Wilujeng sumping ka Édisi Juni tina Ringkesan Kodeu Malicious XygeniBulan ieu, tim panalungtikan kaamanan kami mastikeun langkung ti 645 pakét jahat di sakuliah npm, PyPI, sareng (pikeun kahiji kalina) pasar éksténsi VSCode.
Juni ditetepkeun ku tilu tren anu konvergen: kampanye banjir vérsi anu terus-terusan anu dirancang pikeun tahan langkung lami tibatan daptar blok, akselerasi anu seukeut dina serangan anu narékahan alur kerja pamekaran alat AI sareng agén, sareng serangan kabingungan dependensi anu terkoordinasi ngalawan namespaces monorepo internal.
Di antara kampanye anu paling kasohor anu didokumentasikeun bulan ieu:
- sensitivitas ngabanjiran npm ku leuwih ti 70 vérsi dina rentang 2.5.x, kampanye nyingkahan anu terus-terusan diterbitkeun deui sacara kontinyu pikeun tetep payuneun takedowns.
- A kampanye typosquat Solana dua gelombang (7–8 Juni) medalkeun 15 pakét anu nirukeun
@solana-labsparabot ékosistem, anu narékahan sacara langsung ka pamekar Web3 sareng DeFi. - houzidawang806 nyumbang langkung ti 25 vérsi dina hiji dinten (13 Juni), digabungkeun ku metrik-pipeline-d8k2 diterbitkeun deui dina 21 vérsi antara 15–18 Juni.
- nu Kabingungan CryptoDAO kampanye (17 Juni) medalkeun 11 pakét dina vérsi 99.99.99, masing-masing mawa panyapuan muatan pasca-instalasi anu sami CI/CD token, kredensial awan, sareng rahasia dompét kripto.
- Minggu tanggal 20–26 Juni mawa targeting tooling AI anu paling terkonsentrasi dina sasih ieu: ollama-helpers (20 vérsi), agén-openai-anu-anu ngabantosan (23 vérsi), monoklauda, ai-sdk-helpers, sarta @langgraphjs/toolkit, sadayana dikonfirmasi dina saminggu, langsung narékahan Ollama, OpenAI agents SDK, LangGraph, sareng integrasi API Claude.
- Dua dikonfirmasi éksténsi VSCode jahat muncul bulan ieu, nunjukkeun yén panyerang nuju ngalegaan saluareun pendaptaran pakét kana lingkungan pamekar éta sorangan.
Pola anu nangtukeun bulan Juni: serangan pindah kana éksténsi IDE, pakakas agén AI, sareng alur kerja agén dimana pakét jahat anu dipasang sacara mandiri teu gaduh pangulas manusa antara inféksi sareng palaksanaan.
Apdet bulanan ieu mangrupikeun bagian tina inisiatif panalungtikan ancaman malware sareng ranté suplai Xygeni anu terus-terusan. Pikeun kontéks lengkep pikeun unggal pakét jahat anu dikonfirmasi bulan ieu, mangga tingali Ringkesan Kodeu Malicious Juni lengkep sareng panalungtikan anu aya hubunganana ti Tim Kaamanan Xygeni.
Minggu ka-4: Leuwih ti 201 Pakét Kapanggih
| ékosistem | paket | tanggal |
|---|---|---|
| Juni 20, 2026 | ||
| npm | panrouter:5.0.2 + 30 vérsi dina rentang 5.x–6.x nepi ka 22 Juni — kampanye dominan minggu ieu | Jun 20, 2026 |
| npm | trimpront:1.0.5 + 4 vérsi — tuluyan ti minggu kamari, masih aktip | Jun 20, 2026 |
| npm | monoklaude:1.0.1 + 2 vérsi — paniruan pakakas API Claude | Jun 20, 2026 |
| vscode | program-pasangan-orbit-agén-pikeun-smalltalk:1.206.0 + 1 vérsi — éksténsi VSCode jahat anu narékahan pamekaran agéntik | Jun 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Nirukeun ngaran rohangan platform bumi pinter | Jun 20, 2026 |
| Juni 21, 2026 | ||
| npm | atlasora-dibagikeun:1.0.0 + 6 pakét — kabingungan katergantungan monorepo anu dikoordinasikeun: atlasora-api, -client, -sdk, -types, -utils, -config | Jun 21, 2026 |
| npm | apintergrationpost:4.0.2 + 6 vérsi — salah éjahan anu disengaja dina alat integrasi target kampanye | Jun 21, 2026 |
| npm | aplikasi-llm-traces:1.0.1 Pakakas observasi LLM anu ditujukeun | Jun 21, 2026 |
| pypi | d0rk3r-telemetri:1.0.0 Pakét telemetri anu dikaburkan dina PyPI | Jun 21, 2026 |
| Juni 22, 2026 | ||
| pypi | tm-ai:2.91.75 + 7 vérsi — kampanye banjir vérsi PyPI anu lestari | Jun 22, 2026 |
| pypi | pamundut-cache-py:1.0.4 + 6 vérsi — vérsi PyPI ngabanjiran | Jun 22, 2026 |
| pypi | corvinos:0.17.0 + 6 vérsi — kampanye pendaptaran massal PyPI | Jun 22, 2026 |
| Juni 23, 2026 | ||
| npm | web3-token-helper:1.1.1 + 2 vérsi — panargetan utilitas token Web3 | Jun 23, 2026 |
| npm | monocross:1.0.1 + 1 vérsi — gugusan ngaran mono-* bareng jeung monoclaude jeung monotacos | Jun 23, 2026 |
| Juni 24, 2026 | ||
| npm | ollama-helpers:0.1.0 + 19 vérsi — kampanye pakakas AI panggedéna dina sasih ieu, anu narékahan pikeun runtime AI lokal Ollama | Jun 24, 2026 |
| npm | openai-agén-helpers:0.1.1 + 22 vérsi — kampanye anu dikoordinasikeun anu narékahan ékosistem SDK agén OpenAI | Jun 24, 2026 |
| Juni 25, 2026 | ||
| npm | ai-sdk-helpers:1.4.3 Pakakas AI SDK ditujukeun bareng jeung @langgraphjs/toolkit:1.2.11 | Jun 25, 2026 |
| npm | daptar-embedder:99.99.99-poc3 + hs-locale-management — kabingungan gumantungna namespace internal HubSpot, akhiran poc mastikeun kampanye panalungtikan aktif | Jun 25, 2026 |
| Juni 26, 2026 | ||
| npm | kit-tali-gampang:1.0.1 + 8 vérsi kaasup varian easy-string-kit232 — pendaptaran massal dina nami utilitas umum | Jun 26, 2026 |
| npm | paket-jahat-anu-teu-aman:1.0.0 + 5 vérsi — pakét anu sacara éksplisit dingaranan salaku jahat, muatan anu dikonfirmasi, kamungkinan uji coba atanapi kampanye provokasi | Jun 26, 2026 |
| npm | @vpms/sistem-desain:1.1.2 + 2 vérsi — desain impersonasi namespace sistem | Jun 26, 2026 |
Minggu ka-3: Leuwih ti 200 Pakét Kapanggih
| ékosistem | paket | tanggal |
|---|---|---|
| Juni 13, 2026 | ||
| npm | houzidawang806:1.0.0 + 25 vérsi di sakuliah 1.0.x–1.2.x kaasup dulur-dulur houzidawang807 sareng houzidawang808 — kampanye dominan minggu ieu | Jun 13, 2026 |
| npm | démo-panyambut-babaturan:1.0.2 + 4 vérsi — kampanye anu terus-terusan muncul deui dina sababaraha dinten | Jun 13, 2026 |
| npm | tsc-ai:1.2.0 klaster tsc-*: tsc-ai, tsc-mesh, tsc-lotl — paniruan rohangan ngaran parabot CI | Jun 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + 6 vérsi di sakuliah 4.5.x–5.1.x — kampanye PyPI sababaraha dinten anu lestari | Jun 13, 2026 |
| Juni 15, 2026 | ||
| npm | harga-token-cron:999.0.0 + 6 pakét — Klaster kabingungan gumantungna infrastruktur DeFi anu narékahan cron internal sareng alat vault | Jun 15, 2026 |
| Juni 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + 8 pakét — DeFi lending sareng klaster ékosistem Cardano: flow-lending, surf-lending, janus-*, flowcardano, flowdefi | Jun 16, 2026 |
| npm | metrik-kajadian-q3x7:1.0.0 + 8 vérsi — pakét hex-suffix generik anu ngadaptarkeun nami téma pangawasan massal | Jun 16, 2026 |
| npm | nic-datagov:1.0.0 + 3 pakét — paniruan namespace platform data pamaréntah: ogd-analytics, ogd-platform, dms-backend | Jun 16, 2026 |
| Juni 17, 2026 | ||
| npm | kontrak-cryptodao:99.99.99 + 10 pakét — Kabingungan gumantungna CryptoDAO: inti, sdk, bot, konfigurasi, utils, deploy, signer, backend, jinis | Jun 17, 2026 |
| pypi | teambot-ai:1.48.0 Pakakas agén AI anu ditujukeun dina PyPI | Jun 17, 2026 |
| Juni 18, 2026 | ||
| npm | metrik-pipeline-d8k2:1.0.0 + 20 vérsi salami 18 Juni — kampanye nyingkahan hiji dinten anu terus-terusan, medalkeun deui sacara terus-terusan pikeun ngaleuwihan daptar blokir | Jun 18, 2026 |
| npm | ngan ukur scan:0.4.5 + 6 vérsi — kampanye banjir vérsi | Jun 18, 2026 |
| npm | warna-utils-dee0:1.0.0 + 5 paket hex-suffix umum: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — pendaptaran massal anu diskripkeun | Jun 18, 2026 |
| npm | @azure-lab-services/ml-ts:99.0.0 Peniruan namespace Azure ML | Jun 18, 2026 |
| Juni 19, 2026 | ||
| npm | trimpront:1.0.2 + trimprompt-hub — pakakas rékayasa prompt anu ditujukeun | Jun 19, 2026 |
| npm | claude-cup:0.8.6 Panyamaran parabot API Claude | Jun 19, 2026 |
| pypi | aiaddin-agent:0.1.0 Pakakas agén AI anu ditujukeun dina PyPI | Jun 19, 2026 |
| npm | web3-crypto-address-utils:0.1.0 Targeting utilitas Web3 | Jun 19, 2026 |
Minggu ka-2: Leuwih ti 135 Pakét Kapanggih
| ékosistem | paket | tanggal |
|---|---|---|
| Juni 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + 5 varian — kampanye typosquat ékosistem Solana, gelombang kahiji | Jun 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + 2 vérsi | Jun 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Kabingungan gumantungna, versi anu digedekeun | Jun 7, 2026 |
| Juni 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + 9 varian — kampanye typosquat ékosistem Solana, gelombang kadua | Jun 8, 2026 |
| pypi | helixagentai:0.1.3 Pakakas agén AI anu ditujukeun dina PyPI | Jun 8, 2026 |
| Juni 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + 7 pakét — kabingungan gumantungna kana namespace monorepo internal | Jun 9, 2026 |
| npm | @klapp-login-platform/asli-sdk:99.0.0 + 9 pakét — impersonasi platform auténtikasi di sababaraha rohangan nami klapp | Jun 9, 2026 |
| npm | blockchain-helper-0:1.0.0 + 7 pakét — klaster utilitas crypto/DeFi anu narékahan pikeun pamekar Web3 | Jun 9, 2026 |
| npm | @card-pci-data/toko:99.0.0 Namespace data kartu pamayaran anu ditujukeun | Jun 9, 2026 |
| Juni 10, 2026 | ||
| npm | sistem-desain-morningstar:99.0.0 + 2 vérsi — impersonasi sistem desain kauangan | Jun 10, 2026 |
| Juni 11, 2026 | ||
| npm | pocteszep:1.0.1 + 5 vérsi dipedalkeun dina dinten anu sami | Jun 11, 2026 |
| npm | @coze-common/area-obrolan:99.1.1 Peniruan namespace platform obrolan AI | Jun 11, 2026 |
| pypi | telegramlite:1.0.0 + 1 vérsi — paniruan platform olahtalatah dina PyPI | Jun 11, 2026 |
| Juni 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + 7 varian ecto-* — gugusan ngaran anu dikaburkan | Jun 12, 2026 |
| npm | internallib_v984:1.0.3 + klaster internallib_v557 — 13 vérsi impostor perpustakaan internal | Jun 12, 2026 |
| npm | voyager-web:999.0.0 Kabingungan gumantungna, versi anu digedekeun | Jun 12, 2026 |
| pypi | cdjeez:0.32.0 | Jun 12, 2026 |
Minggu ka-1: Leuwih ti 118 Pakét Kapanggih
| ékosistem | paket | tanggal |
|---|---|---|
| Bisa 30, 2026 | ||
| npm | @cloudplatform-single-spa/administrasi:99.99.100 Kabingungan gumantungna, versi anu digedekeun | Bisa 30, 2026 |
| vscode | xampp-manager:5.1.3 Éksténsi VSCode — paniruan alat pamekar | Bisa 30, 2026 |
| Juni 1, 2026 | ||
| npm | @tse-digital/core:99.0.0 Kabingungan gumantungna — @telenor-se sareng @ownit ogé pencét | Jun 1, 2026 |
| npm | cms-storehub:1.3.4 + 2 vérsi, klaster namespace CMS | Jun 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + 6 vérsi, nomer vérsi anu digedekeun anu narékahan kredensial AWS | Jun 1, 2026 |
| npm | dokumén pasien: 75.0.0 Target rohangan nami kasehatan | Jun 1, 2026 |
| npm | @emcd-vue/auth:6.4.9 Peniruan namespace bursa crypto | Jun 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Jun 1, 2026 |
| Juni 2, 2026 | ||
| npm | sensitivitas: 2.5.8 + 70 vérsi dina rentang 2.5.x, 2–5 Juni — kampanye dominan dina période éta | Jun 2, 2026 |
| npm | @langgraphjs/toolkit:1.2.10 Pakakas LangGraph anu ditujukeun | Jun 2, 2026 |
| Juni 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + 2 vérsi, paniruan rohangan nami Sentry | Jun 4, 2026 |
| npm | internallib_v346:1.0.3 + 2 vérsi, penipu perpustakaan internal | Jun 4, 2026 |
| npm | ai-sdk-helpers:0.2.1 + 7 vérsi, nu ngincer pakakas AI SDK | Jun 4, 2026 |
Eureunkeun Kodeu Jahat Sateuacan Nepi ka Anjeun Pipeline
Ancaman ranté suplai parangkat lunak parantos langkung ti ngan saukur téoritis. Serangan kabingungan gumantung, maling kredensial, malware anu ditujukeun ku AI, sareng alat pamekar anu diracun nyerang tim nyata sacara nyata. SDLCunggal minggu.
Xygeni's deteksi malware jeung platform kaamanan ranté suplai méré organisasi visibilitas pikeun néwak dependensi jahat sateuacan aranjeunna ngaéksekusi dina mesin pamekar, asup kana sistem build, atanapi ngahontal produksi. Cakupanana ngawengku npm, PyPI, VSCode, sareng saluareun éta, ngawaskeun pola penerbitan anu curiga, panyalahgunaan namespace, typosquatting, sareng téknik serangan AI-native nalika aranjeunna muncul.
Unggal panemuan sacara otomatis diprioritaskeun dumasar kana kamampuan pikeun dieksploitasi, kahontal, sareng dampak bisnis, janten tim anjeun fokus kana naon anu saleresna kedah dibenerkeun, sanés kana gangguan.
Boh éta pakét sumber terbuka anu jahat, alat pamekar anu dikompromikeun, atanapi résiko kode anu dihasilkeun ku AI, Xygeni ngajaga tim kaamanan sareng rékayasa saléngkah payuneun lanskap ancaman ranté suplai.
Jelajah unggal pakét sareng kampanye jahat anu divalidasi ku Tim Kaamanan Xygeni di Ringkesan Kodeu Jahat.
Tetep aman. Tetep gancang. Tetep bisa ngadalikeun diri jeung Xygeni.
