Como acontece todas as semanas, nossos sistemas de detecção de malware examinam milhares de pacotes novos e atualizados em registros públicos. Confirmamos 24 versões de pacotes maliciosos entre 18 e 25 de setembro de 2026., todos eles no npm, com seis pacotes numerados sequencialmente publicados nos mesmos dois minutos, um namespace com escopo atacado de três direções ao mesmo tempo e um par de nomes que apontam diretamente para um pacote interno.
simple-date-formatter-new-11 através de -16 Foram publicados em 25 de setembro, entre 06:01 e 06:03, seis pacotes na versão 1.0.0, distinguíveis apenas pelo número no final. A nomenclatura é reveladora. Ninguém que itere sobre um formatador de datas chega às versões onze a dezesseis em menos de dois minutos. É uma sequência gerada para ocupar nomes, e a estrutura de utilitário simples é o que a torna visível mesmo em uma lista de dependências.
siriusbeyond apareceu em duas formas na mesma operação: como um pacote sem escopo na versão 1.0.0 em 20 de setembro, e depois como @siriusbeyond/auth, @siriusbeyond/ui e @siriusbeyond/utils, todos fixados em 99.0.0, em 24 de setembro, ao lado de @dbbhk/ui-components na mesma versão e no mesmo lote. Abranger as formas com e sem escopo de um nome é uma aposta em como o resolvedor do alvo se comporta, em vez de depender de qual pacote o desenvolvedor utiliza.
Também vale a pena notar: commerce-materials e byted-commerce-materials Foram publicadas com um minuto de diferença, ambas na versão 1.0.0, e a combinação de um nome genérico com um equivalente com prefixo de fornecedor é a forma que a confusão de dependências assume quando o atacante sabe que o pacote interno existe. A inflação de versões ocorreu novamente durante a semana. bulk-add-sdk aos 1.99.99, @alphaspace/core em 99.0.1 e 99.0.2, e no cluster 99.0.0 acima. n8n-nodes-data-transformer-utils continua a sequência de falsificação de identidade do nó n8n que sinalizamos na semana passada, e my-auto-follow As versões 1.0.6 e 1.0.7 foram enviadas consecutivamente.
Este instantâneo semanal faz parte do nosso contínuo Resumo de código malicioso, onde validamos novas ameaças para ajudar as equipes de DevSecOps a protegerem seus pipelineantes que ocorram danos.
Seis em dois minutos: 24 versões maliciosas de pacotes nesta semana
O resumo desta semana é menor e mais conciso que o anterior: 24 versões confirmadas, todas disponíveis no npm, com seis pacotes numerados sequencialmente publicados em um intervalo de dois minutos e um único nome atacado simultaneamente, tanto com escopo quanto sem escopo.
simple-date-formatter-new-11 através de -16 A atualização foi lançada em 25 de setembro entre 06:01 e 06:03, todas na versão 1.0.0, idênticas exceto pelo dígito no final. Ninguém chega à versão dezesseis de um formatador de datas em dois minutos. Isso é o nome da ocupação, disfarçado com o rótulo de utilitário mais sem graça possível para que sobreviva a uma olhada rápida em uma lista de dependências. siriusbeyond A operação seguiu o caminho inverso, abrangendo ambas as formas do mesmo nome: um pacote sem escopo em 20 de setembro, depois @siriusbeyond/auth, /ui e /utils às 99.0.0 quatro dias depois, com @dbbhk/ui-components no mesmo lote. Apostar em ambas as formas é apostar no resolvedor, e não no desenvolvedor.
E a dupla que vale a pena acompanhar mais de perto: commerce-materials e byted-commerce-materials, publicados com um minuto de diferença na mesma versão. Um nome genérico ao lado de um gêmeo com prefixo de fornecedor é o que acontece quando há confusão de dependências, já que o atacante já sabe que o pacote interno existe. A inflação de versões ocorreu novamente por baixo de tudo isso, em bulk-add-sdk aos 1.99.99 e @alphaspace/core em 99.0.1 e 99.0.2.
Nenhum desses nomes tinha assinatura quando chegaram. Eram novos, e esse é justamente o objetivo.
Alerta antecipado de malware Xygeni Monitora npm, PyPI, Maven, Composer, OpenVSX e outros registros em tempo real, sinalizando ameaças na publicação, antes que cheguem a uma compilação e antes que um agente de IA as instale automaticamente. Quando seis pacotes aparecem em dois minutos, a detecção que espera por uma assinatura não está atrasada em dias, mas sim em todo o ataque.
Xygeni Open Source Security A plataforma oferece às equipes DevSecOps detecção e priorização em tempo real para se manterem à frente da pressão coordenada da cadeia de suprimentos.
