Malware Npm ayeuna terus mekar, kalayan panyerang nyebarkeun kode jahat, pakét npm jahat, sarta Paket jahat PyPI dirancang pikeun narékahan alur kerja pamekaran, CI/CD pipelines, sareng ékosistem sumber terbuka. Ringkesan Kodeu Jahat nyaéta laporan panalungtikan Xygeni anu terus-terusan ngalacak sareng verifikasi paket jahat anu nyata di sakumna npm, PyPI, Kodeu VS, sarta OpenVSX, kalebet backdoor anu parantos dikonfirmasi, maling data, muatan exfiltration kredensial, sareng kampanye malware multi-versi otomatis.
Tim panalungtikan kami rutin ngapdet halaman ieu nganggo papanggihan anu divalidasi, indikator kompromi (IOC), pola paripolah, sarta analisis téhnisHasilna, para pamekar, Tim AppSec, sareng insinyur kaamanan tiasa tetep payun malware npm ayeuna sareng kagiatan pakét jahat anu muncul anu mangaruhan ranté suplai parangkat lunak modéren.
Malware NPM Dinten Ieu: Ringkesan Mingguan 24–29 April 2026
Para panalungtik mastikeun 97 pakét jahat di sakuliah pendaptaran umum salami periode ieu.
Observasi set data
- Paket anu paling dikonfirmasi dipedalkeun dina npm
- Kasus tambahan anu kapangaruhan PyPI, OpenVSX, sarta komposer
- Publikasi jahat anu diulang-ulang dina kulawarga pakét anu sami sareng nami anu aya hubunganana
- Pola vérsi anu luhur atanapi teu umum sapertos 99.x, 99.9.x, sarta 1.0.x
- Panggunaan anu kuat pamayaran sareng kasir, enterprise-stil, aplikasi wéb internal, analytics, Yayasan UI, alat pamekar, bertema awan, sarta anu aya patalina jeung komponén pola penamaan
- Sababaraha burst vérsi anu dikoordinasikeun dirancang pikeun nyarupaan apdet pakét anu sah
Laporan Malware Bulanan: Paket npm Jahat anu Dikonfirmasi dina April 2026
Wilujeng sumping di édisi panganyarna tina Ringkesan Kodeu Jahat Xygeni (Édisi Bulanan), di April 2026, tim panalungtikan kami mastikeun leuwih ti 250 paket jahat, utamina di sakuliah npm, kalayan kasus tambahan anu mangaruhan PyPI, Kode VS, OpenVSX, sareng Komposer.
April teu ngan ukur ngeunaan volume. Salian ti éta, bulan April ogé teu ngan ukur ngeunaan volume. gelombang penerbitan anu didorong ku otomatisasi, kampanye inflasi vérsi agrésif, klaster kulawarga pakét, sarta paniruan alat internal, kami niténan sababaraha pola anu paling kasohor dina bulan ieu dina penerbitan jahat anu terkoordinasi di sakuliah:
parabot internal palsu, pakét téma AI, modul pamayaran sareng checkout, klien analitik, komponén frontend, utilitas pamekar, parabot Kubernetes sareng awan, éksténsi VS Code sareng OpenVSX, sareng nami pakét sapertos mérek anu dipercaya anu dirancang pikeun nyampur kana pangiriman parangkat lunak anu nyata. pipelines.
Ieu sanés kajadian typo anu saderhana. Di sakumna dunya April kumpulan data, urang niténan pola panyalahgunaan kredensial, manipulasi ranté suplai, panggunaan ulang namespace, sarta penerbitan jahat anu dikoordinasikeun dirancang pikeun nyampur kana lingkungan pamekar nyata sareng pangiriman parangkat lunak pipelines.
Di sakuliah kumpulan data anu langkung lega, kami teras-terasan niténan penerbitan multi-versi anu ditulis, skéma vérsi anu digedekeun, pamayaran- sareng enterprisengaranan anu témana, Ngaran pakét anu bertema AI sareng agén, SDK sareng impersonasi komponén frontend, mimikri alat internal, sareng taktik klasik sapertos kabingungan gumantungna jeung éksfiltrasi data.
Laporan ieu mangrupikeun bagian tina laporan anu terus-terusan kami Ringkesan Kodeu Jahat, dimana urang ngavalidasi ancaman anyar sareng nyayogikeun kecerdasan actionable pikeun mantuan Tim DevSecOps tetep payun résiko ranté suplai parangkat lunak.
| ékosistem | paket | tanggal |
|---|---|---|
| npm | ditandaan ku pa: 99.1.10 | Apr 27, 2026 |
| pypi | moonbit-locale-compat:0.2.3 | Apr 27, 2026 |
| npm | @alfa.life.mapp/app.web:99.0.13 | Apr 27, 2026 |
| npm | @sbt_gitverse/analytics-client:99.0.1 | Apr 27, 2026 |
| npm | @frengki0707/google-cloud-clone: 1.33.1 | Apr 27, 2026 |
| npm | @alfa.life.mapp/app.web:99.0.14 | Apr 27, 2026 |
| npm | @tochka-ui/yayasan:99.0.2 | Apr 27, 2026 |
| openvsx | arcane-spark/ubel:0.1.0 | Apr 28, 2026 |
| npm | @2011-08-19/n:99.9.9 | Apr 28, 2026 |
| npm | @frengki0707/google-cloud-clone: 1.38.0 | Apr 27, 2026 |
Kumaha Urang Ngadeteksi Kodeu Jahat dina Malware npm sareng Malware PyPI
Xygeni nganggo téknik multi-lapisan pikeun ngeureunkeun kode jahat sateuacan nyebar. Anu mimiti, analisis kode statis ngadeteksi pola obfuscation, payload anu disumputkeun, sareng panyalahgunaan skrip. Salaku tambahan, analisis sandboxing paripolah masang hooks, paréntah runtime, sareng trik persistensi. Leuwih ti éta, deteksi pembelajaran mesin ngaidéntifikasi malware npm zero-day sareng varian malware pypi anu teu katingali ku pamindai tanda tangan. Pamungkas, Sistem Peringatan Dini ngawas repositori umum sacara real time, ngavalidasi panemuan, sareng langsung ngingetkeun tim DevOps.
Hasilna, kombinasi ieu mastikeun para pamekar nampi intelijen anu gancang sareng tiasa ditindaklanjuti anu diintegrasikeun langsung kana CI/CD workflows.
Naha Pamekar Kudu Miara Paket npm Jahat
Ancaman modéren jarang ngantosan runtime. Salaku conto, pakét npm jahat sering dijalankeun nalika pamasangan, sedengkeun pakét jahat pypi nyumputkeun token exfiltration atanapi backdoors. Penyerang:
- Balikkeun repo GitHub pribadi ka umum pikeun nirukeunana.
- Éksfiltrasi kredensial sareng rahasia nganggo muatan anu dikodekeun.
- Anggo pangisi JavaScript anu diobfuskasi pikeun nyebarkeun ransomware atanapi botnet.
Kanyataanna, pakét sumber terbuka anu jahat naék 156% dina sataun. Ku kituna, tim anu ngan ukur ngandelkeun feed anu telat atanapi pamindai dasar bakal tinggaleun.
Naon anu Dilacak ku Laporan Malware Ieu dina npm sareng PyPI
Ringkesan ieu mangrupikeun pusat pikeun:
- Paket npm jahat anu dikonfirmasi
- Paket jahat pypi anu dikonfirmasi
- Deteksi kode jahat dumasar kana paripolah
- Insiden anu dikonfirmasi ku pendaptaran
- Ringkesan laporan malware mingguan sareng bulanan
- Log parobahan sajarah sadaya panemuan malware npm sareng malware pypi
Ku kituna, éta nyayogikeun hiji titik rujukan. Tim panalungtik di Xygeni ngapdet halaman ieu mingguan nganggo tautan ka analisis téknis lengkep sareng IOC GitHub.
Kumaha Ngajaga tina Paket npm anu Jahat sareng Malware PyPI
Kusabab résiko anu ningkat ieu, organisasi peryogi langkung ti ngan ukur pamariksaan katergantungan dasar. Pertahanan anu kuat ngalawan pakét npm jahat sareng pakét jahat pypi meryogikeun kontrol preventif sareng penegakan runtime:
Laksanakeun Pamasangan Ngan Lockfile Ngalawan Paket npm Jahat
make npm ci or pip install --require-hashes in CI/CD.
Ieu mastikeun tangkal dependensi anu ditetepkeun dina lockfiles dianggo. Hasilna, panyerang moal tiasa ngalebetkeun vérsi pakét npm jahat anu dirobih atanapi salah ketik.
Nyeken Pra-Instalasi pikeun Malware npm sareng Malware PyPI
Integrasikeun Mesin Peringatan Dini Xygeni pikeun nyeken malware npm sareng malware pypi sateuacan paket dugi ka lingkungan anjeun.
Salian ti éta, mendakan anu curiga postinstall skrip, loader anu dikaburkan, atanapi URL C2 anu di-hardcode.
Guardrails pikeun Meungpeuk Wangunan nganggo Kode Jahat
Setel guardrails Pikeun gagal, wangunan bakal otomatis diwangun upami pakét npm jahat anu dikonfirmasi atanapi pakét jahat pypi dideteksi.
Contona, break diwangun dina pakét anu ngandung pangurus anu teu acan diterbitkeun, pola obfuscation, atanapi cocog IOC. Hasilna, kode jahat moal pernah luput tina perhatian.
Ngahasilkeun sareng Validasi SBOMs Ngalawan Paket npm Jahat sareng Malware PyPI
nyiptakeun SBOMs (CycloneDX, SPDX) pikeun unggal wangunan.
Saatos éta, bandingkeun sareng pakét npm jahat anu dipikanyaho sareng feed malware pypi pikeun ngalacak dependensi langsung sareng transitif.
Protéksi Kredensial sareng Token tina Malware npm sareng Malware PyPI
Seueur pakét npm jahat anu nyobian maca .npmrc, .pypirc, atawa variabel lingkungan.
Ku kituna, jalankeun build dina wadah anu dikeraskeun kalayan rahasia minimal anu kakeunaan. Salaku tambahan, anggo manajer rahasia tinimbang variabel lingkungan pikeun meungpeuk panyalahgunaan kode jahat.
Ngawaskeun Parobahan Registry sareng Maintainer dina Paket npm anu Jahat
Penyerang sering ngabajak proyék-proyék anu ditinggalkeun.
Utamana, ati-ati kana parobahan pangropéa anu ujug-ujug, lompatan vérsi anu teu biasa, atanapi publikasi anu kaleuleuwihi dina malware npm sareng pakét jahat pypi.
Palatihan Pamekar ngeunaan Ngadeteksi Kodeu Jahat dina npm sareng PyPI
Ajarkeun tim pikeun ningali tanda-tanda bahaya sapertos:
- Ngaran pakét anu salah ketik (
reqeustsabaliknarequest). - teu biasa
installorpreparenaskah. - Paket anu nembe didamel kalayan nomer vérsi anu curiga luhur.
Anu paling penting, kasadaran ieu ngabantosan ngadeteksi kode jahat langkung awal.
Deteksi Anomali Runtime pikeun Paket npm anu Jahat sareng Malware PyPI
Sanajan malware ngaliwatan pamariksaan statis, deteksi runtime dina CI/CD bisa nyekel:
- Sambungan jaringan anu teu disangka-sangka.
- Modifikasi sistem file di luar diréktori anu dipiharep.
- Usaha-usaha kegigihan di sakumna padamelan.
Pamungkas, ieu mastikeun ancaman malware npm sareng malware pypi dieureunkeun bahkan saatos dipasang.
Ku cara ngagabungkeun kontrol ieu, tim nyegah paket npm jahat sareng paket jahat pypi dugi ka produksi. pipelines.
Coba Alat Deteksi Malware Xygeni
Xygeni nganteurkeun:
- Deteksi kode jahat sacara real-time, kalebet backdoors, spyware, sareng ransomware.
- Beda sareng pamindai dasar, analisis dina npm, PyPI, Maven, NuGet, RubyGems, sareng seueur deui.
- Blokir wangunan otomatis nalika laporan malware ngaidentipikasi résiko.
- Wawasan eksploitasi, pamariksaan reputasi pangurus, sareng deteksi anomali.
Tetep Diuningakeun
Tim kami ngapdet halaman ieu unggal minggu. Pikeun nampi bewara sareng laporan lengkep:
- Langgan pikeun kami newsletter
- ngiringan @XygeniSecurity dina Linkedin
- Tandaan halaman ieu pikeun ngalacak anu pangénggalna malware npm jeung malware pypi ancaman
