malware Npm hoje continua a evoluir, com os atacantes publicando código malicioso, pacotes npm maliciosos e Pacotes maliciosos PyPI Projetado para otimizar fluxos de trabalho de desenvolvimento, CI/CD pipelinese ecossistemas de código aberto. O Resumo de código malicioso é o relatório de pesquisa contínua da Xygeni que rastreia e verifica pacotes maliciosos reais em todo o mundo. npm, PyPI, Código VS e OpenVSX, incluindo backdoors confirmados, ladrões de dados, payloads para exfiltração de credenciais e campanhas automatizadas de malware com múltiplas versões.
Nossa equipe de pesquisa atualiza esta página regularmente com resultados validados, indicadores de compromisso (IOCs), padrões comportamentais e análise técnicaComo resultado, os desenvolvedores, Equipes de segurança de aplicativose os engenheiros de segurança podem se manter à frente de malware npm hoje e a atividade emergente de pacotes maliciosos que impactam as cadeias de suprimentos de software modernas.
NPM Malware Today: Resumo Semanal de 24 a 29 de abril de 2026
Pesquisadores confirmaram 97 pacotes maliciosos em todos os registros públicos durante esse período.
Observações do conjunto de dados
- A maioria dos pacotes confirmados foi publicada em npm
- Outros casos afetados PyPI, OpenVSX e Compor
- Publicação maliciosa repetida nas mesmas famílias de pacotes e nomes relacionados.
- Padrões de versão altos ou atípicos, como 99.x, 99.9.x e 1.0.x
- Uso forte de pagamento e finalização da compra, enterpriseDe estilo, aplicativo web interno, analítica, Fundamentos de interface do usuário, ferramenta de desenvolvedor, tema de nuvem e relacionado ao componente padrões de nomenclatura
- Múltiplas rajadas de versões coordenadas, projetadas para se assemelharem a atualizações legítimas de pacotes.
Relatório Mensal de Malware: Pacotes npm maliciosos confirmados em abril de 2026
Bem-vindo à última edição do Resumo de Códigos Maliciosos da Xygeni (Edição Mensal). em Abril 2026, confirmou nossa equipe de pesquisa mais de 250 pacotes maliciosos, principalmente em npm, com casos adicionais afetando PyPI, VS Code, OpenVSX e Composer.
Abril não foi apenas sobre volume. Além de ondas de publicação impulsionadas pela automação, campanhas agressivas de inflação de versões, agrupamento de famílias de pacotes e representação de ferramenta internaObservamos alguns dos padrões mais notáveis do mês em publicações maliciosas coordenadas em diversas plataformas, incluindo:
Ferramentas internas falsas, pacotes com temática de IA, módulos de pagamento e finalização de compra, clientes de análise, componentes de front-end, utilitários para desenvolvedores, ferramentas para Kubernetes e nuvem, extensões para VS Code e OpenVSX e nomes de pacotes semelhantes a marcas confiáveis, projetados para se misturarem à entrega de software real. pipelines.
Esses não foram simples casos de typosquatting. Em todo o contexto mais amplo, Abril conjunto de dados, observamos padrões de abuso de credenciais, manipulação da cadeia de suprimentos, reutilização repetida de namespace e publicação maliciosa coordenada Projetado para se integrar a ambientes de desenvolvimento reais e à entrega de software. pipelines.
Em todo o conjunto de dados mais amplo, continuamos a observar publicação de múltiplas versões com script, esquemas de versionamento inflados, pagamento e enterprise-nomeação temática, Nomes de pacotes com temas de IA e agentes, Representação de SDK e componentes de front-end, mimetismo de ferramenta internae táticas clássicas como confusão de dependência e exfiltração de dados.
Este relatório faz parte do nosso trabalho contínuo. Resumo de código malicioso, onde validamos novas ameaças e fornecemos inteligência acionável para ajudar Equipes DevSecOps fique à frente de risco da cadeia de suprimentos de software.
| Ecossistema | Pacote | Data |
|---|---|---|
| npm | pa-marcado: 99.1.10 | 27 de abril, 2026 |
| pypi | moonbit-locale-compat:0.2.3 | 27 de abril, 2026 |
| npm | @alfa.life.mapp/app.web:99.0.13 | 27 de abril, 2026 |
| npm | @sbt_gitverse/analytics-client:99.0.1 | 27 de abril, 2026 |
| npm | @frengki0707/google-cloud-clone:1.33.1 | 27 de abril, 2026 |
| npm | @alfa.life.mapp/app.web:99.0.14 | 27 de abril, 2026 |
| npm | @tochka-ui/foundation:99.0.2 | 27 de abril, 2026 |
| openvsx | arcane-spark/ubel:0.1.0 | 28 de abril, 2026 |
| npm | @2011-08-19/n:99.9.9 | 28 de abril, 2026 |
| npm | @frengki0707/google-cloud-clone:1.38.0 | 27 de abril, 2026 |
Como detectamos código malicioso em malware npm e malware PyPI
A Xygeni utiliza técnicas multicamadas para bloquear códigos maliciosos antes que eles se espalhem. Primeiramente, a análise estática de código detecta padrões de ofuscação, payloads ocultos e abuso de scripts. Além disso, a análise de sandbox comportamental instala hooks, comandos de tempo de execução e truques de persistência. Além disso, a detecção por aprendizado de máquina identifica malware npm de dia zero e variantes de malware pypi não detectadas pelos scanners de assinatura. Por fim, o Sistema de Alerta Precoce monitora repositórios públicos em tempo real, valida as descobertas e alerta as equipes de DevOps imediatamente.
Como resultado, essa combinação garante que os desenvolvedores recebam inteligência rápida e acionável integrada diretamente em CI/CD workflows.
Por que os desenvolvedores devem se preocupar com pacotes npm maliciosos
Ameaças modernas raramente aguardam execução. Por exemplo, pacotes npm maliciosos costumam ser executados durante a instalação, enquanto pacotes pypi maliciosos ocultam exfiltração de tokens ou backdoors. Atacantes:
- Transforme repositórios privados do GitHub em públicos para replicá-los.
- Exfiltre credenciais e segredos usando cargas úteis codificadas.
- Use carregadores JavaScript ofuscados para implantar ransomware ou botnets.
De fato, os pacotes maliciosos de código aberto aumentaram 156% em um ano. Portanto, equipes que dependem apenas de feeds atrasados ou scanners básicos ficam para trás.
O que este relatório de malware rastreia no npm e no PyPI
Este resumo é o centro central para:
- Pacotes npm maliciosos confirmados
- Pacotes maliciosos pypi confirmados
- Detecções de código malicioso baseadas em comportamento
- Incidentes confirmados pelo registro
- Resumos de relatórios semanais e mensais de malware
- Registro de alterações histórico de todas as descobertas de malware npm e malware pypi
Em outras palavras, ele fornece um único ponto de referência. A equipe de pesquisa da Xygeni atualiza esta página semanalmente com links para análises técnicas completas e IOCs do GitHub.
Como se proteger contra pacotes npm maliciosos e malware PyPI
Devido a esse risco crescente, as organizações precisam de mais do que verificações básicas de dependência. Defesas robustas contra pacotes npm e pypi maliciosos exigem controles preventivos e execução em tempo de execução:
Aplicar instalações somente de Lockfile contra pacotes npm maliciosos
Uso npm ci or pip install --require-hashes in CI/CD.
Isso garante que a árvore de dependências exata definida nos lockfiles seja usada. Como resultado, invasores não conseguem inserir versões modificadas ou com erros de digitação de pacotes npm maliciosos.
Verificação de pré-instalação para malware npm e malware PyPI
Integre o Early Warning Engine do Xygeni para escanear malware npm e malware pypi antes que os pacotes cheguem ao seu ambiente.
Além disso, detecte suspeitos postinstall scripts, carregadores ofuscados ou URLs C2 codificadas.
Guardrails para bloquear compilações com código malicioso
Conjunto guardrails para falhar compilações automaticamente se pacotes npm maliciosos confirmados ou pacotes pypi maliciosos forem detectados.
Por exemplo, quebre compilações em pacotes com mantenedores não publicados, padrões de ofuscação ou correspondências de IOC. Consequentemente, códigos maliciosos nunca passam despercebidos.
Gerar e Validar SBOMs Contra pacotes npm maliciosos e malware PyPI
Criar SBOMs (CycloneDX, SPDX) para cada compilação.
Depois, compare com pacotes npm maliciosos conhecidos e feeds de malware pypi para rastrear dependências diretas e transitivas.
Proteção de credenciais e tokens contra malware npm e malware PyPI
Muitos pacotes npm maliciosos tentam ler .npmrc, .pypirc, ou variáveis de ambiente.
Portanto, execute compilações em contêineres reforçados com o mínimo de segredos expostos. Além disso, use gerenciadores de segredos em vez de variáveis de ambiente para bloquear o uso indevido de código malicioso.
Monitore alterações de registro e mantenedor em pacotes npm maliciosos
Os invasores geralmente sequestram projetos abandonados.
Em particular, fique atento a trocas repentinas de mantenedores, saltos incomuns de versões ou publicações excessivas em pacotes maliciosos npm e pypi.
Treinamento para desenvolvedores sobre detecção de código malicioso em npm e PyPI
Ensine as equipes a identificar sinais de alerta, como:
- Nomes de pacotes com erros de digitação (
reqeustem vez derequest). - Incomum
installorpreparescripts. - Pacotes criados recentemente com números de versão suspeitosamente altos.
Acima de tudo, essa conscientização ajuda a detectar códigos maliciosos precocemente.
Detecção de anomalias em tempo de execução para pacotes npm maliciosos e malware PyPI
Mesmo que o malware ignore as verificações estáticas, a detecção em tempo de execução em CI/CD pode pegar:
- Conexões de rede inesperadas.
- Modificações no sistema de arquivos fora dos diretórios esperados.
- Tentativas de persistência entre tarefas.
Por fim, isso garante que as ameaças de malware npm e pypi sejam interrompidas mesmo após a instalação.
Ao combinar esses controles, as equipes impedem que pacotes npm maliciosos e pacotes pypi maliciosos cheguem à produção. pipelines.
Experimente as ferramentas de detecção de malware da Xygeni
A Xygeni oferece:
- Detecção em tempo real de códigos maliciosos, incluindo backdoors, spyware e ransomware.
- Em contraste com scanners básicos, análises em npm, PyPI, Maven, NuGet, RubyGems e muito mais.
- Bloqueio automático de compilação quando o relatório de malware identifica risco.
- Insights de explorabilidade, verificações de reputação do mantenedor e detecção de anomalias.
Fique informado
Nossa equipe atualiza esta página semanalmente. Para receber alertas e relatórios detalhados:
- Assine nossa Newsletter
- Siga-nos @XygeniSecurity no Linkedin
- Adicione esta página aos favoritos para acompanhar as últimas novidades malware npm e malware pypi ameaças
