Jak co tydzień nasze systemy wykrywania złośliwego oprogramowania skanują tysiące nowych i zaktualizowanych pakietów w rejestrach publicznych. Potwierdziliśmy 24 złośliwych wersji pakietów między 18 a 25 września 2026 r., wszystkie na npm, z sześcioma kolejno ponumerowanymi pakietami opublikowanymi w ciągu tych samych dwóch minut, zakresową przestrzenią nazw atakowaną z trzech kierunków jednocześnie i parą nazw wskazujących bezpośrednio na wewnętrzny pakiet.
simple-date-formatter-new-11 przez -16 Zostały opublikowane 25 września między 06:01 a 06:03. Sześć pakietów w wersji 1.0.0, które można odróżnić jedynie po numerze na końcu. Nazewnictwo jest tego dowodem. Nikt, kto iteruje formater daty, nie dociera do wersji od jedenastej do szesnastej w mniej niż dwie minuty. Jest to sekwencja generowana w celu zajmowania nazw, a proste ramy narzędziowe pozwalają jej przetrwać na pierwszy rzut oka na liście zależności.
siriusbeyond pojawił się w dwóch formach w ramach tej samej operacji: jako pakiet niezakresowany w wersji 1.0.0 20 września, a następnie jako @siriusbeyond/auth, @siriusbeyond/ui oraz @siriusbeyond/utils, wszystkie przypięte na 99.0.0, 24 września, obok @dbbhk/ui-components w tej samej wersji i w tej samej partii. Obejmowanie form zakresu i niezakresu nazwy to zakład na to, jak zachowuje się resolver celu, a nie na to, po który pakiet sięgnie programista.
Warto również zwrócić uwagę: commerce-materials oraz byted-commerce-materials Zostały opublikowane w odstępie jednej minuty, obie w wersji 1.0.0, a połączenie nazwy generycznej z bliźniaczą nazwą z prefiksem dostawcy to pomyłka w zależnościach kształtu, do której dochodzi, gdy atakujący wie o istnieniu wewnętrznego pakietu. W ciągu tygodnia ponownie wystąpiła inflacja wersji. bulk-add-sdk w 1.99.99, @alphaspace/core o 99.0.1 i 99.0.2 oraz klaster 99.0.0 powyżej. n8n-nodes-data-transformer-utils kontynuuje serię podszywania się pod węzeł n8n, którą oznaczyliśmy w zeszłym tygodniu, i my-auto-follow wydano wersje 1.0.6 i 1.0.7 jedno po drugim.
Ta cotygodniowa migawka jest częścią naszego trwającego Streszczenie złośliwego kodu, gdzie weryfikujemy nowe zagrożenia, aby pomóc zespołom DevSecOps chronić swoje pipelinezanim dojdzie do uszkodzenia.
Sześć w dwie minuty: 24 złośliwe wersje pakietów w tym tygodniu
Tegoroczny przegląd jest krótszy od poprzedniego i ma bardziej zwartą strukturę: 24 potwierdzone wersje, każda z nich na npm, z sześcioma kolejno ponumerowanymi pakietami opublikowanymi w ciągu tych samych dwóch minut i pojedynczą nazwą atakowaną jednocześnie w formie zakresowej i niezakresowej.
simple-date-formatter-new-11 przez -16 Pojawił się 25 września między 06:01 a 06:03, wszystkie w wersji 1.0.0, identyczne, z wyjątkiem cyfry na końcu. Nikt nie osiąga szesnastej wersji formatera daty w dwie minuty. To zajęcie nazwy, odziane w najnudniejszą dostępną etykietę narzędziową, aby przetrwać rzut oka na listę zależności. siriusbeyond operacja poszła w drugą stronę, obejmując obie formy tej samej nazwy: niezakresowany pakiet 20 września, a następnie @siriusbeyond/auth, /ui oraz /utils o 99.0.0 cztery dni później, z @dbbhk/ui-components w tej samej partii. Obstawianie obu form jest obstawianiem osoby rozwiązującej problem, a nie osoby tworzącej rozwiązanie.
A oto duet, któremu warto się bliżej przyjrzeć: commerce-materials oraz byted-commerce-materials, opublikowano minutę po sobie w tej samej wersji. Nazwa ogólna obok bliźniaka z prefiksem dostawcy to przykład pomyłki w zależnościach, gdy atakujący wie już, że wewnętrzny pakiet istnieje. Ponownie doszło do inflacji wersji pod tym wszystkim, w bulk-add-sdk o 1.99.99 i @alphaspace/core o 99.0.1 i 99.0.2.
Żadne z tych nazwisk nie miało podpisu w momencie lądowania. Były nowe, i o to właśnie chodzi.
Wczesne ostrzeganie przed złośliwym oprogramowaniem Xygeni Monitoruje npm, PyPI, Maven, Composer, OpenVSX i inne rejestry w czasie rzeczywistym, sygnalizując zagrożenia w momencie publikacji, zanim dotrą do kompilacji i zanim agent AI zainstaluje je autonomicznie. Gdy w ciągu dwóch minut pojawia się sześć pakietów, wykrywanie oczekujące na podpis nie jest opóźnione o dni, ale o cały atak.
Xygeni'ego Open Source Security Platforma zapewnia zespołom DevSecOps wykrywanie i priorytetyzowanie problemów w czasie rzeczywistym, co pozwala im wyprzedzać presję związaną z skoordynowanym łańcuchem dostaw.
