Каждую неделюНаши системы обнаружения вредоносных программ сканируют тысячи новых и обновленных пакетов в общедоступных реестрах, таких как npm и PyPI.
Эта неделя была особенно насыщенной.
Мы подтвердили 92 XNUMX вредоносных пакетовв основном по всей территории НПМс дополнительными случаями в PyPIНесколько вредоносных программ появились в скоординированных группах, с неоднократными выпусками вредоносных программ под одними и теми же именами или в рамках тесно связанных семейств пакетов. Многие из них имитировали Инструменты, связанные с искусственным интеллектом, enterprise модули, внутренние пакеты, SDK,, фронтенд-активыа также другие компоненты, широко используемые в современных процессах разработки.
Это были не единичные случаи. На этой неделе особенно бросались в глаза масштабы повторной публикации, повторное использование шаблонов именования и то, как вредоносные пакеты маскировались под легитимные зависимости внутри реальных программных продуктов. pipelines.
Этот еженедельный обзор является частью нашего постоянного Обзор вредоносного кодагде мы подтверждаем новые угрозы и предоставляем полезную информацию для оказания помощи Команды DevSecOps защитить их pipelineза несколько секунд до возникновения повреждений.
Давайте разберем, что мы обнаружили на этой неделе и почему это важно.
| Экосистема | Упаковка | Время |
|---|---|---|
| Pypi | parascode:1.1.2 | 27 Марта, 2026 |
| Pypi | шопё-dashboard: 1.5.0 | 27 Марта, 2026 |
| НПМ | @immuta/pxl-компоненты: 99.99.0 | 27 Марта, 2026 |
| НПМ | @immuta/flag-providers-web:99.99.0 | 27 Марта, 2026 |
| НПМ | @adamallana0909/apple-research-test:99.9.21 | 27 Марта, 2026 |
| НПМ | @appleseed-apple/ac-sass-kit:100.0.2 | 27 Марта, 2026 |
| НПМ | apple-internal-telemetry-agent:100.0.1 | 27 Марта, 2026 |
| НПМ | corp-utils:9.9.9 | 27 Марта, 2026 |
| НПМ | ac-dom-nodes:1.9.1 | 27 Марта, 2026 |
| НПМ | soul-ai:1.10.4 | 27 Марта, 2026 |
| НПМ | rtxaspnet:1.0.0 | 27 Марта, 2026 |
| НПМ | estaspnet:1.0.0 | 27 Марта, 2026 |
| НПМ | ac-element-engagement:3.0.1 | 27 Марта, 2026 |
| Pypi | pymnemonic:1.1.3 | 27 Марта, 2026 |
| Pypi | pymnemonic:1.2.5 | 27 Марта, 2026 |
| Pypi | header-spoofer:3.0.1 | 27 Марта, 2026 |
| НПМ | ahhc:1.1.0 | 27 Марта, 2026 |
| НПМ | ahmed_salem_ph:1.0.4 | 27 Марта, 2026 |
| НПМ | @cdktf-constructs/azure-resourcegroup:2.3.0 | 27 Марта, 2026 |
| НПМ | @promptions/promptions-ui:1.3.0 | 27 Марта, 2026 |
| НПМ | @promptions/promptions-image:1.3.0 | 27 Марта, 2026 |
| НПМ | @promptions/promptions-llm:1.3.0 | 27 Марта, 2026 |
| НПМ | @promptions/promptions-chat:1.3.0 | 27 Марта, 2026 |
| НПМ | local-rules:2.0.0 | 27 Марта, 2026 |
| НПМ | whatfix-icons:7.0.0 | 28 Марта, 2026 |
| НПМ | navi-design-system:7.0.0 | 27 Марта, 2026 |
| НПМ | declarative-tracker:9999.0.0 | 28 Марта, 2026 |
| НПМ | navi-design-system:99.1.0 | 27 Марта, 2026 |
| НПМ | folio-data-utils:1.0.0 | 27 Марта, 2026 |
| НПМ | xpna-context:1.0.0 | 27 Марта, 2026 |
| НПМ | react-appfabric-shell:0.6.1 | 28 Марта, 2026 |
| НПМ | promethios-bridge:1.7.0 | 28 Марта, 2026 |
| НПМ | promethios-bridge:1.7.5 | 28 Марта, 2026 |
| НПМ | autoshipment-public-front:99.99.0 | 31 Марта, 2026 |
| НПМ | promethios-bridge:1.7.7 | 30 Марта, 2026 |
| НПМ | promethios-bridge:1.7.9 | 30 Марта, 2026 |
| НПМ | promethios-bridge:1.8.0 | 30 Марта, 2026 |
| НПМ | daytona-test-npm:1.0.0 | 30 Марта, 2026 |
| НПМ | spr-i18n-labels:1.0.4 | 30 Марта, 2026 |
| НПМ | package-with-import-assertions:99.0.0 | 30 Марта, 2026 |
| НПМ | separadordeinfo:1.0.0 | 30 Марта, 2026 |
| НПМ | spr-i18n-labels:1.0.5 | 29 Марта, 2026 |
| НПМ | sn3akysnak3-test:1.0.0 | 29 Марта, 2026 |
| НПМ | sn3akysnak3-test:1.0.1 | 29 Марта, 2026 |
| НПМ | dial-app-version:9999.0.0 | 29 Марта, 2026 |
| НПМ | bizsignupnodeweb:99.10.9 | 29 Марта, 2026 |
| НПМ | bizsignupnodeweb:99.11.9 | 29 Марта, 2026 |
| НПМ | sn3akysnak3-test:1.0.2 | 29 Марта, 2026 |
| НПМ | dial-app-version:9999.0.1 | 29 Марта, 2026 |
| НПМ | dial-app-version:9999.0.3 | 29 Марта, 2026 |
| НПМ | cardreadermgmtserv:99.13.9 | 29 Марта, 2026 |
| НПМ | бизнес-данные:99.13.9 | 29 Марта, 2026 |
| НПМ | f0-state-manager:99.13.9 | 29 Марта, 2026 |
| НПМ | nemo-datadrive:99.13.9 | 29 Марта, 2026 |
| НПМ | merchservicingnodeserv:99.13.9 | 29 Марта, 2026 |
| НПМ | idaasfinancialnodeserv:99.13.9 | 29 Марта, 2026 |
| НПМ | f0-fpti-tracking:99.13.9 | 29 Марта, 2026 |
| НПМ | f0-email-verification:99.13.9 | 29 Марта, 2026 |
| НПМ | специализация по странам: 99.13.9 | 29 Марта, 2026 |
| НПМ | promethios-bridge:2.0.1 | 29 Марта, 2026 |
| НПМ | promethios-bridge:2.1.2 | 29 Марта, 2026 |
| НПМ | promethios-bridge:2.1.5 | 29 Марта, 2026 |
| НПМ | promethios-bridge:2.1.7 | 29 Марта, 2026 |
| НПМ | promethios-bridge:2.1.8 | 30 Марта, 2026 |
| НПМ | bos-decoration-elements:9.0.0 | 30 Марта, 2026 |
| НПМ | promethios-bridge:2.2.0 | 30 Марта, 2026 |
| НПМ | earthengine-api:9.0.0 | 30 Марта, 2026 |
| НПМ | characterai-poc:1.0.0 | 31 Марта, 2026 |
| НПМ | @thiagoemmanuell/unhandledrejection:1.0.0 | 31 Марта, 2026 |
| НПМ | envseed:0.3.14 | 31 Марта, 2026 |
| НПМ | rosud-call:2.4.7 | 31 Марта, 2026 |
| НПМ | envseed:0.3.18 | 31 Марта, 2026 |
| НПМ | insomnia-api:99.0.0 | 31 Марта, 2026 |
| НПМ | moltbook-api-helper:1.0.0 | 02 Апрель, 2026 |
| НПМ | moltbook-health:1.0.11 | 01 Апрель, 2026 |
| НПМ | moltbook-health:1.0.13 | 01 Апрель, 2026 |
| НПМ | strapi-plugin-finseven:3.6.8 | 01 Апрель, 2026 |
| НПМ | romi-bot:0.1.4 | 01 Апрель, 2026 |
| НПМ | heibai:2.1.88-claude.hk-4 | 01 Апрель, 2026 |
| НПМ | nodecheck-health:1.0.0 | 02 Апрель, 2026 |
| НПМ | moltbook-health:1.0.15 | 02 Апрель, 2026 |
| НПМ | moltbook-health:1.0.16 | 02 Апрель, 2026 |
| НПМ | ripio-fn:99.0.0 | 02 Апрель, 2026 |
| НПМ | супер-полезный-омега-пакет-123:0.2.2 | 02 Апрель, 2026 |
| Pypi | ether-account:0.13.7 | 02 Апрель, 2026 |
| НПМ | @aspect-security/argon2:1.0.1 | 02 Апрель, 2026 |
| НПМ | bytefrontier-tracker:99.0.0 | 02 Апрель, 2026 |
| НПМ | bytefrontier-partner:99.0.0 | 02 Апрель, 2026 |
| НПМ | партнер-трекер:99.0.0 | 02 Апрель, 2026 |
| НПМ | vv-ftend-core:99.0.0 | 02 Апрель, 2026 |
| НПМ | vv-ftend-api:99.0.0 | 02 Апрель, 2026 |
| НПМ | chatbotloader:9999.1.0 | 02 Апрель, 2026 |
Защитите свои зависимости с открытым исходным кодом от уязвимостей и вредоносного кода
Минимизируйте риски и защитите свои приложения от вредоносных пакетов с помощью Раннее обнаружение вредоносных программ Xygeni. Расставьте приоритеты и устраните уязвимости, которые имеют наибольшее значение. Наше комплексное решение предлагает мониторинг зависимостей в реальном времени для обнаружения и устранения угроз до того, как они повлияют на ваше программное обеспечение.
Управление компонентами с открытым исходным кодом в современной среде разработки программного обеспечения имеет решающее значение из-за растущего числа уязвимостей и угроз вредоносного кода. Ксигени Open Source Security Решение сканирует и блокирует вредоносные пакеты после публикации, значительно сводя к минимуму риск проникновения вредоносных программ и уязвимостей в ваши системы. Наш комплексный мониторинг охватывает несколько общедоступных реестров, обеспечивая тщательную проверку всех зависимостей на предмет безопасности и целостности. Xygeni расширяет возможности вашей команды поддерживать безопасные и надежные программные проекты за счет контекстуального определения приоритетов критических проблем и упрощения процессов исправления.
Xygeni использует многоуровневые методы для блокировки вредоносного кода до его распространения. Статический анализ кода выявляет шаблоны обфускации, скрытые полезные нагрузки и злоупотребления скриптами. Кроме того, поведенческая песочница анализирует установку hooks, команды времени выполнения и трюки с сохранением. Более того, машинное обучение выявляет вредоносные программы нулевого дня npm и варианты pypi, пропущенные сканерами сигнатур. Наконец, система раннего оповещения отслеживает общедоступные репозитории в режиме реального времени, проверяет результаты и немедленно оповещает команды DevOps.
В результате эта комбинация гарантирует разработчикам быструю и действенную информацию, интегрированную непосредственно в CI/CD рабочих процессов.
Почему разработчикам следует опасаться вредоносных пакетов npm
Современные угрозы редко дожидаются выполнения. Например, вредоносные пакеты npm часто выполняются во время установки, а вредоносные пакеты pypi скрывают утечку токенов или бэкдоры. Злоумышленники:
- Перенесите приватные репозитории GitHub в публичные, чтобы реплицировать их.
- Извлеките учетные данные и секреты, используя зашифрованные данные.
- Используйте запутанные загрузчики JavaScript для развертывания программ-вымогателей или ботнетов.
Фактически, количество вредоносных пакетов с открытым исходным кодом выросло на 156% за год. Поэтому команды, которые полагаются только на отложенные обновления или базовые сканеры, отстают.
Что этот отчет о вредоносных программах отслеживает в npm и PyPI
Этот дайджест является центральным узлом для:
- Подтвержденные вредоносные пакеты npm
- Подтвержденные вредоносные пакеты pypi
- Обнаружение вредоносного кода на основе поведения
- Инциденты, подтвержденные реестром
- Еженедельные и ежемесячные отчеты о вредоносных программах
- История изменений всех обнаруженных вредоносных программ npm и pypi
Другими словами, он предоставляет единую точку отсчёта. Исследовательская группа Xygeni еженедельно обновляет эту страницу, добавляя ссылки на полный технический анализ и IOC на GitHub.
Как защититься от вредоносных пакетов npm и вредоносного ПО PyPI
Из-за этого растущего рискаорганизациям нужна сильная защита:
- Обеспечить установку только файлов блокировки (
npm ci) в CI/CD. - Кроме того, зависимости сканирования предварительно устанавливаются с помощью механизма раннего оповещения Xygeni.
- Кроме того, блок строится на сигналах вредоносного кода, используя Guardrails.
- Создать SBOMдля отслеживания косвенных зависимостей и применения политик.
- Прежде всего, обучите разработчиков выявлять тайпсквоттинг, обфускацию и подозрительные установочные скрипты.
Попробуйте инструменты обнаружения вредоносных программ от Xygeni
Xygeni обеспечивает:
- Обнаружение вредоносного кода в режиме реального времени, включая бэкдоры, шпионское ПО и программы-вымогатели.
- В отличие от обычных сканеров, анализ данных по всему npm, PyPI, Специалист, NuGet, РубиГемсИ многое другое.
- Автоматическая блокировка сборки, если отчет о вредоносном ПО выявляет риск.
- Анализ возможностей эксплуатации, проверка репутации обслуживающей организации и обнаружение аномалий.
