Jak co tydzień nasze systemy wykrywania złośliwego oprogramowania skanują tysiące nowych i zaktualizowanych pakietów w rejestrach publicznych. Potwierdziliśmy obecność 13 złośliwych pakietów między 7 a 11 września 2026 r., przy wciąż działającej kampanii podszywania się pod Baileysa, pierwszym oznaczonym przez nas klastrze Composera i dwóch kolejnych przypadkach wzorca rozszerzania wersji wykorzystywanego w celu pomylenia zależności.
cloud-baileys wydał dwie kolejne wersje (1.1.39 i 1.1.40), przedłużając kampanię, która od kilku tygodni z rzędu przynosi nowe tożsamości. Composer pojawił się po raz pierwszy z trzema pakietami PHP opublikowanymi pod nazwami obsługującymi formularze (slimfit/slimbase, slimfit/formbase, gcform/formhelper), co przypomina, że operacje te są ukierunkowane na deweloperów, a nie na ekosystemy. @umschool/platform został opublikowany w 999.0.0, zawyżony numer wersji, typowy dla pomyłki w zakresie zależności i twilio-hackerone-poc-b8f21a dostarczono dwie wersje pod nazwą, która ma być dowodem koncepcji w odniesieniu do wewnętrznej przestrzeni nazw pakietów konkretnego dostawcy.
Warto również zwrócić uwagę: darkglitch na PyPI wersje 1.4.4 i 1.4.5 zostały wydane w odstępie kilku minut od siebie, a sam rejestr potwierdził syswatch i samaki po naszym wcześniejszym wykryciu.
Ta cotygodniowa migawka jest częścią naszego trwającego Streszczenie złośliwego kodu, gdzie weryfikujemy nowe zagrożenia, aby pomóc zespołom DevSecOps chronić swoje pipelinezanim dojdzie do uszkodzenia.
| ekosystem | Pakiet | Data |
|---|---|---|
| pipi | syswatch:1.0.0 | September 07, 2026 |
| pipi | samaki:0.4.9 | September 07, 2026 |
| komponować | slimfit/slimbase:2.0 | September 07, 2026 |
| komponować | slimfit/formbase:1.2 | September 07, 2026 |
| komponować | gcform/formhelper:1.2 | September 07, 2026 |
| Npm | cloud-baileys:1.1.39 | September 07, 2026 |
| Npm | stop-graphql:1.0.1 | September 08, 2026 |
| Npm | @umschool/platforma:999.0.0 | September 10, 2026 |
| Npm | twilio-hackerone-poc-b8f21a:1.0.0 | September 10, 2026 |
| Npm | twilio-hackerone-poc-b8f21a:1.0.1 | September 10, 2026 |
| Npm | cloud-baileys:1.1.40 | September 11, 2026 |
| pipi | darkglitch:1.4.4 | September 11, 2026 |
| pipi | darkglitch:1.4.5 | September 11, 2026 |
Trzy ekosystemy, jeden wzór: 13 złośliwych pakietów w tym tygodniu
W tym tygodniu w skrócie widać, że znane operacje poszerzają swój zasięg: kampania, która wciąż publikuje posty po tygodniach od wykrycia, pierwszy klaster Composera, który pojawił się tutaj, oraz dwa pakiety wykorzystujące zawyżony numer wersji, aby wygrać wyścig o rozwiązanie problemu.
cloud-baileys Wydano wersje 1.1.39 i 1.1.40 w ciągu kilku dni, co jest zgodne z podejściem atakującego, który traktuje usuwanie jako koszt działania, a nie powód do zatrzymania. Composer pojawił się po raz pierwszy z trzema pakietami PHP pod nazwami obsługującymi formularze (slimfit/slimbase, slimfit/formbase, gcform/formhelper), co przypomina, że operacje te są zależne od deweloperów, a nie ekosystemów. @umschool/platform został opublikowany w 999.0.0, rozdmuchana wersja, która istnieje z jednego powodu: aby mieć wyższą rangę niż wewnętrzny pakiet, który faktycznie napisały twoje zespoły.
Wczesne ostrzeżenie przed złośliwym oprogramowaniem Xygeni Monitoruje npm, PyPI, Maven, Composer, OpenVSX i inne rejestry w czasie rzeczywistym, sygnalizując zagrożenia w momencie publikacji, zanim dotrą do kompilacji i zanim agent AI zainstaluje je autonomicznie. Gdy kampania pojawia się ponownie tydzień po tygodniu, wykrywanie, które sprawdza tylko raz, jest już opóźnione.
Xygeni'ego Open Source Security Platforma zapewnia zespołom DevSecOps wykrywanie i priorytetyzowanie problemów w czasie rzeczywistym, co pozwala im wyprzedzać presję związaną z skoordynowanym łańcuchem dostaw.
