ప్రతి వారం లాగే, మా మాల్వేర్ గుర్తింపు వ్యవస్థలు పబ్లిక్ రిజిస్ట్రీలలోని వేలాది కొత్త మరియు నవీకరించబడిన ప్యాకేజీలను స్కాన్ చేస్తాయి. మేము 2026 అక్టోబర్ 4 మరియు 9 మధ్య 35 హానికరమైన ప్యాకేజీ వెర్షన్‌లను నిర్ధారించాము. — npmలో 31, PyPIలో 3 మరియు Composerలో 1 — వీటికి నాయకత్వం వహించినవి: మూడు నిమిషాల వ్యవధిలోనే పది ప్యాకేజీలు ప్రచురించబడటం, ఒక్కొక్కటి నాలుగు వెర్షన్ల వరకు విస్తరించిన రెండు స్కోప్డ్ నేమ్‌స్పేస్‌లు, మరియు ఇప్పటికీ కొనసాగుతున్న బెయిలీస్ అనుకరణ ప్రచారం.
మూడు నిమిషాల్లో పది
అక్టోబర్ 4న, 01:00 మరియు 01:03 మధ్య, పది npm ప్యాకేజీలు ఒకదాని తర్వాత ఒకటి ధృవీకరించబడ్డాయి, ప్రతి ఒక్కటి పిన్ చేయబడింది 100.0.0: ai-workshop-radio-app, ai-workshop-radio-lambda, ai-workshop-maa15-radio, apl-rive-renderer, brioche-apl-dev-env, figma-to-apl, alexa-cybertron-team-code-review-agent, live-detection-dashboard, okra-cloud-cdk మరియు niksinnkatalapp - తో eslint-plugin-skywagon-web అదే స్థాయికి చేరుకోవడం 100.0.0 ఆ రోజు ఉదయం అంతకుముందే. ఆ పేర్లే అసలు విషయం చెబుతున్నాయి: పబ్లిక్ npmలో ఉండటానికి ఎటువంటి కారణం లేని, అంతర్గతంగా పనిచేస్తున్నట్లు అనిపించే టూల్స్. వాటిని పిన్ చేయడం 100.0.0 ఇది చట్టబద్ధంగా కనిపించే ప్రయత్నం కాదు. ఇది ఒక అంతర్గత ప్యాకేజీ ఏ వెర్షన్‌కు పరిష్కరించబడినా, దాని కంటే పై స్థాయిలో ఉండే ప్రయత్నం, తద్వారా తప్పుగా కాన్ఫిగర్ చేయబడిన బిల్డ్ మొదట దాడి చేసేవారి కాపీని చేరుకుంటుంది.
స్కోప్డ్ పేర్లు, విస్తరించిన వెర్షన్లు
రెండు స్కోప్డ్ నేమ్‌స్పేస్‌లు అదే ఆలోచనను మరింత ఓపికతో స్వీకరించాయి. @inpeek/odata మరియు @inpeek/odata-angular ఒక్కొక్కరుగా అడ్డంగా నెట్టబడ్డారు 99.99.99, 99.99.100, 99.99.101 మరియు 99.99.102 అక్టోబర్ 5న — ఆ జంటకు సంబంధించిన ఎనిమిది వెర్షన్లు. అక్టోబర్ 9న, @galicia-toolkit/tag-manager మరియు @galicia-toolkit/spa-build-config వద్దకు వచ్చారు 999.0.5 మరియు 999.0.6ఒక కంపెనీ యొక్క ప్రైవేట్ టూల్‌కిట్‌లా అనిపించే, మరియు ఏ నిజమైన విడుదలకు చేరని వెర్షన్‌లకు పరిమితం చేయబడిన స్కోప్డ్ పేర్లు, డెవలపర్‌ను కాకుండా రిసాల్వర్‌ను లక్ష్యంగా చేసుకున్న డిపెండెన్సీ గందరగోళాన్ని సూచిస్తాయి.
టైపోస్క్వాట్స్, PoCలు మరియు తిరిగి వస్తున్న ప్రచారం
వారంలో మిగిలిన రోజులు తెలిసిన అంచులను నింపాయి. cloud-baileys రవాణా 1.1.42ఆగస్టు నుండి మేము గమనిస్తున్న బెయిలీస్ అనుకరణ ప్రచారంలో తాజా పరిణామం — చివరి సారాంశం 1.1.41. @tunstock/remact-dom తృటిలో తప్పిపోయింది react-domలాక్‌ఫైల్‌ను అలసటగా ఒక్కసారి చూస్తే చాలు, కనుక కనపడకుండా పోయే ఒకే ఒక్క అక్షరంతో కూడిన పనికిమాలిన తప్పు లాంటిది. @rutxploit-sec/waves-button-poc వరుసగా మూడు “PoC” వెర్షన్‌లను పంపారు, voxeval మూడు PyPI పాయింట్ విడుదలలలో ధృవీకరించబడింది, మరియు slimfit/formbase ఆ వారపు ఏకైక కంపోజర్ ఎంట్రీగా నిలిచింది.
ఈ వారపు సంగ్రహం మా కొనసాగుతున్న ప్రక్రియలో భాగం హానికరమైన కోడ్ డైజెస్ట్DevSecOps బృందాలు తమను తాము రక్షించుకోవడంలో సహాయపడటానికి మేము కొత్త ముప్పులను ధృవీకరించే చోట, pipelineనష్టం జరగడానికి ముందే.
పూర్తి జాబితా: 35 ధృవీకరించబడిన హానికరమైన ప్యాకేజీ వెర్షన్లు
ఈ వారం మనకు ఏమి చెబుతోంది
ఈ వారం స్వరూపం వేగం మరియు మారువేషం. పది ప్యాకేజీలు 100.0.0 మూడు నిమిషాల వ్యవధిలో పది కాదుcisఅయాన్లు; ఇది ఒకే స్క్రిప్ట్. పేలోడ్ కంటే దానిని ఉంచే ప్రదేశానికే ఎక్కువ ప్రాముఖ్యత ఉంటుంది: అది మీ ప్రైవేట్ రిజిస్ట్రీలో ఉండాల్సినట్లుగా కనిపించే ఒక పేరు, రిజల్యూషన్ రేసులో గెలవడానికి సరిపడా అధిక వెర్షన్ నంబర్‌ను కలిగి ఉండాలి. ఆ పేర్లలో చాలా వరకు ప్రస్తుత AI మరియు ఏజెంట్ టూలింగ్ యొక్క ఆధునిక పోకడలపై ఆధారపడి ఉంటాయి — ఉదాహరణకు కోడ్-రివ్యూ ఏజెంట్, AI-వర్క్‌షాప్ సెట్, ఫిగ్మా-టు-APL కన్వర్టర్ వంటివి — ఎందుకంటే బృందాలు అంతర్గత ప్యాకేజీలను అత్యంత వేగంగా అక్కడే రూపొందిస్తున్నాయి, మరియు ఆ వేగంలోనే గందరగోళం ఉంటుంది.
ఆ ఉధృతి వెనుక, నెమ్మదైన ప్రచారాలు వాటి లయను కొనసాగించాయి. బెయిలీస్ ఇప్పటికీ ప్రచురిస్తోంది, ఇప్పుడు cloud-baileys 1.1.42స్కోప్డ్ నేమ్‌స్పేస్‌లు ఇప్పటికీ ఒకేసారి నాలుగు వెర్షన్ల చొప్పున పెంచబడుతున్నాయి, @inpeek కు @galicia-toolkit. ఒక react-dom ఒకేలా కనిపించే దానికి ఇప్పటికీ ఒకే ఒక్క అజాగ్రత్త ఇన్‌స్టాల్ చాలు. అవి వచ్చినప్పుడు ఈ పేర్లలో దేనికీ సంతకం లేదు — అవి కొత్తవి, సరిగ్గా అలాంటి అంతరాన్ని పూడ్చడానికే రియల్ టైమ్ డిటెక్షన్ ఉంది.
Xygeni మాల్వేర్ ముందస్తు హెచ్చరిక npm, PyPI, Maven, Composer, OpenVSX మరియు ఇతర రిజిస్ట్రీలను నిజ సమయంలో పర్యవేక్షిస్తుంది, ముప్పులు ఒక బిల్డ్‌కు చేరకముందే మరియు ఒక AI ఏజెంట్ వాటిని స్వయంగా ఇన్‌స్టాల్ చేయకముందే, అవి ప్రచురించబడినప్పుడే వాటిని గుర్తించి హెచ్చరిస్తుంది. మూడు నిమిషాల్లో పది ప్యాకేజీలు చేరినప్పుడు, సంతకం కోసం వేచి ఉండే గుర్తింపు రోజుల తరబడి ఆలస్యం కాదు; అది మొత్తం దాడి జరిగినంత ఆలస్యం అవుతుంది. Xygeni యొక్క Open Source Security ప్లాట్‌ఫారమ్, DevSecOps బృందాలు మొదట ముఖ్యమైన వాటిపై చర్య తీసుకోవడానికి అవసరమైన ప్రాధాన్యతను జోడిస్తుంది.
