Npm தீம்பொருள் இன்று தாக்குதல் நடத்துபவர்கள் வெளியிடுவதால், இது தொடர்ந்து பரிணமித்து வருகிறது. தீங்கிழைக்கும் குறியீடு, தீங்கிழைக்கும் npm தொகுப்புகள், மற்றும் PyPI தீங்கிழைக்கும் தொகுப்புகள் மேம்பாட்டு பணிப்பாய்வுகளை இலக்காகக் கொண்டு வடிவமைக்கப்பட்டுள்ளது, CI/CD pipelinesமற்றும் திறந்த மூல சூழலமைப்புகள். தீங்கிழைக்கும் குறியீடு டைஜஸ்ட் Xygeni-யின் இந்தத் தொடர்ச்சியான ஆராய்ச்சி அறிக்கை, உண்மையான தீங்கிழைக்கும் தொகுப்புகளைக் கண்காணித்து சரிபார்க்கிறது. NPM, PyPI, வி.எஸ் குறியீடு, மற்றும் ஓபன்விஎஸ்எக்ஸ்உறுதிப்படுத்தப்பட்ட பின்கதவுகள், தரவுத் திருடர்கள், நற்சான்றிதழ் கசிவுப் பணிச்சுமைகள் மற்றும் தானியங்கு பல பதிப்பு தீம்பொருள் பிரச்சாரங்கள் உள்ளிட்டவை.
எங்கள் ஆராய்ச்சிக் குழு இந்தப் பக்கத்தை தொடர்ந்து புதுப்பித்து வருகிறது. சரிபார்க்கப்பட்ட கண்டுபிடிப்புகள், சமரசத்தின் குறிகாட்டிகள் (IOCகள்), நடத்தை முறைகள், மற்றும் தொழில்நுட்ப பகுப்பாய்வுஇதன் விளைவாக, உருவாக்குநர்கள், AppSec குழுக்கள்மேலும், பாதுகாப்புப் பொறியாளர்கள் முன்னணியில் இருக்க முடியும். npm தீம்பொருள் இன்று மற்றும், நவீன மென்பொருள் விநியோகச் சங்கிலிகளைப் பாதிக்கும் வளர்ந்து வரும் தீங்கிழைக்கும் தொகுப்புச் செயல்பாடுகள்.
NPM மால்வேர் டுடே: வாராந்திரச் சுருக்கம் 24–29 ஏப்ரல் 2026
ஆராய்ச்சியாளர்கள் உறுதிப்படுத்தினர் 97 தீங்கிழைக்கும் தொகுப்புகள் இந்தக் காலகட்டத்தில் பொதுப் பதிவேடுகள் முழுவதும்.
தரவுத்தொகுப்பு அவதானிப்புகள்
- பெரும்பாலான உறுதிப்படுத்தப்பட்ட தொகுப்புகள் வெளியிடப்பட்டன NPM
- பாதிக்கப்பட்ட கூடுதல் வழக்குகள் PyPI, ஓபன்விஎஸ்எக்ஸ், மற்றும் இசையமைப்பாளர்
- ஒரே தொகுப்புக் குடும்பங்கள் மற்றும் தொடர்புடைய பெயர்களில் மீண்டும் மீண்டும் தீங்கிழைக்கும் வெளியீடு
- உயர் அல்லது வழக்கத்திற்கு மாறான பதிப்பு வடிவங்கள் போன்றவை 99.x, 99.9.x, மற்றும் 1.0.x
- வலுவான பயன்பாடு பணம் செலுத்துதல் மற்றும் வெளியேறுதல், enterpriseபாணி, உள் வலை பயன்பாடு, பகுப்பாய்வு, சொத்து அறக்கட்டளை, டெவலப்பர்-கருவி, மேகம் சார்ந்த, மற்றும் கூறு தொடர்பான பெயரிடும் முறைகள்
- முறையான தொகுப்புப் புதுப்பிப்புகளைப் போலவே தோற்றமளிக்கும் வகையில் வடிவமைக்கப்பட்ட, பல ஒருங்கிணைக்கப்பட்ட பதிப்பு வெளியீடுகள்.
மாதாந்திர தீம்பொருள் அறிக்கை: ஏப்ரல் 2026-இல் உறுதிசெய்யப்பட்ட தீங்கிழைக்கும் npm தொகுப்புகள்
சமீபத்திய பதிப்பிற்கு வரவேற்கிறோம் சைஜெனி தீங்கிழைக்கும் குறியீட்டுத் தொகுப்பு (மாதாந்திரப் பதிப்பு). ஆம் ஏப்ரல் 2026எங்கள் ஆராய்ச்சிக் குழு உறுதிப்படுத்தியது 250க்கும் மேற்பட்ட தீங்கிழைக்கும் தொகுப்புகள், முதன்மையாக முழுவதும் NPMகூடுதல் பாதிப்புகள் ஏற்படும் நிலையில் PyPI, VS Code, OpenVSX, மற்றும் Composer.
ஏப்ரல் மாதம் என்பது வெறும் எண்ணிக்கையைப் பற்றியது மட்டுமல்ல. அதனுடன் தானியங்குமயமாக்கல் சார்ந்த கணக்கியல் அலைகள், ஆக்ரோஷமான பதிப்பு பணவீக்க பிரச்சாரங்கள், தொகுப்பு குடும்ப கிளஸ்டரிங், மற்றும் உள்-கருவி ஆள்மாறாட்டம்ஒருங்கிணைந்த தீங்கிழைக்கும் வெளியீடுகளில் இந்த மாதத்தின் மிகவும் குறிப்பிடத்தக்க சில போக்குகளை நாங்கள் கவனித்தோம்:
போலி உள்ளகக் கருவிகள், செயற்கை நுண்ணறிவு சார்ந்த தொகுப்புகள், பணம் செலுத்துதல் மற்றும் செக்அவுட் தொகுதிகள், பகுப்பாய்வு கிளையண்டுகள், ஃப்ரண்ட்எண்ட் கூறுகள், டெவலப்பர் பயன்பாடுகள், குபெர்னெட்டஸ் மற்றும் கிளவுட் கருவிகள், VS கோட் மற்றும் ஓப்பன்விஎஸ்எக்ஸ் நீட்டிப்புகள், மற்றும் உண்மையான மென்பொருள் விநியோகத்துடன் ஒன்றிப்போகும் வகையில் வடிவமைக்கப்பட்ட, நம்பகமான பிராண்ட் போன்ற தொகுப்புப் பெயர்கள். pipelines.
இவை சாதாரண அச்சுக்கிரம சம்பவங்கள் அல்ல. பரந்த அளவில் ஏப்ரல் தரவுத்தொகுப்பில், நாங்கள் கவனித்தோம் சான்றிதழ் துஷ்பிரயோக முறைகள், விநியோகச் சங்கிலி கையாளுதல், மீண்டும் மீண்டும் பெயர்வெளி மறுபயன்பாடு, மற்றும் ஒருங்கிணைக்கப்பட்ட தீங்கிழைக்கும் வெளியீடு உண்மையான டெவலப்பர் சூழல்கள் மற்றும் மென்பொருள் விநியோகத்துடன் இயைந்துபோகும் வகையில் வடிவமைக்கப்பட்டுள்ளது pipelines.
பரந்த தரவுத்தொகுப்பு முழுவதும், நாங்கள் தொடர்ந்து கவனித்தோம் ஸ்கிரிப்ட் செய்யப்பட்ட பல பதிப்பு வெளியீடு, மிகைப்படுத்தப்பட்ட பதிப்புத் திட்டங்கள், பணம் செலுத்துதல்- மற்றும் enterpriseகருப்பொருள் சார்ந்த பெயரிடல், செயற்கை நுண்ணறிவு மற்றும் முகவர் சார்ந்த தொகுப்புப் பெயர்கள், SDK மற்றும் ஃப்ரண்ட்எண்ட் கூறு ஆள்மாறாட்டம், உள்-கருவி போலச்செய்தல்மற்றும் போன்ற பாரம்பரிய உத்திகள் சார்பு குழப்பம் மற்றும் தரவு வெளியேற்றம்.
இந்த அறிக்கை எங்களின் தொடர்ச்சியான பணியின் ஒரு பகுதியாகும். தீங்கிழைக்கும் குறியீடு டைஜஸ்ட்இதில், நாங்கள் புதிய அச்சுறுத்தல்களைச் சரிபார்த்து வழங்குகிறோம் செயல்படக்கூடிய நுண்ணறிவு உதவ DevSecOps குழுக்கள் முன்னால் இரு மென்பொருள் விநியோகச் சங்கிலி இடர்.
| சூழல் | தொகுப்பு | தேதி |
|---|---|---|
| NPM | pa-marked:99.1.10 | சித்திரை 27, 2026 |
| pypi | மூன்பிட்-லோகேல்-கம்பேட்:0.2.3 | சித்திரை 27, 2026 |
| NPM | @alfa.life.mapp/app.web:99.0.13 | சித்திரை 27, 2026 |
| NPM | @sbt_gitverse/analytics-client:99.0.1 | சித்திரை 27, 2026 |
| NPM | @frengki0707/google-Cloud-clone:1.33.1 | சித்திரை 27, 2026 |
| NPM | @alfa.life.mapp/app.web:99.0.14 | சித்திரை 27, 2026 |
| NPM | @tochka-ui/foundation:99.0.2 | சித்திரை 27, 2026 |
| ஓபன்விஎஸ்எக்ஸ் | arcane-spark/ubel:0.1.0 | சித்திரை 28, 2026 |
| NPM | @2011-08-19/n:99.9.9 | சித்திரை 28, 2026 |
| NPM | @frengki0707/google-Cloud-clone:1.38.0 | சித்திரை 27, 2026 |
npm மால்வேர் மற்றும் PyPI மால்வேரில் தீங்கிழைக்கும் குறியீட்டை நாங்கள் எவ்வாறு கண்டறிகிறோம்
தீங்கிழைக்கும் குறியீடு பரவுவதற்கு முன்பே அதைத் தடுக்க, சைஜெனி பல அடுக்கு நுட்பங்களைப் பயன்படுத்துகிறது. முதலாவதாக, நிலையான குறியீடு பகுப்பாய்வு, குறியீட்டு மறைப்பு முறைகள், மறைக்கப்பட்ட தரவுப் பொதிகள் மற்றும் ஸ்கிரிப்ட் துஷ்பிரயோகம் ஆகியவற்றைக் கண்டறிகிறது. கூடுதலாக, நடத்தை சார்ந்த சோதனைக் கள ஆய்வு (behavioral sandboxing) நிறுவல்களைப் பகுப்பாய்வு செய்கிறது. hooksஇயக்க நேரக் கட்டளைகள் மற்றும் நிலைத்தன்மை உத்திகள். மேலும், இயந்திர கற்றல் கண்டறிதல், சிக்னேச்சர் ஸ்கேனர்களால் கண்டறியப்படாத ஜீரோ-டே npm மால்வேர் மற்றும் pypi மால்வேர் வகைகளை அடையாளம் காண்கிறது. இறுதியாக, முன்கூட்டிய எச்சரிக்கை அமைப்பு பொது களஞ்சியங்களை நிகழ்நேரத்தில் கண்காணித்து, கண்டறிதல்களைச் சரிபார்த்து, டெவ்ஆப்ஸ் குழுக்களுக்கு உடனடியாக எச்சரிக்கை செய்கிறது.
இதன் விளைவாக, இந்தக் கலவையானது, டெவலப்பர்கள் வேகமான, செயல்படுத்தக்கூடிய நுண்ணறிவை நேரடியாக ஒருங்கிணைக்கப்பட்ட நிலையில் பெறுவதை உறுதி செய்கிறது. CI/CD பணிப்பாய்வுகளையும்.
தீங்கிழைக்கும் npm தொகுப்புகள் குறித்து டெவலப்பர்கள் ஏன் அக்கறை கொள்ள வேண்டும்?
நவீன அச்சுறுத்தல்கள் அரிதாகவே இயக்க நேரத்திற்காகக் காத்திருக்கின்றன. உதாரணமாக, தீங்கிழைக்கும் npm தொகுப்புகள் பெரும்பாலும் நிறுவலின் போதே செயல்படுகின்றன, அதேசமயம் pypi தீங்கிழைக்கும் தொகுப்புகள் டோக்கன் கசிவு அல்லது பின்கதவுகளை மறைக்கின்றன. தாக்குபவர்கள்:
- அவற்றை நகலெடுப்பதற்கு, தனிப்பட்ட GitHub களஞ்சியங்களைப் பொதுவானதாக மாற்றவும்.
- குறியாக்கம் செய்யப்பட்ட கோப்புகளைப் பயன்படுத்தி நற்சான்றிதழ்கள் மற்றும் இரகசியங்களைத் திருடுங்கள்.
- ransomware அல்லது botnets-களைப் பரப்புவதற்கு, தெளிவற்ற JavaScript loaders-களைப் பயன்படுத்தவும்.
உண்மையில், தீங்கிழைக்கும் திறந்த மூல மென்பொருட்கள் ஓராண்டில் 156% அதிகரித்துள்ளன. எனவே, தாமதமான தரவு உள்ளீடுகள் அல்லது அடிப்படை ஸ்கேனர்களை மட்டும் நம்பியிருக்கும் குழுக்கள் பின்தங்கிவிடுகின்றன.
இந்த தீம்பொருள் அறிக்கை npm மற்றும் PyPI-இல் எவற்றைக் கண்காணிக்கிறது
இந்தச் சுருக்கம் பின்வருவனவற்றிற்கான மையமாக விளங்குகிறது:
- உறுதிப்படுத்தப்பட்ட தீங்கிழைக்கும் npm தொகுப்புகள்
- உறுதிப்படுத்தப்பட்ட pypi தீங்கிழைக்கும் தொகுப்புகள்
- தீங்கிழைக்கும் குறியீட்டை நடத்தை அடிப்படையிலான கண்டறிதல்
- பதிவேட்டில் உறுதிப்படுத்தப்பட்ட சம்பவங்கள்
- வாராந்திர மற்றும் மாதாந்திர தீம்பொருள் அறிக்கை சுருக்கங்கள்
- கண்டறியப்பட்ட அனைத்து npm தீம்பொருள் மற்றும் pypi தீம்பொருள்களின் வரலாற்று மாற்றப் பதிவேடு
வேறுவிதமாகக் கூறினால், இது ஒரு ஒற்றை ஆதாரப் புள்ளியை வழங்குகிறது. Xygeni-யின் ஆய்வுக் குழு, முழுமையான தொழில்நுட்பப் பகுப்பாய்வுகள் மற்றும் GitHub IOC-களுக்கான இணைப்புகளுடன் இந்தப் பக்கத்தை வாரந்தோறும் புதுப்பிக்கிறது.
தீங்கிழைக்கும் npm தொகுப்புகள் மற்றும் PyPI மால்வேரிலிருந்து பாதுகாப்பது எப்படி
இந்த அதிகரித்து வரும் அபாயத்தின் காரணமாக, நிறுவனங்களுக்கு அடிப்படை சார்புநிலைச் சோதனைகளை விட மேலானவை தேவைப்படுகின்றன. தீங்கிழைக்கும் npm தொகுப்புகள் மற்றும் pypi தீங்கிழைக்கும் தொகுப்புகளுக்கு எதிரான வலுவான பாதுகாப்புகளுக்கு, தடுப்புக் கட்டுப்பாடுகள் மற்றும் இயக்க நேர அமலாக்கம் ஆகிய இரண்டும் அவசியமாகின்றன:
தீங்கிழைக்கும் npm தொகுப்புகளுக்கு எதிராக பூட்டுக்கோப்பு-மட்டுமே நிறுவல்களைச் செயல்படுத்தவும்
பயன்பாட்டு npm ci or pip install --require-hashes in CI/CD.
இது, லாக்ஃபைல்களில் வரையறுக்கப்பட்ட சரியான சார்பு மரம் பயன்படுத்தப்படுவதை உறுதி செய்கிறது. இதன் விளைவாக, தாக்குபவர்களால் தீங்கிழைக்கும் npm தொகுப்புகளின் மாற்றியமைக்கப்பட்ட அல்லது எழுத்துப்பிழை திருத்தப்பட்ட பதிப்புகளை ஊடுருவச் செய்ய முடியாது.
npm தீம்பொருள் மற்றும் PyPI தீம்பொருளுக்கான நிறுவுவதற்கு முந்தைய ஸ்கேனிங்
தொகுப்புகள் உங்கள் சூழலை அடைவதற்கு முன்பே npm தீம்பொருள் மற்றும் pypi தீம்பொருளை ஸ்கேன் செய்ய, Xygeni-யின் முன்கூட்டிய எச்சரிக்கை இயந்திரத்தை ஒருங்கிணைக்கவும்.
மேலும், சந்தேகத்திற்கிடமானவற்றைக் கண்டறியவும் postinstall ஸ்கிரிப்டுகள், தெளிவற்ற லோடர்கள், அல்லது நிரலில் நேரடியாக எழுதப்பட்ட C2 URL-கள்.
Guardrails தீங்கிழைக்கும் குறியீட்டைக் கொண்டு கட்டமைப்புகளைத் தடுக்க
தொகுப்பு guardrails உறுதிசெய்யப்பட்ட தீங்கிழைக்கும் npm தொகுப்புகள் அல்லது pypi தீங்கிழைக்கும் தொகுப்புகள் கண்டறியப்பட்டால், உருவாக்கங்களைத் தானாகவே தோல்வியடையச் செய்யும்.
எடுத்துக்காட்டாக, வெளியிடப்படாத பராமரிப்பாளர்கள், தெளிவின்மை வடிவங்கள் அல்லது IOC பொருத்தங்களைக் கொண்ட தொகுப்புகளின் உருவாக்கங்களைச் செயலிழக்கச் செய்யுங்கள். இதன் விளைவாக, தீங்கிழைக்கும் குறியீடு ஒருபோதும் கவனிக்கப்படாமல் கடந்து செல்வதில்லை.
உருவாக்கி சரிபார்க்கவும் SBOMதீங்கிழைக்கும் npm தொகுப்புகள் மற்றும் PyPI தீம்பொருளுக்கு எதிரான
உருவாக்கு SBOMஒவ்வொரு உருவாக்கத்திற்கும் (CycloneDX, SPDX) பயன்படுத்தப்படுகிறது.
அதன்பிறகு, நேரடி மற்றும் கடந்துசெல்லும் சார்புகள் இரண்டையும் கண்டறிய, அறியப்பட்ட தீங்கிழைக்கும் npm தொகுப்புகள் மற்றும் pypi தீம்பொருள் ஊட்டங்களுடன் ஒப்பிட்டுப் பார்க்கவும்.
npm தீம்பொருள் மற்றும் PyPI தீம்பொருளிலிருந்து நற்சான்றிதழ் மற்றும் டோக்கன் பாதுகாப்பு
பல தீங்கிழைக்கும் npm தொகுப்புகள் படிக்க முயற்சிக்கின்றன .npmrc, .pypircஅல்லது சூழல் மாறிகள்.
எனவே, குறைந்தபட்ச இரகசியங்கள் வெளிப்படும் வகையில், வலுவூட்டப்பட்ட கண்டெய்னர்களில் பில்டுகளை இயக்கவும். மேலும், தீங்கிழைக்கும் குறியீடு துஷ்பிரயோகத்தைத் தடுக்க, என்விரான்மென்ட் வேரியபிள்களுக்குப் பதிலாக சீக்ரெட்ஸ் மேனேஜர்களைப் பயன்படுத்தவும்.
தீங்கிழைக்கும் npm தொகுப்புகளில் ரெஜிஸ்ட்ரி மற்றும் மெயின்டெய்னர் மாற்றங்களைக் கண்காணிக்கவும்
தாக்குதல் நடத்துபவர்கள் பெரும்பாலும் கைவிடப்பட்ட திட்டங்களைக் கைப்பற்றுகிறார்கள்.
குறிப்பாக, npm தீம்பொருள் மற்றும் pypi தீங்கிழைக்கும் தொகுப்புகளில் திடீர் பராமரிப்பாளர் மாற்றங்கள், வழக்கத்திற்கு மாறான பதிப்பு மாற்றங்கள் அல்லது அதிகப்படியான வெளியீடுகளைக் கவனிக்கவும்.
npm மற்றும் PyPI இல் தீங்கிழைக்கும் குறியீட்டைக் கண்டறிவது குறித்த டெவலப்பர் பயிற்சி
பின்வரும் அபாய அறிகுறிகளைக் கண்டறிய அணிகளுக்குப் பயிற்சி அளியுங்கள்:
- எழுத்துப்பிழைகளுடன் கூடிய தொகுப்புப் பெயர்கள் (
reqeustஅதற்கு பதிலாகrequest). - வழக்கத்திற்கு மாறான
installorprepareஸ்கிரிப்ட்கள். - சந்தேகத்திற்கிடமான உயர் பதிப்பு எண்களைக் கொண்ட, சமீபத்தில் உருவாக்கப்பட்ட தொகுப்புகள்.
எல்லாவற்றிற்கும் மேலாக, இந்த விழிப்புணர்வு தீங்கிழைக்கும் குறியீட்டை முன்கூட்டியே கண்டறிய உதவுகிறது.
தீங்கிழைக்கும் npm தொகுப்புகள் மற்றும் PyPI தீம்பொருளுக்கான இயக்க நேர முரண்பாட்டைக் கண்டறிதல்
தீம்பொருள் நிலையான சோதனைகளைத் தவிர்த்தாலும், இயக்க நேரக் கண்டறிதல் CI/CD பிடிபடலாம்:
- எதிர்பாராத பிணைய இணைப்புகள்.
- எதிர்பார்க்கப்பட்ட கோப்பகங்களுக்கு வெளியே கோப்பு முறைமையில் செய்யப்படும் மாற்றங்கள்.
- பல்வேறு பணிகளில் மேற்கொள்ளப்படும் விடாமுயற்சிகள்.
இறுதியாக, இது நிறுவிய பின்னரும் npm தீம்பொருள் மற்றும் pypi தீம்பொருள் அச்சுறுத்தல்கள் தடுக்கப்படுவதை உறுதி செய்கிறது.
இந்தக் கட்டுப்பாடுகளை ஒருங்கிணைப்பதன் மூலம், தீங்கிழைக்கும் npm தொகுப்புகள் மற்றும் pypi தொகுப்புகள் உற்பத்திச் சூழலை அடைவதை குழுக்கள் தடுக்கின்றன. pipelines.
சைஜெனி வழங்கும் தீம்பொருள் கண்டறியும் கருவிகளை முயற்சித்துப் பாருங்கள்.
சைஜெனி வழங்குவது:
- பேக்டோர்ஸ், ஸ்பைவேர் மற்றும் ரான்சம்வேர் உள்ளிட்ட தீங்கிழைக்கும் குறியீடுகளை நிகழ்நேரத்தில் கண்டறிதல்.
- அடிப்படை ஸ்கேனர்களைப் போலல்லாமல், npm, PyPI, Maven, NuGet, RubyGems மற்றும் பலவற்றில் பகுப்பாய்வு செய்யப்படுகிறது.
- தீம்பொருள் அறிக்கை அபாயத்தைக் கண்டறியும்போது, தானியங்கி உருவாக்கத் தடுப்பு.
- சுரண்டல் சாத்தியக்கூறுகள் குறித்த நுண்ணறிவுகள், பராமரிப்பாளர் நற்பெயர் சரிபார்ப்புகள் மற்றும் முறைகேடுகளைக் கண்டறிதல்.
தகவலறிந்திருங்கள்
எங்கள் குழு ஒவ்வொரு வாரமும் இந்தப் பக்கத்தைப் புதுப்பிக்கிறது. விழிப்பூட்டல்களையும் விரிவான அறிக்கைகளையும் பெற:
- எங்கள் குழுசேர் செய்திமடல்
- பின்பற்றவும் @XygeniSecurity Linkedin இல்
- சமீபத்திய தகவல்களைப் பெற இந்தப் பக்கத்தை புக்மார்க் செய்யவும். npm தீம்பொருள் மற்றும் pypi தீம்பொருள் அச்சுறுத்தல்கள்
