ప్రతి వారం లాగే, మా మాల్వేర్ గుర్తింపు వ్యవస్థలు పబ్లిక్ రిజిస్ట్రీలలోని వేలాది కొత్త మరియు నవీకరించబడిన ప్యాకేజీలను స్కాన్ చేస్తాయి. మేము సెప్టెంబర్ 18 మరియు 25, 2026 మధ్య 24 హానికరమైన ప్యాకేజీ వెర్షన్‌లను నిర్ధారించాము.అవన్నీ npm లో ఉన్నాయి, అదే రెండు నిమిషాల్లో వరుస సంఖ్యలతో ఆరు ప్యాకేజీలు ప్రచురించబడ్డాయి, ఒక స్కోప్డ్ నేమ్‌స్పేస్‌పై ఒకేసారి మూడు దిశల నుండి దాడి జరిగింది, మరియు ఒక అంతర్గత ప్యాకేజీని సూటిగా సూచించే రెండు పేర్లు ఉన్నాయి.
simple-date-formatter-new-11 ద్వారా -16 సెప్టెంబర్ 25న ఉదయం 06:01 మరియు 06:03 మధ్య, వెర్షన్ 1.0.0తో ఆరు ప్యాకేజీలు ప్రచురించబడ్డాయి, వీటిని చివర ఉన్న సంఖ్య ద్వారా మాత్రమే గుర్తించవచ్చు. ఆ పేర్లే అసలు విషయాన్ని తెలియజేస్తాయి. డేట్ ఫార్మాటర్‌పై పనిచేసే ఏ ఒక్కరూ రెండు నిమిషాల లోపు వెర్షన్ పదకొండు నుండి పదహారుకు చేరుకోలేరు. ఇది పేర్లను నింపడానికి రూపొందించబడిన ఒక క్రమం, మరియు దాని సాధారణ యుటిలిటీ ఫ్రేమింగ్ కారణంగానే అది డిపెండెన్సీ జాబితాలో ఒక్క చూపులో కనపడకుండా నిలిచిపోతుంది.
siriusbeyond అదే ఆపరేషన్‌లో రెండు రూపాల్లో కనిపించింది: సెప్టెంబర్ 20న 1.0.0 వద్ద అన్‌స్కోప్డ్ ప్యాకేజీగా, ఆ తర్వాత @siriusbeyond/auth, @siriusbeyond/ui మరియు @siriusbeyond/utilsసెప్టెంబర్ 24న, అన్నీ 99.0.0 వద్ద పిన్ చేయబడ్డాయి, వాటితో పాటు @dbbhk/ui-components అదే వెర్షన్‌లో మరియు అదే బ్యాచ్‌లో. ఒక పేరు యొక్క స్కోప్డ్ మరియు అన్‌స్కోప్డ్ రూపాలను కవర్ చేయడం అనేది, డెవలపర్ ఏ ప్యాకేజీని ఎంచుకుంటాడనే దానిపై కాకుండా, టార్గెట్ యొక్క రిజాల్వర్ ఎలా ప్రవర్తిస్తుందనే దానిపై ఆధారపడి ఉంటుంది.
కూడా గమనించదగినది: commerce-materials మరియు byted-commerce-materials ఒక నిమిషం వ్యవధిలో, రెండూ 1.0.0 వెర్షన్‌లో ప్రచురించబడ్డాయి, మరియు దాడి చేసేవారికి అంతర్గత ప్యాకేజీ ఉనికి గురించి తెలిసినప్పుడు, ఒక సాధారణ పేరును విక్రేత-ప్రిఫిక్స్‌తో కూడిన దాని జంటతో జతచేయడం అనేది డిపెండెన్సీ గందరగోళం తీసుకునే రూపం. వారమంతా మళ్ళీ వెర్షన్ ఇన్ఫ్లేషన్ కొనసాగింది. bulk-add-sdk 1.99.99 వద్ద, @alphaspace/core 99.0.1 మరియు 99.0.2 వద్ద, మరియు పైన ఉన్న 99.0.0 క్లస్టర్. n8n-nodes-data-transformer-utils గత వారం మేము గుర్తించిన n8n నోడ్ అనుకరణ కొనసాగుతోంది, మరియు my-auto-follow 1.0.6 మరియు 1.0.7 వెర్షన్లు ఒకదాని తర్వాత ఒకటి విడుదలయ్యాయి.
ఈ వారపు సంగ్రహం మా కొనసాగుతున్న ప్రక్రియలో భాగం హానికరమైన కోడ్ డైజెస్ట్DevSecOps బృందాలు తమను తాము రక్షించుకోవడంలో సహాయపడటానికి మేము కొత్త ముప్పులను ధృవీకరించే చోట, pipelineనష్టం జరగడానికి ముందే.
రెండు నిమిషాల్లో ఆరు: ఈ వారం 24 హానికరమైన ప్యాకేజీ వెర్షన్లు
ఈ వారం సారాంశం గత వారం కంటే చిన్నదిగా మరియు మరింత పటిష్టంగా ఉంది: 24 ధృవీకరించబడిన వెర్షన్లు, వాటిలో ప్రతి ఒక్కటీ npm లో ఉన్నాయి, అదే రెండు నిమిషాల వ్యవధిలో వరుస సంఖ్యలతో ఆరు ప్యాకేజీలు ప్రచురించబడ్డాయి మరియు ఒకే పేరు ఒకేసారి స్కోప్డ్ మరియు అన్‌స్కోప్డ్ రూపంలో చేర్చబడింది.
simple-date-formatter-new-11 ద్వారా -16 సెప్టెంబర్ 25న ఉదయం 06:01 మరియు 06:03 మధ్య, చివరన ఉన్న అంకె తప్ప మిగతావన్నీ 1.0.0 వెర్షన్‌లో అప్‌లోడ్ చేయబడ్డాయి. ఒక డేట్ ఫార్మాటర్ యొక్క పదహారవ వెర్షన్‌ను ఎవరూ రెండు నిమిషాల్లో చేరుకోలేరు. అది కేవలం ఒక వృత్తి, దానికి అందుబాటులో ఉన్న అత్యంత బోరింగ్ యుటిలిటీ లేబుల్‌ను పెట్టారు, తద్వారా అది డిపెండెన్సీ జాబితాలో ఒక్క చూపులో కనపడకుండా ఉంటుంది. siriusbeyond ఆపరేషన్ మరో విధంగా సాగింది, అదే పేరు గల రెండు రూపాలను కవర్ చేస్తూ: సెప్టెంబర్ 20న పరిధి లేని ప్యాకేజీ, ఆ తర్వాత @siriusbeyond/auth, /ui మరియు /utils నాలుగు రోజుల తర్వాత 99.0.0 వద్ద, @dbbhk/ui-components అదే బ్యాచ్‌లో. రెండు రూపాలపై పందెం వేయడం అంటే డెవలపర్‌పై కాకుండా రిసాల్వర్‌పై పందెం వేయడం.
మరియు అత్యంత శ్రద్ధగా గమనించాల్సిన జంట: commerce-materials మరియు byted-commerce-materialsఒకే వెర్షన్‌లో, ఒక నిమిషం వ్యవధిలో ప్రచురించబడ్డాయి. దాడి చేసే వ్యక్తికి అంతర్గత ప్యాకేజీ ఉనికి గురించి ముందే తెలిసినప్పుడు, వెండర్-ప్రిఫిక్స్‌తో ఉన్న దాని జంట ప్యాకేజీ పక్కన ఉండే ఒక సాధారణ నామమే డిపెండెన్సీ గందరగోళానికి నిదర్శనంగా కనిపిస్తుంది. వీటన్నిటి కింద మళ్ళీ వెర్షన్ ఇన్ఫ్లేషన్ నడిచింది, లో bulk-add-sdk 1.99.99 మరియు @alphaspace/core 99.0.1 మరియు 99.0.2 వద్ద.
వారు వచ్చినప్పుడు ఈ పేర్లలో దేనికీ సంతకం లేదు. అవి కొత్తవి, అసలు విషయం కూడా అదే.
Xygeni మాల్వేర్ ముందస్తు హెచ్చరిక ఇది npm, PyPI, Maven, Composer, OpenVSX మరియు ఇతర రిజిస్ట్రీలను నిజ సమయంలో పర్యవేక్షిస్తుంది, ముప్పులు ప్రచురించబడినప్పుడు, అవి బిల్డ్‌కు చేరకముందే మరియు ఒక AI ఏజెంట్ వాటిని స్వయంగా ఇన్‌స్టాల్ చేయకముందే వాటిని ఫ్లాగ్ చేస్తుంది. రెండు నిమిషాల్లో ఆరు ప్యాకేజీలు కనిపించినప్పుడు, సంతకం కోసం వేచి ఉండే డిటెక్షన్ రోజుల తరబడి ఆలస్యం కాదు, అది మొత్తం దాడి జరిగినంత ఆలస్యం అవుతుంది.
క్సైజెనిస్ Open Source Security సమన్వయంతో కూడిన సరఫరా గొలుసు ఒత్తిడిని అధిగమించడానికి, ఈ ప్లాట్‌ఫారమ్ DevSecOps బృందాలకు నిజ-సమయ గుర్తింపు మరియు ప్రాధాన్యతను అందిస్తుంది.
