زائيگيني ميليشيئس ڪوڊ ڊائجسٽ جي جولاءِ جي ايڊيشن ۾ ڀليڪار. هن مهيني، اسان جي سيڪيورٽي ريسرچ ٽيم npm، PyPI، ۽ OpenVSX (VS ڪوڊ ايڪسٽينشن مارڪيٽ پليس) ۾ 780 کان وڌيڪ خراب پيڪيجز جي تصديق ڪئي، جيڪي پنجن هفتيوار ڊائجسٽ ۾ ٽريڪ ڪيا ويا..
جولاءِ جي تعريف ٽن ڪنورجنگ رجحانن سان ڪئي وئي: مسلسل، وڏي مقدار ۾ ورزن-فلڊنگ مهمون جيڪي ٽيڪ ڊائونز کي ختم ڪرڻ لاءِ ٺهيل هيون؛ اي آءِ ٽولنگ، ايم سي پي سرورز، ۽ ايجنٽ ورڪ فلوز کي نشانو بڻائيندڙ حملن ۾ تيز واڌ؛ ۽ ٻنهي جي خلاف مربوط انحصار-مونجهارو مهمون. enterprise نيم اسپيس ۽ ڪرپٽو/ڊي فائي ايڪو سسٽم.
هن مهيني ۾ دستاويز ڪيل سڀ کان وڌيڪ قابل ذڪر مهمن مان:
bingo-aiPyPI تي ٻه ڀيرا ٻيهر ظاهر ٿيو، رجسٽري کي ٻن برسٽن (13 جولاءِ ۽ 21 جولاءِ) ۾ 150 کان وڌيڪ نسخن سان ڀريو، تصديق ڪئي ته هي هڪ جاري آپريشن آهي، هڪ ڀيرو نه.zevairouterجولاءِ جي سڀ کان وڏي سنگل پيڪيج مهم بڻجي وئي: npm ۾ 65 کان وڌيڪ ورجن، 25-28 جولاءِ تائين مسلسل شايع ٿيا.gcli-control، ونڊوز RAT اسان تفصيل سان پروفائل ڪيو جيڪو پنهنجي C2 کي npoint.io ذريعي روٽ ڪري ٿو، ٽن الڳ الڳ هفتن ۾ ورجن 0.1.0 کان 0.13.0 تائين وڌي ويو.@szc-ft/mcp-szcd-client، پويان پيڪيج اسڪل لِيڪ، هڪ بنڊل ايم سي پي مهارت ذريعي پهچائيندڙ هڪ سندي ڊيڪرپٽر تي اسان جي لکڻ جي تصديق 2 جولاءِ تي ڪئي وئي.- 7 جولاءِ جو هفتو مهيني جو سڀ کان ڳرو AI-ٽولنگ ٽارگيٽنگ کڻي آيو:
mcp-server-pg,anthropic-toolkit,openai-agents-helpers,ollama-helpers، ۽@langgraphjs/toolkit، ايم سي پي، اينٿروپڪ، اوپن اي آءِ، اولما، ۽ لينگ گراف جي نقل ڪندي. - هڪ 17-پيڪيج PayPal امپرسنيشن ڪلسٽر 27 جولاءِ تي npm تي آيو، سڀ ڪجهه منٽن اندر ورجن 28.0.0 تي.
@wagni_bot، تقريبن 60 npm پيڪيجز جيڪي crypto wallet SDKs (Ethereum، Solana، Binance، ۽ وڌيڪ) جي نقل ڪن ٿا، سڀ هڪ ئي ڏينهن ۾، 10 جولاءِ تي شايع ٿيا.- اوپن وي ايس ايڪس تي هڪ درجن کان وڌيڪ جعلي وي ايس ڪوڊ ايڪسٽينشن سامهون آيا آهن، جيڪي تصديق ڪن ٿا ته حملي آور پيڪيج رجسٽري کان ٻاهر IDE ۾ به وڌي رهيا آهن.
جولاءِ جو واضح نمونو: حملا وڌندڙ طور تي AI ايجنٽن ۽ خودڪار ٽولنگ کي نشانو بڻائين ٿا جيڪي پيڪيجز انسٽال ڪن ٿا بغير ڪنهن انساني نظرثاني ڪندڙ جي، هڪ اشاعت جي رفتار تي جيڪو دستي جائزي کان اڳتي وڌڻ لاءِ ٺاهيو ويو آهي.
هيٺ اسان کي جيڪو مليو ان جو خلاصو آهي. توهان پنجن هفتن جي ظاهر ڪيل ڊيٽا کي مڪمل تفصيل سان ڏسي سگهو ٿا خراب ڪوڊ ڊائجسٽ انڊيڪس.
هفتو پهريون: 180 کان وڌيڪ پيڪيجز دريافت ٿيا
هفتو پهريون: 165 کان وڌيڪ پيڪيجز دريافت ٿيا
هفتو پهريون: 145 کان وڌيڪ پيڪيجز دريافت ٿيا
هفتو پهريون: 200 کان وڌيڪ پيڪيجز دريافت ٿيا
هفتو پهريون: 90 کان وڌيڪ پيڪيجز دريافت ٿيا
ورجن اسٽارمز کان وٺي اي آءِ جي نقالي تائين: جولاءِ جي سپلائي چين حملي ڇا ظاهر ڪن ٿا
مٿي ڏنل مهمون ايج ڪيس نه آهن، اهي هاڻي بنيادي آهن. ورجن-سيلڊنگ طوفان، هم آهنگ نقالي ڊراپس، ۽ AI-ٽولنگ جهڙا ماڻهو حقيقي طور تي حقيقي ٽيمن کي ماري رهيا آهن. SDLCهر هفتي، اڪثر ڪري اشاعت ۽ انسٽاليشن جي وچ ۾ ڪو به انسان نه هوندو آهي.
زائيگيني جو مالويئر جي ڳولا ۽ sاپ سپلائي چين سيڪيورٽي پليٽ فارم تنظيمن کي ڊولپر مشين تي عمل ڪرڻ، بلڊ سسٽم ۾ داخل ٿيڻ، يا پيداوار تائين پهچڻ کان اڳ خراب انحصار کي پڪڙڻ جي نمائش ڏئي ٿي. ڪوريج npm، PyPI، OpenVSX، ۽ ان کان ٻاهر تائين پکڙيل آهي، مشڪوڪ اشاعت جي نمونن، نيم اسپيس جي غلط استعمال، ٽائپوسڪوٽنگ، ۽ AI-مقامي حملي جي طريقن جي نگراني جيئن اهي ظاهر ٿين ٿا.
هر ڳولا کي خود بخود استحصال، رسائي، ۽ ڪاروباري اثر جي لحاظ کان ترجيح ڏني ويندي آهي، تنهنڪري توهان جي ٽيم ان ڳالهه تي ڌيان ڏئي ٿي ته اصل ۾ ڪهڙي شيءِ کي درست ڪرڻ جي ضرورت آهي، شور جي نه.
زائيگيني سيڪيورٽي ٽيم پاران تصديق ٿيل هر خراب پيڪيج ۽ مهم جي ڳولا ڪريو خراب ڪوڊ ڊائجسٽ.
محفوظ رهو. تيز رهو. زائيگيني سان ڪنٽرول ۾ رهو.
