Maanta NPM malware wali way sii socotaa, iyadoo weeraryahannadu ay daabacayaan code xaasidnimo, baakadaha npm xaasidnimo, Iyo Xirmooyinka xaasidnimada leh ee PyPI loogu talagalay in lagu beegsado socodka shaqada horumarinta, CI/CD pipelines, iyo nidaamyada deegaanka ee il furan. Qoraal-xariireed Koodhka Xun waa warbixinta cilmi-baarista ee socota ee Xygeni oo la socota oo xaqiijinaysa xirmooyinka dhabta ah ee xaasidnimada leh ee ku baahsan shm, PyPI, VS Code, Iyo OpenVSX, oo ay ku jiraan albaabada dambe ee la xaqiijiyay, xatooyada xogta, culaysyada lagu saarayo shatiga aqoonsiga, iyo ololeyaal malware ah oo otomaatig ah oo noocyo badan leh.
Kooxdayada cilmi-baarista waxay si joogto ah boggan ugu cusbooneysiisaa natiijooyinka la xaqiijiyay, tilmaamayaasha tanaasulka (IOCs), qaababka habdhaqanka, Iyo falanqaynta farsamoNatiijo ahaan, horumariyayaal, Kooxaha AppSec, iyo injineerada amniga ayaa ka hor mari kara maanta malware-ka npm iyo dhaqdhaqaaqyada xirmada xaasidnimada leh ee soo ifbaxaya ee saameeya silsiladaha sahayda barnaamijyada casriga ah.
NPM Malware Maanta: Soo Koobidda Todobaadlaha ah 24–29 Abriil 2026
Cilmi-baarayaashu waxay xaqiijiyeen 97 xirmooyin xaasidnimo ah inta lagu jiro muddadan diiwaangelinta dadweynaha.
Indha-indheynta Xogta
- Xirmooyinka ugu badan ee la xaqiijiyay waxaa lagu daabacay shm
- Kiisas dheeraad ah oo ay saameysay PyPI, OpenVSX, Iyo laxamiistaha
- Daabacaad xaasidnimo ah oo soo noqnoqda oo ka dhacda qoysaska isku xiran iyo magacyada la xiriira
- Qaabab heer sare ah ama aan caadi ahayn sida 99.x, 99.9.x, Iyo 1.0.x
- Isticmaalka xooggan lacag bixinta iyo bixinta, enterprise-style, abka shabakadda gudaha, Analytics, Aasaaska UI, qalab-sameeye, dulucda daruurta, Iyo qaybaha la xiriira qaababka magac bixinta
- Noocyo badan oo isku-dubarid ah oo loogu talagalay inay u ekaadaan cusbooneysiinta xirmooyinka sharciga ah
Fiiri warbixinta dhammaystiran ee toddobaadlaha ah ee malware-ka →
Warbixinta Malware-ka ee Bishiiba: Xirmooyinka npm ee xaasidnimada leh ee la xaqiijiyay Abriil 2026
Ku soo dhawoow daabacaaddii ugu dambeysay ee Xygeni Xasaasiyadda Koodhka (Daabacaadda Bilaha ah). In April 2026, kooxdayada cilmi-baarista ayaa xaqiijisay in ka badan 250 xirmooyin xaasidnimo ah, gaar ahaan guud ahaan shm, iyadoo kiisas dheeraad ah ay saameeyaan PyPI, VS Code, OpenVSX, iyo Laxamiistaha.
Abriil ma ahayn oo keliya mugga. Mowjadaha daabacaadda ee otomaatiga ku shaqeeya, ololaha sicir bararka nooca gardarrada ah, kooxaynta qoyska ee xirmooyinka, Iyo iska dhigidda qalab gudaha ah, waxaan aragnay qaar ka mid ah qaababka ugu caansan bisha ee daabacaadda xaasidnimada leh ee isku-dubaridka ah:
Qalab gudaha ah oo been abuur ah, xirmooyin mawduucyo AI ah, modules lacag bixin iyo jeegag ah, macaamiisha falanqaynta, qaybaha hore, adeegyada horumariyaha, qalabka Kubernetes iyo daruuraha, kordhinta VS Code iyo OpenVSX, iyo magacyo xirmo oo la aamini karo oo loogu talagalay in lagu daro keenista software-ka dhabta ah pipelines.
Kuwani ma ahayn dhacdooyin fudud oo lagu qorayo qoraallada khaldan. April xogta xogta, waxaanu aragnay qaababka xadgudubka aqoonsiga, Maareynta silsiladda saadka, dib u isticmaalidda namespace-ka ee soo noqnoqda, Iyo Daabacaad xaasidnimo ah oo isku dubaridan loogu talagalay in lagu daro jawi horumariye dhab ah iyo keenista software-ka pipelines.
Guud ahaan xogta guud, waxaan sii wadnay inaan fiirino Daabacaad noocyo badan leh oo qoraal ah, nidaamyada nooca la buunbuuniyay, lacag bixinta- iyo enterprise-magaca mawduuca, Magacyada xirmooyinka ee mawduuca AI- iyo wakiilnimada leh, Iska-dhigidda SDK iyo qaybaha hore, dayashada qalabka gudaha, iyo xeeladaha caadiga ah sida jahawareer ku tiirsanaan iyo faaruqinta xogta.
Warbixintani waa qayb ka mid ah barnaamijkayaga socda Qoraal-xariireed Koodhka Xun, halkaas oo aan ku xaqiijinno hanjabaado cusub oo aan bixinno garaadka la fulin karo in la caawiyo Kooxaha DevSecOps ka hor joogso khatarta silsiladda sahayda software-ka.
| deegaanka | Xidhmada | Taariikhda |
|---|---|---|
| shm | calaamadeysan:99.1.10 | Apr 27, 2026 |
| pypi | iswaafajinta deegaanka-moonbit: 0.2.3 | Apr 27, 2026 |
| shm | @alfa.life.mapp/app.web:99.0.13 | Apr 27, 2026 |
| shm | @sbt_gitverse/analytics-client:99.0.1 | Apr 27, 2026 |
| shm | @frengki0707/google-cloud-clone:1.33.1 | Apr 27, 2026 |
| shm | @alfa.life.mapp/app.web:99.0.14 | Apr 27, 2026 |
| shm | @tochka-ui/aasaas:99.0.2 | Apr 27, 2026 |
| openvsx | dhididka/ubel: 0.1.0 | Apr 28, 2026 |
| shm | @2011-08-19/n:99.9.9 | Apr 28, 2026 |
| shm | @frengki0707/google-cloud-clone:1.38.0 | Apr 27, 2026 |
Sida aan u Ogaano Koodhka Xasaasiyadda ah ee ku jira Malware-ka npm iyo PyPI Malware
Xygeni wuxuu adeegsadaa farsamooyin badan oo lakab leh si uu u joojiyo koodhka xaasidnimada ah ka hor inta uusan faafin. Marka hore, falanqaynta koodhka joogtada ah waxay ogaataa qaababka qarsoon, culaysyada qarsoon, iyo xadgudubka qoraalka. Intaa waxaa dheer, sanduuqa sandboxing-ka dhaqanka wuxuu falanqeeyaa rakibidda. hooks, amarrada wakhtiga socodsiinta, iyo tabaha adkeysiga. Intaa waxaa dheer, ogaanshaha barashada mashiinka wuxuu aqoonsadaa noocyada malware-ka npm ee eber-day iyo malware-ka pypi ee ay seegeen scanners-ka saxiixa. Ugu dambeyntii, Nidaamka Digniinta Hore wuxuu la socdaa kaydka dadweynaha waqtiga dhabta ah, wuxuu xaqiijiyaa natiijooyinka, wuxuuna isla markiiba u digaa kooxaha DevOps.
Natiijo ahaan, isku-darkaani wuxuu hubinayaa in horumariyayaashu ay helaan sirdoon degdeg ah oo wax ku ool ah oo si toos ah loogu dhex daray CI/CD shaqeynaya.
Sababta ay Horumariyayaashu u Daneeyaan Xirmooyinka NPM ee Xun
Hanjabaadaha casriga ah si dhif ah ayay u sugaan waqtiga socodsiinta. Tusaale ahaan, xirmooyinka npm ee xaasidnimada leh badanaa way shaqeeyaan inta lagu jiro rakibidda, halka xirmooyinka xaasidnimada leh ee pypi ay qariyaan nadiifinta calaamadaha ama albaabada dambe. Weeraryahannada:
- U rog kaydadka gaarka ah ee GitHub dadweynaha si aad ugu daydo.
- Shaandhee aqoonsiga iyo siraha adoo isticmaalaya culaysyo la codeeyay.
- Isticmaal kuwa JavaScript ee qarsoon si aad u rakibto ransomware ama botnets.
Xaqiiqdii, xirmooyinka furan ee xaasidnimada leh ayaa kor u kacay 156% hal sano gudaheed. Sidaa darteed, kooxaha ku tiirsan quudinta dib u dhaca ama iskaanka aasaasiga ah ayaa dib u dhacaya.
Waxa Warbixintan Malware-ka ay ku socoto npm iyo PyPI
Qodob-warbixineedkan waa xudunta ugu muhiimsan:
- Xirmooyinka npm ee xaasidnimada leh ee la xaqiijiyay
- Xirmooyinka xaasidnimada leh ee pypi ee la xaqiijiyay
- Ogaanshaha ku salaysan dhaqanka ee koodhka xaasidnimada leh
- Dhacdooyinka la xaqiijiyay ee diiwaangelinta
- Soo koobidda warbixinta malware-ka ee toddobaadlaha iyo bilaha ah
- Isbeddel taariikhi ah oo ku saabsan dhammaan natiijooyinka npm malware iyo pypi malware
Si kale haddii loo dhigo, waxay bixisaa hal dhibic oo tixraac ah. Kooxda cilmi-baarista ee Xygeni waxay boggan ku cusbooneysiisaa toddobaadle iyadoo la adeegsanayo xiriiriyeyaasha falanqaynta farsamada oo dhammaystiran iyo IOC-yada GitHub.
Sida Looga Ilaaliyo Xirmooyinka NPM ee Xasaasiyadda Leh iyo Malware-ka PyPI
Khatarta sii kordheysa awgeed, ururadu waxay u baahan yihiin wax ka badan hubinta ku tiirsanaanta aasaasiga ah. Difaacyo xooggan oo ka dhan ah xirmooyinka npm ee xaasidnimada leh iyo xirmooyinka xaasidnimada leh ee pypi waxay u baahan yihiin xakamaynta ka hortagga iyo fulinta waqtiga socodsiinta labadaba:
Ku dhaqan geli rakibaadda faylka qufulka oo keliya ee ka dhanka ah Xirmooyinka npm ee xaasidnimada leh
Isticmaal npm ci or pip install --require-hashes in CI/CD.
Tani waxay hubineysaa in la isticmaalo geedka saxda ah ee ku tiirsanaanta ee lagu qeexay faylasha qufulka. Natiijo ahaan, kuwa wax weerara ma geli karaan noocyada wax laga beddelay ama kuwa aan saxda ahayn ee xirmooyinka npm ee xaasidnimada leh.
Kahor rakibida Sawirka NPM Malware iyo PyPI Malware
Isku-darka Mashiinka Digniinta Hore ee Xygeni si aad u sawirto malware-ka npm iyo malware-ka pypi ka hor inta aysan xirmooyinka soo gaarin deegaankaaga.
Intaa waxaa dheer, ogaaw shakiga postinstall qoraallada, kuwa la qariyay, ama URL-yada C2 ee adag.
Guardrails si loo joojiyo dhismayaasha iyadoo la adeegsanayo koodka xaasidnimada leh
set guardrails si toos ah ayuu u burburaa haddii la ogaado xirmooyinka npm ee xaasidnimada leh ama xirmooyinka xaasidnimada leh ee pypi.
Tusaale ahaan, jebinta dhismooyinka baakadaha leh kuwa aan la daabicin, qaababka qarinta, ama isku-dhafka IOC. Sidaas darteed, koodka xaasidnimada ah waligiis lama ogaan karo.
Abuur oo Xaqiiji SBOMXirmooyinka npm ee ka dhanka ah xaasidnimada iyo PyPI Malware
Abuur SBOMs (CycloneDX, SPDX) dhisme kasta.
Kadib, isbarbardhig xirmooyinka npm ee xaasidnimada leh iyo quudinta malware-ka pypi si aad ula socoto ku-tiirsanaanta tooska ah iyo tan ku-meel-gaarka ah labadaba.
Ilaalinta Aqoonsiga iyo Calaamadaha laga helo Malware-ka npm iyo PyPI Malware-ka
Baakado badan oo npm xaasidnimo ah ayaa isku dayaya inay akhriyaan .npmrc, .pypirc, ama doorsoomayaasha deegaanka.
Sidaa darteed, ku socodsii dhismayaasha weelal adag oo sir yar la soo bandhigay. Intaa waxaa dheer, isticmaal maamulayaasha sirta halkii aad ka isticmaali lahayd doorsoomayaasha deegaanka si aad u joojiso xadgudubka koodhka xaasidnimada leh.
La soco Isbeddellada Diiwaangelinta iyo Hagaha ee Xirmooyinka npm ee Xun
Weeraryahannadu waxay inta badan afduubtaan mashaariicda la dayacay.
Gaar ahaan, fiiro gaar ah u yeelo is-weydaarsiga degdega ah ee ilaaliyayaasha, boodboodka aan caadiga ahayn ee nooca, ama daabacaad xad-dhaaf ah oo ku jira malware-ka npm iyo xirmooyinka xaasidnimada leh ee pypi.
Tababar Horumariye oo ku saabsan Ogaanshaha Koodhka Xun ee npm iyo PyPI
Bar kooxaha inay gartaan calamada cas sida:
- Magacyada xirmooyinka oo leh khaladaad qoraal ah (
reqeusthalkiirequest). - aan caadi ahayn
installorprepareqoraallada. - Dhawaan la sameeyay xirmooyin leh tirooyin nooc ah oo shaki laga qabo oo sarreeya.
Intaa waxaa dheer, wacyigelintani waxay kaa caawineysaa inaad goor hore ogaato koodka xaasidnimada leh.
Ogaanshaha Khaladaadka Runtime ee Xirmooyinka npm ee Xasaasiyadda leh iyo Malware-ka PyPI
Xitaa haddii malware-ku uu ka gudbo hubinta joogtada ah, ogaanshaha waqtiga socodsiinta ayaa lagu sameeyaa CI/CD qaban karo:
- Xidhiidhada shabakada ee aan la filayn.
- Wax ka beddelka nidaamka faylka ee ka baxsan tusmooyinka la filayo.
- Isku dayada joogtada ah ee shaqooyinka oo dhan.
Ugu dambeyntii, tani waxay hubineysaa in hanjabaadaha npm malware iyo pypi malware la joojiyo xitaa ka dib rakibidda.
Iyagoo isku daraya kontarooladan, kooxuhu waxay ka hortagaan xirmooyinka npm ee xaasidnimada leh iyo xirmooyinka xaasidnimada leh ee pypi inay waligood gaaraan wax soo saar pipelines.
Isku day Qalabka Ogaanshaha Malware-ka ee Xygeni
Xygeni wuxuu bixiyaa:
- Ogaanshaha waqtiga dhabta ah ee koodhka xaasidnimada leh, oo ay ku jiraan albaabada dambe, basaasiinta, iyo ransomware.
- Marka la barbardhigo iskaan-gareeyayaasha aasaasiga ah, falanqaynta npm, PyPI, Maven, NuGet, RubyGems, iyo in ka badan.
- Xayiraadda dhismaha ee otomaatiga ah marka warbixinta malware-ka ay aqoonsato khatarta.
- Aragtiyo ku saabsan isticmaalka daroogada, hubinta sumcadda shaqaalaha, iyo ogaanshaha cilladaha.
joog Ka Warqab
Kooxdayadu waxay boggan cusbooneysiisaa toddobaad kasta. Si aad u hesho digniino iyo warbixinno faahfaahsan:
- Ku soo biir our Newsletter
- Raac @XygeniSecurity ku xiran Linkedin
- Calaamadee boggan si aad ula socoto wixii ugu dambeeyay npm malware iyo pypi malware hanjabaad
