.1 + 2 verżjonijiet — Impersonazzjoni tal-għodda tal-API ta' Claude | Ġunju 20, 2026 |
| vscode | programmazzjoni-ta'-pari-aġenti-orbitali-għal-smalltalk:1.206.0 + verżjoni 1 — estensjoni VSCode malizzjuża li timmira lejn l-iżvilupp aġent | Ġunju 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Impersonazzjoni tal-ispazju tal-ismijiet tal-pjattaforma tad-dar intelliġenti | Ġunju 20, 2026 |
| Ġunju 21, 2026 | ||
| npm | atlasora-shared:1.0.0 + 6 pakketti — konfużjoni koordinata dwar id-dipendenza ta' monorepo: atlasora-api, -client, -sdk, -types, -utils, -config | Ġunju 21, 2026 |
| npm | apintegrationpost:4.0.2 + 6 verżjonijiet — kampanja ta' żbalji ortografiċi intenzjonati mmirata lejn għodod ta' integrazzjoni | Ġunju 21, 2026 |
| npm | llm-traces-app:1.0.1 Għodda ta' osservabbiltà tal-LLM immirata | Ġunju 21, 2026 |
| pypi | d0rk3r-telemetrija:1.0.0 Pakkett ta' telemetrija offuskata f'PyPI | Ġunju 21, 2026 |
| Ġunju 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 verżjonijiet — kampanja sostnuta ta' għargħar tal-verżjonijiet PyPI | Ġunju 22, 2026 |
| pypi | talba-cache-py:1.0.4 + 6 verżjonijiet — Għargħar tal-verżjonijiet PyPI | Ġunju 22, 2026 |
| pypi | korvini:0.17.0 + 6 verżjonijiet — Kampanja ta' reġistrazzjoni bl-ingrossa ta' PyPI | Ġunju 22, 2026 |
| Ġunju 23, 2026 | ||
| npm | web3-token-helper:1.1.1 + 2 verżjonijiet — Targeting tal-utilità tat-token Web3 | Ġunju 23, 2026 |
| npm | monokross:1.0.1 + verżjoni 1 — raggruppament ta' ismijiet mono-* flimkien ma' monoclaude u monotacos | Ġunju 23, 2026 |
| Ġunju 24, 2026 | ||
| npm | ollama-helpers:0.1.0 + 19-il verżjoni — l-akbar kampanja ta' għodda tal-AI tax-xahar, immirata lejn ir-runtime lokali tal-AI ta' Ollama | Ġunju 24, 2026 |
| npm | openai-aġenti-għajnuna:0.1.1 + 22 verżjoni — kampanja kkoordinata mmirata lejn l-ekosistema tal-SDK tal-aġenti OpenAI | Ġunju 24, 2026 |
| Ġunju 25, 2026 | ||
| npm | ai-sdk-helpers:1.4.3 Għodda tal-SDK tal-AI mmirata flimkien ma' @langgraphjs/toolkit:1.2.11 | Ġunju 25, 2026 |
| npm | signup-embedder:99.99.99-poc3 + hs-locale-management — Konfużjoni dwar id-dipendenza tal-ispazju tal-ismijiet intern ta' HubSpot, is-suffiss tal-poc jikkonferma kampanja ta' riċerka attiva | Ġunju 25, 2026 |
| Ġunju 26, 2026 | ||
| npm | kit tal-easy-string:1.0.1 + 8 verżjonijiet inkluż il-varjant easy-string-kit232 — reġistrazzjoni bl-ingrossa taħt isem ta' utilità ġenerika | Ġunju 26, 2026 |
| npm | pakkett-malizzjuż-mhux-sigur:1.0.0 + 5 verżjonijiet — pakkett imsemmi espliċitament bħala malizzjuż, payload ikkonfermat, test probabbli jew kampanja ta' provokazzjoni | Ġunju 26, 2026 |
| npm | @vpms/sistema-tad-disinn:1.1.2 + 2 verżjonijiet — disinn ta' impersonazzjoni tal-ispazju tal-ismijiet tas-sistema | Ġunju 26, 2026 |
Ġimgħa 3: Aktar minn 200-il Pakkett Skoperti
| Ekosistema | Pakkett | data |
|---|---|---|
| Ġunju 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 verżjoni bejn 1.0.x u 1.2.x inklużi l-aħwa houzidawang807 u houzidawang808 — il-kampanja dominanti tal-ġimgħa | Ġunju 13, 2026 |
| npm | demo ta' min jilqa' b'mod amikevoli:1.0.2 + 4 verżjonijiet — kampanja persistenti li terġa' tidher fuq diversi jiem | Ġunju 13, 2026 |
| npm | tsc-ai:1.2.0 tsc-* cluster: tsc-ai, tsc-mesh, tsc-lotl — impersonazzjoni tal-ispazju tal-ismijiet tal-għodda tas-CI | Ġunju 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 verżjonijiet bejn 4.5.x–5.1.x — kampanja PyPI sostnuta ta' diversi jiem | Ġunju 13, 2026 |
| Ġunju 15, 2026 | ||
| npm | prezzijiet tat-tokens-cron:999.0.0 + 6 pakketti — Konfużjoni dwar id-dipendenza fuq l-infrastruttura DeFi f'raggruppament li jimmira lejn għodda interna tal-cron u l-vault | Ġunju 15, 2026 |
| Ġunju 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pakketti — Self DeFi u raggruppament tal-ekosistema Cardano: flow-lending, surf-lending, janus-*, flowcardano, flowdefi | Ġunju 16, 2026 |
| npm | metriċi tal-avvenimenti-q3x7:1.0.0 + 8 verżjonijiet — pakkett ġeneriku b'suffiss eżagonali li jirreġistra ismijiet bit-tema ta' monitoraġġ bl-ingrossa | Ġunju 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pakketti — impersonazzjoni tal-ispazju tal-ismijiet tal-pjattaforma tad-dejta tal-gvern: ogd-analytics, ogd-platform, dms-backend | Ġunju 16, 2026 |
| Ġunju 17, 2026 | ||
| npm | kuntratti cryptodao:99.99.99 + 10 pakketti — Konfużjoni dwar id-dipendenza ta' CryptoDAO: core, sdk, bot, config, utils, deploy, signer, backend, types | Ġunju 17, 2026 |
| pypi | teambot-ai:1.48.0 Għodda tal-aġent tal-AI mmirata fil-PyPI | Ġunju 17, 2026 |
| Ġunju 18, 2026 | ||
| npm | metriċi-pipeline-d8k2:1.0.0 + 20 verżjoni matul it-18 ta' Ġunju — kampanja ta' evażjoni sostnuta ta' ġurnata waħda, pubblikazzjoni mill-ġdid kontinwament biex tegħleb il-listi ta' blokki | Ġunju 18, 2026 |
| npm | skennjar biss:0.4.5 + 6 verżjonijiet — kampanja ta' għargħar ta' verżjonijiet | Ġunju 18, 2026 |
| npm | color-utils-dee0:1.0.0 + 5 pakketti ġeneriċi ta' suffissi eżagonali: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — reġistrazzjoni bl-ingrossa skrittata | Ġunju 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Impersonazzjoni tal-ispazju tal-ismijiet ta' Azure ML | Ġunju 18, 2026 |
| Ġunju 19, 2026 | ||
| npm | trimpprompt:1.0.2 + trimprompt-hub — għodda ta' inġinerija fil-pront immirata | Ġunju 19, 2026 |
| npm | tazza claude: 0.8.6 Impersonazzjoni tal-għodda tal-API ta' Claude | Ġunju 19, 2026 |
| pypi | aiaddin-aġent:0.1.0 Għodda tal-aġent tal-AI mmirata fil-PyPI | Ġunju 19, 2026 |
| npm | web3-crypto-address-utils:0.1.0 Immirar tal-utilità tal-Web3 | Ġunju 19, 2026 |
Ġimgħa 2: Aktar minn 135-il Pakkett Skoperti
| Ekosistema | Pakkett | data |
|---|---|---|
| Ġunju 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 varjanti — Kampanja tat-typosquat tal-ekosistema Solana, l-ewwel mewġa | Ġunju 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + 2 verżjonijiet | Ġunju 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Konfużjoni dwar id-dipendenza, verżjoni minfuħa | Ġunju 7, 2026 |
| Ġunju 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 varjanti — Kampanja tat-typosquat tal-ekosistema Solana, it-tieni mewġa | Ġunju 8, 2026 |
| pypi | aġent tal-elika: 0.1.3 Għodda tal-aġent tal-AI mmirata fil-PyPI | Ġunju 8, 2026 |
| Ġunju 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pakketti — konfużjoni dwar id-dipendenza kontra l-ispazju tal-ismijiet intern tal-monorepo | Ġunju 9, 2026 |
| npm | @klapp-login-pjattaforma/sdk-nattiv:99.0.0 + 9 pakketti — impersonazzjoni tal-pjattaforma tal-awtentikazzjoni f'diversi spazji tal-ismijiet klapp | Ġunju 9, 2026 |
| npm | blockchain-helper-0:1.0.0 + 7 pakketti — raggruppament ta' utilità kripto/DeFi mmirat lejn żviluppaturi tal-Web3 | Ġunju 9, 2026 |
| npm | @card-pci-data/store:99.0.0 Spazju tal-ismijiet tad-dejta tal-karta tal-ħlas immirat | Ġunju 9, 2026 |
| Ġunju 10, 2026 | ||
| npm | sistema-tad-disinn-morningstar:99.0.0 + 2 verżjonijiet — impersonazzjoni tas-sistema tad-disinn finanzjarju | Ġunju 10, 2026 |
| Ġunju 11, 2026 | ||
| npm | verżjoni: 1.0.1 + 5 verżjonijiet ippubblikati fl-istess jum | Ġunju 11, 2026 |
| npm | @coze-common/chat-area:99.1.1 Impersonazzjoni tal-ispazju tal-ismijiet tal-pjattaforma taċ-chat tal-AI | Ġunju 11, 2026 |
| pypi | telegramlite:1.0.0 + verżjoni 1 — impersonazzjoni tal-pjattaforma tal-messaġġi f'PyPI | Ġunju 11, 2026 |
| Ġunju 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 varjanti ecto-* — raggruppament ta' ismijiet offuskat | Ġunju 12, 2026 |
| npm | internallib_v984:1.0.3 + internallib_v557 cluster — 13-il verżjoni ta' imposturi tal-librerija interna | Ġunju 12, 2026 |
| npm | voyager-web:999.0.0 Konfużjoni dwar id-dipendenza, verżjoni minfuħa | Ġunju 12, 2026 |
| pypi | cdjeez:0.32.0 | Ġunju 12, 2026 |
Ġimgħa 1: Aktar minn 118-il Pakkett Skoperti
| Ekosistema | Pakkett | data |
|---|---|---|
| Jista 30, 2026 | ||
| npm | @cloudplatform-single-spa/amministrazzjoni:99.99.100 Konfużjoni dwar id-dipendenza, verżjoni minfuħa | Jista 30, 2026 |
| vscode | xampp-maniġer:5.1.3 Estensjoni VSCode — impersonazzjoni tal-għodda tal-iżviluppatur | Jista 30, 2026 |
| Ġunju 1, 2026 | ||
| npm | @tse-digital/qalba:99.0.0 Konfużjoni dwar id-dipendenza — @telenor-se u @ownit ukoll laqtu | Ġunju 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 verżjonijiet, raggruppament tal-ispazju tal-ismijiet tas-CMS | Ġunju 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 verżjonijiet, numri ta' verżjonijiet minfuħin immirati lejn il-kredenzjali tal-AWS | Ġunju 1, 2026 |
| npm | dokumenti tal-pazjent: 75.0.0 Mira tal-ispazju tal-ismijiet tal-kura tas-saħħa | Ġunju 1, 2026 |
| npm | @emcd-vue/awtentiċità:6.4.9 Impersonazzjoni tal-ispazju tal-isem tal-iskambju tal-kripto | Ġunju 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Ġunju 1, 2026 |
| Ġunju 2, 2026 | ||
| npm | sensittività: 2.5.8 + 70 verżjoni fil-medda 2.5.x, 2–5 ta' Ġunju — kampanja dominanti tal-perjodu | Ġunju 2, 2026 |
| npm | @langgraphjs/toolkit:1.2.10 L-għodda LangGraph immirata | Ġunju 2, 2026 |
| Ġunju 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + 2 verżjonijiet, impersonazzjoni tal-ispazju tal-ismijiet Sentry | Ġunju 4, 2026 |
| npm | internallib_v346:1.0.3 + 2 verżjonijiet, impostur tal-librerija interna | Ġunju 4, 2026 |
| npm | ai-sdk-helpers:0.2.1 + 7 verżjonijiet, immirati lejn l-għodda tal-SDK tal-AI | Ġunju 4, 2026 |
Waqqaf Kodiċi Malizzjuż Qabel Ma Jasal Għandek Pipeline
It-theddidiet tal-katina tal-provvista tas-softwer marru ferm lil hinn mit-teorija. Attakki ta’ konfużjoni tad-dipendenza, dawk li jisirqu l-kredenzjali, malware mmirat lejn l-AI, u għodod tal-iżviluppaturi avvelenati qed jolqtu timijiet reali f’sitwazzjonijiet reali. SDLCkull ġimgħa.
Xygeni's sejbien ta' malware u, pjattaforma tas-sigurtà tal-katina tal-provvista jagħti lill-organizzazzjonijiet il-viżibilità biex jaqbdu dipendenzi malizzjużi qabel ma jeżegwixxu fuq magna ta' żviluppatur, jidħlu f'sistema ta' bini, jew jilħqu l-produzzjoni. Il-kopertura tkopri npm, PyPI, VSCode, u lil hinn, billi timmonitorja għal mudelli ta' pubblikazzjoni suspettużi, abbuż tal-ispazju tal-ismijiet, typosquatting, u tekniki ta' attakk nattivi tal-AI hekk kif jitfaċċaw.
Kull sejba tiġi prijoritizzata awtomatikament skont l-isfruttabbiltà, l-aċċessibbiltà, u l-impatt fuq in-negozju, sabiex it-tim tiegħek jiffoka fuq dak li fil-fatt jeħtieġ tiswija, mhux fuq l-istorbju.
Kemm jekk huwa pakkett open-source malizzjuż, għodda tal-iżviluppatur kompromessa, jew riskju ta' kodiċi ġġenerat mill-AI, Xygeni jżomm lit-timijiet tas-sigurtà u tal-inġinerija pass 'il quddiem mill-pajsaġġ tat-theddid tal-katina tal-provvista.
Esplora kull pakkett u kampanja malizzjuża vvalidata mit-Tim tas-Sigurtà ta' Xygeni fil- Diġest ta' Kodiċi Malizzjuż.
Ibqa' sigur. Ibqa' veloċi. Ibqa' fil-kontroll b'Xygeni.
