Como acontece todas as semanas, nossos sistemas de detecção de malware examinam milhares de pacotes novos e atualizados em registros públicos. Confirmamos 13 pacotes maliciosos entre 7 e 11 de setembro de 2026., com a campanha de falsificação de identidade da Baileys ainda em andamento, o primeiro cluster do Composer que sinalizamos e mais dois casos do padrão de inflação de versões usado em confusão de dependências.
cloud-baileys Foram lançadas mais duas versões (1.1.39 e 1.1.40), dando continuidade a uma campanha que já dura várias semanas consecutivas e vem gerando novas identidades. O Composer surgiu pela primeira vez com três pacotes PHP publicados sob nomes relacionados a manipulação de formulários (slimfit/slimbase, slimfit/formbase, gcform/formhelper), um lembrete de que essas operações seguem os desenvolvedores em vez dos ecossistemas. @umschool/platform foi publicado em 999.0.0, o número de versão inflado típico de confusão de dependências, e twilio-hackerone-poc-b8f21a Foram enviadas duas versões sob um nome que sugere ser uma prova de conceito em relação ao espaço de nomes de pacotes interno de um fornecedor específico.
Também vale a pena notar: darkglitch As versões 1.4.4 e 1.4.5 foram lançadas no PyPI com poucos minutos de diferença, e o próprio registro confirmou o syswatch e o samaki após nossa detecção anterior.
Este instantâneo semanal faz parte do nosso contínuo Resumo de código malicioso, onde validamos novas ameaças para ajudar as equipes de DevSecOps a protegerem seus pipelineantes que ocorram danos.
| Ecossistema | Pacote | Data |
|---|---|---|
| pypi | syswatch:1.0.0 | 07 de Setembro de 2026 |
| pypi | samaki:0.4.9 | 07 de Setembro de 2026 |
| compor | slimfit/slimbase:2.0 | 07 de Setembro de 2026 |
| compor | slimfit/formbase:1.2 | 07 de Setembro de 2026 |
| compor | gcform/formhelper:1.2 | 07 de Setembro de 2026 |
| npm | cloud-baileys:1.1.39 | 07 de Setembro de 2026 |
| npm | alloy-graphql:1.0.1 | 08 de Setembro de 2026 |
| npm | @umschool/plataforma:999.0.0 | 10 de Setembro de 2026 |
| npm | twilio-hackerone-poc-b8f21a:1.0.0 | 10 de Setembro de 2026 |
| npm | twilio-hackerone-poc-b8f21a:1.0.1 | 10 de Setembro de 2026 |
| npm | cloud-baileys:1.1.40 | 11 de Setembro de 2026 |
| pypi | darkglitch:1.4.4 | 11 de Setembro de 2026 |
| pypi | darkglitch:1.4.5 | 11 de Setembro de 2026 |
Três ecossistemas, um padrão: 13 pacotes maliciosos esta semana
O resumo desta semana mostra operações já conhecidas ampliando sua influência: uma campanha que continua publicando mesmo após semanas de detecção, o primeiro cluster do Composer a aparecer aqui e dois pacotes usando um número de versão inflado para vencer uma disputa por resolução.
cloud-baileys As versões 1.1.39 e 1.1.40 foram lançadas em poucos dias, o que condiz com um atacante que considera as remoções como um custo operacional, e não como um motivo para parar. O Composer apareceu pela primeira vez com três pacotes PHP sob nomes de manipulação de formulários (slimfit/slimbase, slimfit/formbase, gcform/formhelper), um lembrete de que essas operações seguem os desenvolvedores, não os ecossistemas. E @umschool/platform foi publicado em 999.0.0, a versão inflada que existe por um único motivo: superar o pacote interno que suas equipes realmente escreveram.
Alerta antecipado de malware da Xygeni Monitora npm, PyPI, Maven, Composer, OpenVSX e outros registros em tempo real, sinalizando ameaças na publicação, antes que cheguem a uma compilação e antes que um agente de IA as instale automaticamente. Quando uma campanha ressurge semana após semana, a detecção que verifica apenas uma vez já está defasada.
Xygeni Open Source Security A plataforma oferece às equipes DevSecOps detecção e priorização em tempo real para se manterem à frente da pressão coordenada da cadeia de suprimentos.
