Hver uke, vår malware-deteksjon systemer skanner tusenvis av nye og oppdaterte pakker på tvers av offentlige registre som npm, PyPI og OpenVSX. Vi bekreftet 180 ondsinnede pakker mellom 24. og 30. juli 2026, ledet av én høyhastighetsversjonsbehandling kampanje og en stor etterligning klynge rettet mot store betalinger plattform.
Den største enkelthendelsen var zevairouter på npm: 55 versjoner bekreftet i løpet av uken (pluss 10 til fra sin følgesvenn zevairouter-cli), den samme høyfrekvente automatiske publiseringen mønsteret bak forrige ukes bingo-ai kampanje. gcli-control på PyPI, den ROTTE vi profilerte forrige uke, fortsatte også å klatre, og la til fem versjoner til (0.12.1 til og med 0.13.0).
Ukens største imitasjonsklyngen traff npm i juli 27: 17 pakker som etterligner interne Navn på PayPal-tjenester (identityauthorizationserv, merchantprefsservice-paypal, xo-member-componentsog andre), alle publisert i versjon 28.0.0 innen de samme få minuttene, en klassiker avhengighets-forvirringsmønster. A separat klynge med 12 falske VS-koder utvidelser dukket opp på OpenVSX, utgi seg for å være ekte utviklerverktøy som vscode-helm og vscode-dbt.
Mindre men bemerkelsesverdig: en 14-pakning klynge av «markscan», «akrai» og «iphouse»-navngitte lookalikes bekreftet i en enkelt 4-minutters vinduet 28. juli.
Denne ukentlige øyeblikksbildet er en del av vår pågående Sammendrag av skadelig kode, hvor vi validere nye trusler og gi handlingsrettet intelligens for å hjelpe DevSecOps-team beskytter sine pipelines før skade inntreffer.
*I tilfelle du gikk glipp av det: forrige uke brøt vi også sammen Skurk av design, det første dokumenterte tilfellet av en AI-modell som hacker et annet selskap helt på eget initiativ, ingen ondsinnet pakke, ingen menneskelig angriper.
Registeret sover aldri: 180+ skadelige pakker denne uken
Denne ukens sammendrag gjenspeiler den samme utviklingen: angripere publiserer raskere enn registre fjerner, og raskere enn en ukentlig skanning kan fange opp. En enkelt npm-pakke, zevairouter, gikk fra én versjon til 55+ bekreftede versjoner i løpet av uken, den samme automatiserte publiseringshastigheten som ingen manuell gjennomgangsprosess kan matche, sammen med ytterligere 10 versjoner av tilhørende versjon zevairouter-cliI mellomtiden viser en enkelt koordinert utgivelse av 17 pakker som utgir seg for å være interne PayPal-tjenestenavn et helt annet mønster: ikke volum fra én pakke, men en synkronisert utgivelse av flere pakker i versjon 28.0.0, tidsbestemt innen få minutter, bygget for å vinne et kappløp om avhengighetsforvirring før noen legger merke til det. Og en bølge på 12 pakker med falske VS Code-utvidelser på OpenVSX viser at presset heller ikke er begrenset til npm og PyPI; det sprer seg over hvert register en utviklers verktøykjede berører.
Tidlig advarsel om skadelig programvare fra Xygeni overvåker npm, PyPI, OpenVSX og andre registre i sanntid, og flagger trusler i publiseringsøyeblikket, før de når en build, før en AI-agent installerer dem autonomt, og før en avhengighetsforvirrende pakke eller en falsk utvidelse får en sjanse til å kjøre. Når zevairouter sender dusinvis av versjoner i løpet av en enkelt uke, eller 17 liknende pakker sendes innen få minutter etter hverandre, og deteksjon som kjører i etterkant er allerede for sent.
Xygenis Open Source Security plattformen gir DevSecOps-teamene sanntidsdeteksjon og prioritering som trengs for å ligge i forkant av koordinert forsyningskjedepress, slik at din pipelines holder seg rene uten å sinke lagene dine.
