Every week, our malware detection systems scan thousands of new and updated packages across public registries like npm and PyPI. This week was no exception. We confirmed 165 malicious packages between July 17 and July 24, 2026, across npm and PyPI, led by one high-velocity campaign and several new impersonation clusters.
အကြီးမားဆုံး ဖြစ်ရပ်တစ်ခုကတော့ bingo-ai on PyPI, again: nearly 85 versions confirmed in a 23-minute window on July 21, the same automated publishing pattern we flagged in this package last week.
We also confirmed further activity from gcli-control on PyPI, a package our research team profiled in detail this week: a fully-featured Windows RAT (keylogging, webcam/mic capture, clipboard monitoring, browser-credential theft, persistence) that routes its command-and-control through npoint.io, a free JSON-hosting service, rather than an attacker-owned domain. The initial burst (versions 0.1.0 to 0.7.1) escalated to full capability in about 13.5 hours on July 21–22. This week’s digest shows the campaign didn’t stop there: five more versions (0.8.0 through 0.12.0) followed at a steadier pace through July 23–24.
We also confirmed a nine-package Twilio impersonation cluster on npm (twilio-serverless, twilio-functions, twilio-internal, and others), all published July 21 with inflated version numbers, a classic dependency-confusion pattern. A second cluster targeted crypto/DeFi tooling on npm, nine packages including uniswap-sdk-v4, wagmi-reactနှင့် ethers-secure, published July 23.
Smaller but notable: a repeating “date formatting utility” naming theme across three separate campaigns, and n8n-nodes-pwn, a suspiciously named automation-node package confirmed July 22.
ဒီအပတ်စဉ် ဓာတ်ပုံရိုက်ကူးမှုဟာ ကျွန်ုပ်တို့ရဲ့ လက်ရှိလုပ်ဆောင်နေတဲ့ အစီအစဉ်ရဲ့ တစ်စိတ်တစ်ပိုင်းပဲ ဖြစ်ပါတယ်။ အန္တရာယ်ရှိသော ကုဒ် ဒိုင်ဂျက်စ်DevSecOps အဖွဲ့များ ၎င်းတို့၏ အချက်အလက်များကို ကာကွယ်ရန် ကျွန်ုပ်တို့က ခြိမ်းခြောက်မှုအသစ်များကို အတည်ပြုပြီး လက်တွေ့လုပ်ဆောင်နိုင်သော ထောက်လှမ်းရေးများကို ပံ့ပိုးပေးသည့်နေရာ pipelineပျက်စီးမှုမဖြစ်ပွားမီ s များ။ ဒီအပတ်မှာ ကျွန်ုပ်တို့တွေ့ရှိခဲ့တဲ့အရာနဲ့ ဘာကြောင့်အရေးကြီးတယ်ဆိုတာကို ခွဲခြမ်းစိတ်ဖြာကြည့်ရအောင်။
ပက်ကေ့ဂျ် ၁၄၅+။ တစ်ပတ်။ နှုန်းထားက မြင့်တက်နေဆဲပါ။
ဒီအပတ်ရဲ့ Digest က အလားတူလမ်းကြောင်းကို ထင်ဟပ်စေပါတယ်- တိုက်ခိုက်သူတွေဟာ registry တွေ ဖယ်ရှားတာထက် ပိုမြန်တဲ့ publish လုပ်ကြပြီး အပတ်စဉ် scan ဖတ်တာထက်လည်း ပိုမြန်ပါတယ်။ PyPI package တစ်ခုတည်း၊ bingo-ai, went from first version to nearly 85 confirmed versions in about 23 minutes, automated publishing at a speed no manual review process can match. Meanwhile, gcli-control shows that volume isn’t the only risk: a fully-featured RAT that didn’t bother hiding what it was, instead relaying its commands through npoint.io, a free JSON-hosting service, so its traffic blends into ordinary developer activity with no attacker-owned domain to block. And the Twilio and crypto/DeFi impersonation clusters show a third pattern entirely: coordinated, multi-package drops using inflated version numbers to win a dependency-confusion race against internal package names.
Xygeni Malware အစောပိုင်းသတိပေးချက် monitors npm, PyPI, and other registries in real time, flagging threats at the moment of publication, before they reach a build, before an AI agent installs them autonomously, and before a covert relay or a dependency-confusion package has a chance to execute. When bingo-ai ships dozens of versions in under half an hour, or gcli-control routes its C2 through a service your egress rules already allow, detection that runs after the fact is already too late.
ဆိုက်ဂျီနီရဲ့ Open Source Security ပလက်ဖောင်းသည် DevSecOps အဖွဲ့များအား ညှိနှိုင်းထားသော ထောက်ပံ့ရေးကွင်းဆက်ဖိအားထက် ရှေ့ရောက်နေစေရန် လိုအပ်သော အချိန်နှင့်တပြေးညီ ထောက်လှမ်းခြင်းနှင့် ဦးစားပေးခြင်းတို့ကို ပေးစွမ်းသောကြောင့် သင်၏ pipelineသင့်အဖွဲ့များကို နှေးကွေးစေဘဲ သန့်ရှင်းစွာနေထိုင်ပါ။
