Npm malware i le asō o loʻo faʻaauau pea ona alualu i luma, faʻatasi ai ma le lolomiina e le au osofaʻi code leaga, afifi npm leaga, ma Afifi leaga a le PyPI ua mamanuina e faʻatatau i auala faʻatino o atinaʻe, CI/CD pipelines, ma faiga fa'avae tatala-punaoa. O le Fa'amatalaga o Tulafono Fa'aleaga o le lipoti suʻesuʻega faifai pea a Xygeni lea e siaki ma faʻamaonia ai afifi leaga moni i totonu npm, PyPI, VS Code, ma TatalaVSX, e aofia ai faitoto'a i tua ua fa'amaonia, tagata gaoi fa'amaumauga, uta o fa'amaumauga e aveese ai fa'amaoniga, ma taumafaiga fa'akomepiuta fa'apolopolotika eseese.
E fa'afouina pea e le matou 'au su'esu'e lenei itulau i taimi uma ma fa'amaumauga ua fa'amaonia, fa'ailoga o le fa'aletonu (IOCs), amioga, ma iloiloga faapitoa. O le iʻuga, o le au atiaʻe, 'Au a le AppSec, ma e mafai e inisinia saogalemu ona muamua atu i le npm malware i le asō ma gaioiga leaga o afifi o loʻo aʻafia ai le sapalai o polokalama faakomepiuta faʻaonaponei.
NPM Malware i le Aso: Aotelega Faalevaiaso 24–29 Aperila 2026
Na faʻamaonia e le au suʻesuʻe 97 afifi leaga i totonu o resitala a le lautele i le taimi lea.
Mata'ituina o fa'amaumauga
- O le tele o afifi ua fa'amaonia na lolomiina i npm
- Isi mataupu ua a'afia PyPI, TatalaVSX, ma fatupese
- Fa'asalalauina fa'asolosolo o fa'amatalaga leaga i totonu o aiga lava e tasi o afifi ma igoa e feso'ota'i i ai
- O mamanu fa'ata'ita'iga maualuga pe ese'ese e pei o 99.x, 99.9.x, ma 1.0.x
- Fa'aaogāina malosi o totogi ma le totogiina, enterprise-siili, polokalama uepi i totonu, analytics, Fa'avae o le UI, meafaigaluega a le tagata atia'e, fa'atatau i le ao, ma e feso'ota'i ma vaega mamanu fa'aigoaina
- O le tele o fa'asologa fa'atasi ua mamanuina e foliga tutusa ma fa'afouga afifi fa'atulafonoina
Lipoti Fa'alemasina o Polokalama Fa'aleaga: Afifi npm Fa'amaonia Leaga ia Aperila 2026
Susū mai i le lomiga aupito lata mai o le Fa'amatalaga o le Xygeni Malicious Code (Lomiga Fa'alemasina), i Aperila 2026, na faʻamaonia e le matou 'au suʻesuʻe e silia ma le 250 afifi leaga, aemaise lava i luga o npm, faatasi ai ma isi mataupu e aafia ai PyPI, VS Code, OpenVSX, ma le Composer.
E le gata na o le tele o mea na tutupu ia Aperila. Faatasi ai ma galu lolomi e fa'aautomatika, tauvaga fa'ateleina o le tau o oloa, fa'aputuga o aiga afifi, ma fa'ata'ita'iga o meafaigaluega i totonu, na matou matauina nisi o mamanu sili ona iloga o le masina i lomiga fa'aleaga fa'atasi i:
meafaigaluega fa'alotoifale pepelo, afifi fa'apitoa AI, vaega o totogi ma siaki, tagata fa'atau au'ili'ili, vaega pito i luma, mea fa'aoga a le au atina'e, Kubernetes ma meafaigaluega ao, fa'aopoopoga VS Code ma OpenVSX, ma igoa fa'apipi'i fa'atuatuaina e pei o se ituaiga ua mamanuina e fa'afefiloi i le tu'uina atu moni o polokalama faakomepiuta pipelines.
E le na o ni mea faigofie nei o le fa'aletonu o le taina o upu. I le lautele atoa Apelila fa'amaumauga, na matou matauina mamanu o le fa'aaogaina sese o tusipasi, faiga fa'a'ole'ole o le sapalai, toe fa'aaogāina soo o le namespace, ma lomiga fa'atupu fa'alavelave fa'atasi ua mamanuina e fa'afefiloi i siosiomaga moni a le au atina'e ma le tu'uina atu o polokalama faakomepiuta pipelines.
I le tele o faʻamaumauga lautele, sa matou faʻaauau pea ona matauina lomiga fa'asolosolo ua tusia, fuafuaga fa'aliliuina fa'ateleina, totogi- ma enterprisefaaigoaina -fa'aupuga autu, Igoa o afifi e fa'atatau i le AI ma le sooupu, Fa'ata'ita'iga o le SDK ma le vaega pito i luma, fa'ata'ita'iga o meafaigaluega i totonu, ma togafiti masani e pei o fenumiai o le faalagolago ma fa'amuta fa'amatalaga.
O lenei lipoti o se vaega o la matou lipoti faifaipea. Fa'amatalaga o Tulafono Fa'aleaga, lea matou te faʻamaonia ai ni taufaʻamataʻu fou ma tuʻuina atu atamai faatino e fesoasoani 'Au a le DevSecOps ia muamua i tulaga lamatia filifili filifili polokalama.
| Ecosystem | afī | aso |
|---|---|---|
| npm | pa-fa'ailogaina:99.1.10 | Ape 27, 2026 |
| pypi | moonbit-locale-compat:0.2.3 | Ape 27, 2026 |
| npm | @alfa.life.mapp/app.web:99.0.13 | Ape 27, 2026 |
| npm | @sbt_gitverse/analytics-client:99.0.1 | Ape 27, 2026 |
| npm | @frengki0707/google-cloud-clone:1.33.1 | Ape 27, 2026 |
| npm | @alfa.life.mapp/app.web:99.0.14 | Ape 27, 2026 |
| npm | @tochka-ui/faavae:99.0.2 | Ape 27, 2026 |
| tatalavsx | arcane-spark/ubel:0.1.0 | Ape 28, 2026 |
| npm | @2011-08-19/n:99.9.9 | Ape 28, 2026 |
| npm | @frengki0707/google-cloud-clone:1.38.0 | Ape 27, 2026 |
Auala Matou te Iloa ai Tulafono Malie i le npm Malware ma le PyPI Malware
E faʻaaogaina e Xygeni ni metotia e tele vaega e taofi ai le code leaga aʻo leʻi salalau atu. Muamua lava, o le suʻesuʻega o le code tumau e iloa ai mamanu o le faʻalavelaveina, uta natia, ma le faʻaaogaina sese o tusitusiga. E le gata i lea, o le suʻesuʻega o le behavioral sandboxing e faʻapipiʻi hooks, poloaiga fa'atino, ma togafiti fa'atumauina. E le gata i lea, o le iloa o le masini a'oa'oina e fa'ailoa ai le zero-day npm malware ma pypi malware variants na misia e saini scanners. Ma le mea mulimuli, o le Early Warning System e mata'ituina nofoaga teu oloa lautele i le taimi moni, fa'amaonia mea na maua, ma fa'ailoa vave 'au a DevOps.
O le iʻuga, o lenei tuʻufaʻatasiga e faʻamautinoa ai e maua e le au atiaʻe ni faʻamatalaga vave ma aoga e tuʻufaʻatasia saʻo i totonu CI/CD fagasologa.
Aiseā e Tatau ai i Tagata Atiina Aʻe ona Popole i Afifi npm Malie
E seasea ona faʻatali ni taufaʻamataʻu faʻaonaponei mo le taimi e faʻagaoioia ai. Mo se faʻataʻitaʻiga, o afifi leaga npm e masani ona faʻatinoina i le taimi o le faʻapipiʻiina, ae o afifi leaga pypi e natia ai le faʻaaogaina o le token poʻo backdoors. O ē osofaʻia:
- Liliu le nofoaga tumaoti o le GitHub i le nofoaga faitele e toe faia ai ni kopi.
- Fa'asa'o fa'amatalaga ma mea lilo e ala i le fa'aaogaina o uta ua fa'ailogaina.
- Faaaoga ni JavaScript loaders ua fa'alilolilo e fa'atino ai ransomware po'o botnets.
O le mea moni, o afifi tatala-punaoa leaga na si'itia i le 156% i le tausaga e tasi. O le mea lea, o 'au e fa'alagolago na'o fafaga tuai po'o masini su'esu'e masani e tuai.
O le a le mea o loʻo siaki e lenei lipoti o polokalama faʻaleagaina i le npm ma le PyPI
O lenei fa'amatalaga autū o le autū lea mo:
- Afifi npm leaga ua fa'amaonia
- Afifi leaga pypi ua fa'amaonia
- Iloaina o tulafono leaga e faʻavae i amioga
- Mea na tutupu ua faamaonia e le resitala
- Aotelega o lipoti o polokalame leaga i vaiaso taʻitasi ma masina taʻitasi
- Suiga fa'asolopito o su'esu'ega uma o malware npm ma pypi malware
I se isi faaupuga, e maua ai se fa'asinomaga e tasi. O le 'au su'esu'e i Xygeni e fa'afouina lenei itulau i vaiaso ta'itasi fa'atasi ai ma so'otaga i au'ili'iliga fa'apitoa atoa ma GitHub IOCs.
Auala e Puipuia ai Mai Afifi npm Malie ma PyPI Malware
Ona o lenei tulaga lamatia ua faatupulaia, e manaʻomia e faʻalapotopotoga ni mea e sili atu nai lo na o siaki faʻalagolago masani. O puipuiga malolosi faasaga i afifi leaga npm ma afifi leaga pypi e manaʻomia ai pulega puipuia ma le faʻamalosia o le taimi e faʻatino ai:
Fa'amalosia Fa'apipi'iga e na'o le Lockfile e Fa'asaga i Afifi npm Malicious
faʻaaogā npm ci or pip install --require-hashes in CI/CD.
O lenei mea e faʻamautinoa ai o loʻo faʻaaogaina le laʻau faʻalagolago tonu o loʻo faʻamatalaina i totonu o faila loka. O le iʻuga, e le mafai e tagata osofaʻi ona faʻaofi ni faʻaliliuga ua suia pe sese i le faʻaaogaina o ni faʻaliliuga o afifi npm leaga.
Su'esu'ega Muamua mo le npm Malware ma le PyPI Malware
Fa'afeso'ota'i le Xygeni's Early Warning Engine e su'esu'e ai le npm malware ma le pypi malware a'o le'i o'o atu afifi i lau siosiomaga.
E le gata i lea, ia iloa ai mea e masalomia postinstall tusitusiga, uta fa'alilolilo, po'o URL C2 ua fa'ailogaina.
Guardrails e Poloka ai Fausiaga i Tulafono Malie
aotelega guardrails o le toilalo e otometi lava ona fausia pe a iloa ni afifi leaga npm poʻo ni afifi leaga pypi.
Mo se faʻataʻitaʻiga, o le break e fausia i luga o afifi ma ni tagata e leʻi lolomiina, ni mamanu o le obfuscation, poʻo ni IOC e fetaui. O le mea lea, e le mafai ona misia le code leaga.
Fausia ma Fa'amaonia SBOMs Faasaga i Afifi npm Malicious ma PyPI Malware
faia SBOMs (CycloneDX, SPDX) mo fausaga taʻitasi.
Mulimuli ane, faatusatusa i afifi npm leaga ua iloa ma pypi malware feeds e siaki ai faalagolago tuusao ma faalagolago fesuiai.
Puipuiga o Fa'amaoniga ma Token mai le npm Malware ma le PyPI Malware
E tele afifi npm leaga e taumafai e faitau .npmrc, .pypirc, po'o fesuia'iga o le siosiomaga.
O le mea lea, fa'atino ni fa'atulagaga fa'aopoopo i totonu o koneteina ua fa'ama'a'aina ma e itiiti lava ni mea lilo e fa'aalia. E le gata i lea, fa'aaoga pule o mea lilo nai lo fesuia'iga o le siosiomaga e poloka ai le fa'aaogaina sese o tulafono leaga.
Mata'ituina Suiga o le Resitala ma le Tausiga i Afifi npm Malicious
E masani ona faoa e le au osofa'i galuega faatino ua tuulafoa'iina.
Aemaise lava, ia mataala mo fesuia'iga fa'afuase'i o le maintainer, oso fa'afuase'i o lomiga, po'o le tele naua o lomiga i totonu o le npm malware ma pypi malicious packages.
A'oa'oga a le Tagata Atiina'e i le Iloaina o Tulafono Fa'aleaga i le npm ma le PyPI
Aoao 'au e iloa fu'a mumu e pei o:
- Igoa o afifi e iai ni sese i le fa'aaogaina (
reqeustnai lo lerequest). - ese
installorpreparetusitusiga. - Afifi na faatoa faia talu ai nei ma numera o lomiga e masalomia le maualuga tele.
Ae sili i lo mea uma, o lenei iloa e fesoasoani e vave iloa ai polokalame leaga.
Iloa o le Runtime Anomaly mo Afifi npm leaga ma le PyPI Malware
E tusa lava pe pasia e le malware siaki tumau, o le iloa o le taimi e fa'agaoioia ai CI/CD mafai ona pu'eina:
- Feso'ota'iga feso'ota'iga e le'i fa'amoemoeina.
- Suiga o le faiga o faila i fafo atu o faʻasinomaga e faʻamoemoeina.
- Taumafaiga faifai pea i galuega eseese.
Ma le mea mulimuli, o lenei mea e faʻamautinoa ai ua taofia le faʻamataʻu mai le npm malware ma le pypi malware tusa lava pe ua uma ona faʻapipiʻiina.
I le tuʻufaʻatasia o nei pulega, e puipuia ai e 'au ni afifi leaga o le npm ma ni afifi leaga o le pypi mai le oʻo atu i le gaosiga. pipelines.
Fa'ata'ita'i Meafaigaluega e Iloa ai Polokalama Fa'aleaga a Xygeni
E tuʻuina atu e Xygeni:
- Iloa i le taimi moni o polokalame leaga, e aofia ai backdoors, spyware, ma ransomware.
- E ese mai i masini su'esu'e masani, o le au'ili'iliga i le npm, PyPI, Maven, NuGet, RubyGems, ma isi mea.
- Poloka fa'atekonolosi pe a fa'ailoa mai e le lipoti o polokalama fa'apolopolo le lamatiaga.
- Malamalamaaga i le fa'aogaina sese, siakiina o le igoa ta'uleleia o le tagata tausi, ma le iloa o mea sese.
Tumau le iloa
E fa'afouina e le matou 'au lenei itulau i vaiaso ta'itasi. Ina ia maua ni fa'ailoilo ma ni lipoti auiliili:
- Faʻamolemole ia i matou Newsletter
- mulimuli @XygeniSecurity i luga ole Linkin
- Fa'ailoga lenei itulau e siaki ai mea aupito lata mai polokalame fa'aeletoronika npm ma pypi malware taufaamatau
