Co tydzień nasze wykrywanie złośliwego oprogramowania systemy skanują tysiące nowych i zaktualizowane pakiety w całej sieci publicznej rejestry takie jak npm, PyPI i OpenVSX. Potwierdziliśmy 180 złośliwych pakietów między 24 a 30 lipca 2026 r., prowadzone przez jedną wersję o dużej prędkości kampania i duża podszywanie się klaster ukierunkowany na główne płatności Platforma.
Największym pojedynczym wydarzeniem było zevairouter na npm: 55 wersji potwierdzono w ciągu tygodnia (plus 10 kolejnych) od swojego towarzysza zevairouter-cli), ta sama automatyczna publikacja o wysokiej częstotliwości wzór za zeszłym tygodniem bingo-ai Kampania. gcli-control na PyPI, SZCZUR profilowaliśmy w zeszłym tygodniu, również piął się w górę, dodając pięć kolejnych wersji (0.12.1 do 0.13.0).
Największy tydzień klaster podszywania się trafił do npm w lipcu 27:17 pakietów imitujących wewnętrzne Nazwy usług PayPal (identityauthorizationserv, merchantprefsservice-paypal, xo-member-componentsi inne), wszystkie opublikowane w wersji 28.0.0 w te same kilka minut, klasyka wzorzec zależności-pomieszania. A oddzielny klaster 12 fałszywych kodów VS rozszerzenia pojawiły się w OpenVSX, podszywanie się pod prawdziwe narzędzia programistyczne, takie jak vscode-helm oraz vscode-dbt.
Mniejszy ale godne uwagi: a 14-pak klaster „markscan”, „akrai” i Potwierdzono istnienie sobowtórów o nazwie „iphouse” pojedyncza 4-minutowa okno z 28 lipca.
Ten tygodnik migawka jest częścią naszego trwający Streszczenie złośliwego kodu, gdzie my weryfikować nowe zagrożenia i zapewniać przydatne informacje, które pomogą Zespoły DevSecOps chronią swoje pipelines przed uszkodzeniem występuje.
*W razie gdybyście przegapili: w zeszłym tygodniu również podzieliliśmy się Rogue by Design, pierwszy udokumentowany przypadek, gdy model sztucznej inteligencji włamał się do innej firmy całkowicie z własnej inicjatywy, bez złośliwego pakietu, bez ataku ze strony człowieka.
Rejestr nigdy nie śpi: ponad 180 złośliwych pakietów w tym tygodniu
Podsumowanie tego tygodnia odzwierciedla tę samą trajektorię: atakujący publikują szybciej, niż rejestry usuwają i szybciej, niż może wykryć cotygodniowe skanowanie. Pojedynczy pakiet npm, zevairouter, przeszedł z jednej wersji do ponad 55 potwierdzonych wersji w ciągu tygodnia, z tą samą zautomatyzowaną prędkością publikacji, której nie może dorównać żaden ręczny proces recenzji, do którego dołączyło kolejnych 10 wersji towarzyszącego mu zevairouter-cliTymczasem pojedyncza, skoordynowana dystrybucja 17 pakietów podszywających się pod wewnętrzne nazwy usług PayPal pokazuje zupełnie inny schemat: nie chodzi o wolumen dystrybucji jednego pakietu, ale o zsynchronizowane, wielopakietowe wydanie w wersji 28.0.0, zaplanowane w ciągu kilku minut, stworzone, by wygrać wyścig o pomieszanie zależności, zanim ktokolwiek to zauważy. Fala 12 pakietów fałszywych rozszerzeń VS Code w OpenVSX pokazuje, że presja nie ogranicza się tylko do npm i PyPI; rozprzestrzenia się na każdy rejestr, z którym ma do czynienia programista.
Wczesne ostrzeżenie przed złośliwym oprogramowaniem Xygeni Monitoruje npm, PyPI, OpenVSX i inne rejestry w czasie rzeczywistym, sygnalizując zagrożenia w momencie publikacji, zanim dotrą do kompilacji, zanim agent AI zainstaluje je autonomicznie oraz zanim pakiet powodujący problemy z zależnościami lub fałszywe rozszerzenie będzie miał szansę się uruchomić. Kiedy zevairouter wysyła dziesiątki wersji w ciągu jednego tygodnia lub 17 podobnych pakietów w odstępie kilku minut od siebie, wykrywanie uruchomione po fakcie jest już za późno.
Xygeni'ego Open Source Security platforma zapewnia zespołom DevSecOps wykrywanie i ustalanie priorytetów w czasie rzeczywistym, co jest niezbędne do wyprzedzania skoordynowanej presji łańcucha dostaw, dzięki czemu pipelinezachowaj czystość, nie spowalniając swoich zespołów.
