Co tydzień nasze systemy wykrywania złośliwego oprogramowania skanują tysiące nowych i zaktualizowanych pakietów w rejestrach publicznych, takich jak npm, PyPI i OpenVSX. Potwierdziliśmy 53 złośliwe pakiety w okresie od 21 do 28 sierpnia, 2026, na czele z kontynuacją kampanii podszywania się pod Baileysa, o której poinformowano w zeszłym tygodniu, grupą siedmiu identycznie wersjonowanych pakietów marek e-commerce opublikowanych w ciągu jednego dnia oraz falą pakietów o tematyce uwierzytelniania (TOTP, 2FA, OTP) rozproszonych w pięciu oddzielnych wariantach nazewnictwa.
Podszywanie się pod Baileysa trwało nadal @vanzxy/baileys, przy czym siedem nowych wersji (od 1.4.3 do 1.4.9) potwierdzono między 22 a 23 sierpnia, co stanowi ten sam schemat szybkich iteracji, który obserwowano tydzień wcześniej.
Klaster siedmiu pakietów (sm-billing-form, sm-cart, sm-payment, sm-checkout, sm-session, sm-admin, sm-apikey-model) zostały opublikowane w tej samej wersji 99.0.1 24 sierpnia pojawił się nietypowy, wspólny numer wersji dla nazw pakietów rzekomo niezależnych, o tematyce e-commerce.
Warto również zwrócić uwagę na: rozproszenie nazw pakietów związanych z uwierzytelnianiem, totp-utils, secret-key-totp, secretkey-2fa, secretkey2fa, 2fa-secretkey, pojawiały się w ciągu tygodnia pod różnymi konwencjami nazewnictwa, ale miały wspólny temat, obok auth-otp, który opublikował pięć wersji w ciągu jednego dnia (24 sierpnia).
Ta cotygodniowa migawka jest częścią naszego trwającego Streszczenie złośliwego kodu, gdzie weryfikujemy nowe zagrożenia, aby pomóc zespołom DevSecOps chronić swoje pipelinezanim dojdzie do uszkodzenia.
Ta sama wersja, siedem nazw: 53 złośliwe pakiety w tym tygodniu
W tym tygodniu przedstawiono tę samą presję z dwóch różnych punktów widzenia: kampanii, która wciąż działa pod starym pseudonimem, oraz nowego skupiska ukrytego za wspólnym, nietypowym szczegółem.
Kampania podszywania się pod Baileysa, ujawniona w zeszłym tygodniu, nie ustała. @vanzxy/baileys opublikował siedem nowych wersji (od 1.4.3 do 1.4.9) pomiędzy 22 a 23 sierpnia, co stanowi ten sam schemat wzrostu liczby wersji, który zaobserwowano tydzień wcześniej pod innym aliasem. Jest to zgodne z tym, że atakujący zmienił nazwę pakietu zamiast porzucić próbę po wykryciu.
Odrębny klaster zdradzał się numerami wersji, a nie nazwami. Siedem pakietów z marką e-commerce (sm-billing-form, sm-cart, sm-payment, sm-checkout, sm-session, sm-admin, sm-apikey-model) wszystkie dostarczane w ramach tej samej wersji 99.0.1 24 sierpnia, nietypowy zbieg okoliczności w rzekomo niezależnych projektach, wskazuje na jednego aktora stojącego za wszystkimi siedmioma. Oddzielna fala pakietów o tematyce uwierzytelniania, totp-utils, secret-key-totp, secretkey-2fa, secretkey2fa, 2fa-secretkey, rozpowszechnił ten sam motyw w pięciu różnych konwencjach nazewnictwa w ciągu tygodnia, auth-otp publikując pięć wersji w ciągu jednego dnia.
Wczesne ostrzeżenie przed złośliwym oprogramowaniem Xygeni Monitoruje npm, PyPI, Maven, OpenVSX i inne rejestry w czasie rzeczywistym, sygnalizując zagrożenia w momencie publikacji, zanim dotrą do kompilacji i zanim agent AI zainstaluje je autonomicznie. Gdy siedem niepowiązanych ze sobą nazw pakietów zostanie opublikowanych pod tym samym numerem wersji tego samego dnia lub gdy kampania pojawi się ponownie pod nowym aliasem tydzień po poprzedniej, wykrywanie, które sprawdza tylko raz, jest już opóźnione.
Xygeni'ego Open Source Security platforma zapewnia zespołom DevSecOps wykrywanie i ustalanie priorytetów w czasie rzeczywistym, co jest niezbędne do wyprzedzania skoordynowanej presji łańcucha dostaw, dzięki czemu pipelinezachowaj czystość, nie spowalniając swoich zespołów.
