ХИБ; DR
Бастаҳои зараровари npm як ҳодисаи тасодуфӣ нестанд. Онҳо як амалиёти нашри пайваста мебошанд ва рӯйхати ҳолатҳои тасдиқшуда ҳар ҳафта нав карда мешавад. Across seven consecutive editions of our Malicious Code Digest, now past its 87th, Xygeni confirmed 635 бастаи зараровар, from 13 in a quiet week to 206 in a busy one. The weekly range is the point: this is a cadence, not an incident.
- Мушкилот дар ритми мусиқӣ аст. Як баста дар як ҳафта аз сифр ба беш аз 55 версия расид. Кластерҳои дигар қариб 30 номи бастаро дар камтар аз се соат нашр карданд. Аудити ҳафтаина воҳиди нодурусти вақт аст.
- Онҳо ҳамчун CVE намеоянд. Бастаи зараровар камбудии рамзи қонунӣ нест, аз ин рӯ, ягон огоҳӣ, ягон хол ва одатан умуман ягон идентификатор вуҷуд надорад. Барномаи ба осебпазирӣ асосёфта аз ҷиҳати сохторӣ ба ин чашм мепӯшад.
- Рафтан ҳимоят нест. Бастаҳо одатан аз якчанд дақиқа то соат фаъол мебошанд. Насби шумо ё дар он тиреза рух додааст ё не.
- Ошкоркунӣ бояд ҳангоми нашр ва татбиқи он ҳангоми насб анҷом дода шавад. Ҳар чизе, ки интизори имзо, CVE ё сканкунии ҳафтаина аст, пас аз сохташудае, ки онро кашидааст, меояд.
Рӯйхат вуҷуд дорад. Ин бо тамошо кардан яксон нест
Дар бораи бастаҳои зараровари npm ягон сирре нест. Ҳолатҳои тасдиқшуда ҳар ҳафта, аз ҷумла дар ... нашр, номбар ва сабт карда мешаванд. Дайҷести рамзҳои зараровари худи Xygeni, ки ҳоло аз нашри ҳаштоду ҳафтуми он гузаштааст.
Фосила маълумот нест. Ин диққат ва қадди садо аст. Рӯйхате, ки ҳарҳафтаина нав карда мешавад, ҳармоҳа хонда мешавад ва дар семоҳа амал карда мешавад, рӯйхатест, ки он чизеро, ки аллакай бо касе рӯй додааст, сабт мекунад.
Ин аст он чизе ки ҳафт ҳафта ба назар мерасид, ки аз натиҷаҳои тасдиқшудаи худи мо гирифта шудааст, на аз пурсиши фурӯшандагон.
Нақшае, ки муҳим аст, ҷамъи натиҷаҳо нест, балки суръат дар дохили ҳар ҳафта аст.
Суръат тамоми ҳамла аст
Се хулоса аз он ҳафтаҳо, ки ҳар кадоме роҳи дигари баррасии пешсафанд.
- Обхезии версия. Як бастаи ягонаи npm,
zevairouter, дар як ҳафта ба зиёда аз 55 версияи тасдиқшуда расид ва ба даҳ версияи дигар аз бастаи ҳамроҳ ҳамроҳ шуд. Дар PyPI,bingo-aiқариб 80 версияро дар тӯли тақрибан 30 дақиқа таҳия кардааст. Ҳеҷ раванди баррасии дастӣ бо ин суръат кор намекунад ва кори шабона низ чунин нест. - Кластерҳои ҳамоҳангшуда. Дар давоми ҳамон чанд дақиқа ҳабдаҳ баста, ки номҳои хидматрасонии дохилии PayPal-ро тақлид мекарданд, нашр шуданд, ки ҳама дар версияи 28.0.0 буданд. Ин ҳаҷм нест, ин як мусобиқа аст: рақами версияи муболиғашуда вуҷуд дорад, ки аз бастаи дохилии дастаҳои худи шумо болотар аст. Ҳамин ҳила чанд ҳафта пас бо...
@umschool/platformдар 999.0.0 нашр шудааст. - Устуворӣ тавассути бартарафкунӣ. Маъракаи тақлид ба шахсияти Бэйли ҳафтаҳо боз идома дорад. Номҳо иваз мешаванд, версияҳо зиёд мешаванд, нусхабардории такрорӣ пас аз ошкоршавӣ идома меёбад. Операторе, ки барҳамдиҳиро ҳамчун хароҷоти пешбурди тиҷорат баррасӣ мекунад, на ҳамчун сабаби қатъ кардан, операторест, ки шумо як маротиба дар як семоҳа ба он расида наметавонед.
Ва вақти нигоҳдорӣ аз рӯи тарҳ кӯтоҳ аст. Дар як кластери ахир, бастаҳо пеш аз нест кардан аз 17 дақиқа то 13 соат фаъол буданд.
Инро ҳамчун тирезаи экспозиция хонед, на ҳамчун метрикаи иҷроиш барои регистр. Агар дар давоми он як сохтан иҷро шуда бошад, несткунӣ ҳеҷ чизро тағйир намедиҳад.
Чаро барномаи осебпазирии шумо инро намебинад?
Ин нуктаи сохторӣ аст ва он чизест, ки аксари дастаҳои амниятӣ онро аз худ накардаанд.
Осебпазирӣ камбудие дар рамзест, ки касе бо нияти нек навиштааст. Бастаи зараровар як артефакти қасданест, ки аз ҷониби ҳамлагар нашр шудааст, одатан бе идентификатор, бе огоҳӣ ва мӯҳлати истифодааш бо соат чен карда мешавад. Ҳар як раванде, ки дар атрофи воридкунии CVE, баҳодиҳии шиддат ва тирезаҳои часбкунӣ сохта шудааст, барои аввал тарҳрезӣ шуда, ба дуюмӣ ба таври пешфарз татбиқ карда шудааст.
Набудани идентификатор дар системаи CVE як нодидагирӣ нест. Ин категорияест, ки мувофиқи тарҳрезӣ кор мекунад: ҳеҷ кас нисбати артефакте, ки тамоми мақсади он зараровар буд, огоҳӣ намедиҳад ва то он даме, ки касе тавонист, баста аз байн меравад. Ин маънои онро дорад, ки саволи "оё ин CVE дорад?” барои бастаи тоза ва барои дуздии эътимоднома, ки як соат пеш нашр шуда буд, ҳамон ҷавобро бармегардонад.
Ҳоло борҳои боркаш дар асл чӣ кор мекунанд
Тасаввуроти соддалавҳонаи бастаҳои зараровари npm як майнери крипто аст. Воқеияти кунунӣ дуздии эътимодномаҳоест, ки ба таҳиягарон ва бештар ба эътимодномаҳои зеҳни сунъӣ дар мошинҳои онҳо нигаронида шудааст.
Дар ФантомСинк кластер, ҳашт бастаи npm, ки дар як ҳисоб нашр шудаанд, маҳз ҳамон тавре ки таблиғ шуда буд, кор мекарданд, дар ҳоле ки як дроппери худкорро пинҳон мекард, ки тақрибан 37 сония пас аз воридот фаъол шуд, бори фоиданокеро, ки ҳамчун дастгоҳи санҷиши қалбакӣ намоиш дода шуда буд, рамзкушоӣ кард, persistence-и байниплатформавиро насб кард ва дузди ҳамён ва сиррро ба кор андохт. Таъхир, пинҳон кардан, идома додан, ифлос кардан.
Дар миқёси васеътар, мавҷи CHAINDROP аз Кирми Шай-Ҳулуд Дар аввали моҳи августи соли 2026 зиёда аз 400 баста ва 1,700 версия бо дар маҷмӯъ 1.3 миллиард зеркашии моҳона ба даст омад. Коллекторҳои он зиёда аз 300 намунаи эътимоднома, аз ҷумла калидҳои OpenAI, Anthropic ва Cursor-ро скан карданд. Мошинҳои таҳиякунанда пеш аз ин арзишманд шуданд.cisхеле аз сабаби эътимодномаҳои модел, ки дар онҳо ҳастанд.
Пайравӣ аз пул анъанаҳои номгузорӣ пайдо шуданд. Кластерҳои ахир тақлид ба SDK-ҳои крипто ва DeFi, модулҳои пардохт, китобхонаҳои API-и WhatsApp, утилитаҳои AWS ва дар як ҳолат, бастае, ки ба таври ошкоро ба номи як абзори ҳамлагари торик-LLM тамғагузорӣ шудааст, тақлид мекунанд.
Чӣ воқеан бастаҳои зараровари npm-ро бозмедорад
Чор назорат, бо тартиби пардохташон.
1. Ошкоркунӣ ҳангоми нашр, на ҳангоми ифшо. Огоҳии барвақти нармафзори зараровари Xygeni бастаҳои нав нашршударо дар npm, PyPI, Maven ва дигар регистрҳо дар лаҳзаи пайдоиши онҳо таҳлил мекунад, бо истифода аз таҳлили рафторӣ ва аномалия ба ҷои интизории имзо ё гузориш. Ин ягона нуқта дар ҷадвали вақт аст, ки пеш аз сохтани шумост.
2. Татбиқи қоидаҳо дар ҷое, ки насб сурат мегирад. Ошкоркунӣ ба шумо мегӯяд, ки баста зараровар аст. Сиёсате, ки насбкуниро масдуд мекунад, он чизест, ки скрипти пас аз насбро аз кор андохтан бозмедорад. Ин ҳоло муҳимтар аст, зеро агентҳо вобастагиҳоро бе интихоби инсон насб мекунанд.
3. Файлҳои қулф ва пиннинги хэш. истифода бурдан npm ci дар CI ба ҷои npm install, бинобар ин дарахти вобастагии дақиқ дар файли қулфкунӣ ҳамон чизест, ки сохта мешавад. Он масири ивазкуниро, ки typosquats ва версияҳои пурқувват ба он такя мекунанд, мебандад.
4. Бозёфтҳо дар як ҷо. Ёфтаҳои нармафзори зараровар дар ҳамон навбати афзалиятноки шумо қарор доранд SCA ва ёфтаҳои рамз, на дар канали алоҳидае, ки касе аз он чашмак мезанад. Вобастагии зараровари тасдиқшуда бояд аз CVE-и миёнаҳаҷм болотар бошад ва танҳо модели хатари муштарак ин муқоисаро имконпазир мегардонад.
Рӯйхатро тамошо кунед ё онро автоматӣ кунед
Ҳеҷ кас таваҷҷӯҳе надорад, ки ҳар ҳафта як лентаи феҳристро хонад. Мақсади автоматикунонии он дар ҳамин аст.
Xygeni бастаҳои нав нашршударо дар npm ва дигар регистрҳо дар лаҳзаи нашр таҳлил мекунад, нармафзори зараровари тасдиқшударо пеш аз расидан ба як сохтор қайд мекунад ва ёфтаҳоро дар ҳамон навбати афзалиятнок мегузорад, ки ҳама чизҳои дигаре, ки дастаҳои шумо аллакай аз онҳо кор мекунанд. Муайян кардани нармафзори зараровар дар нақшаи ройгони таҳиягар дохил карда шудааст, ки барои аксари сатҳҳои ройгони ин категория дуруст нест.
Оғози ройгон, ё хонед Дайҷести рамзҳои зараровари ин ҳафта аввал.
Саволҳои зиёд такрормешуда
Бастаҳои зараровари npm чистанд?
Бастаҳое, ки дар феҳристи npm нашр шудаанд ва қасдан барои расонидани зарар сохта шудаанд: дуздони эътимоднома ва ҳамёнҳо, дарҳои қафо, дропперҳо ва артефактҳои печида аз вобастагӣ, ки номҳои бастаҳои дохилӣ ё маъмулро тақлид мекунанд.
Бастаҳои зараровари npm то чӣ андоза маъмуланд?
Continuously. Across seven recent editions of our Malicious Code Digest, Xygeni confirmed 635 malicious packages, ranging from roughly a dozen in a quiet week to over 200 during active campaigns. npm accounts for the overwhelming majority.
Бастаҳои зараровари npm чӣ қадар дастрас боқӣ мемонанд?
Аксар вақт аз дақиқаҳо то соатҳо. Ин тиреза муҳим аст, зеро сохторе, ки дар дохили он кор мекунад, новобаста аз он ки баста чӣ қадар зуд тоза карда мешавад, аллакай таъсир мерасонад.
Оё бастаҳои зараровари npm CVE-ҳоро мегиранд?
Одатан не. Онҳо артефактҳои нашркардаи ҳамлагарон мебошанд, на камбудиҳо дар рамзи қонунӣ ва маъракаҳои пайгирии соли 2026 ҳангоми истифодаи фаъол ягон супориши CVE нагирифтанд.
Чӣ тавр ман метавонам пеш аз насб кардани баста зараровар будани онро тафтиш кунам?
Ба ҷои абзоре, ки бастаҳоро ҳангоми нашр таҳлил мекунад, аз абзоре истифода баред, ки рӯйхати бадбахтиҳои маълумро тафтиш мекунад, ношир ва таърихи версияро тасдиқ мекунад, аз рақамҳои ғайриоддии баланди версияҳо ва ҳисобҳои нав шубҳанок бошед ва сиёсатро дар вақти насб татбиқ кунед, на ба баррасӣ такя кунед.
Нофаҳмии вобастагӣ чист?
Нашри бастаи оммавӣ бо ҳамон ном бо бастаи дохилӣ, одатан дар версияи муболиғашуда, аз ин рӯ ҳалкунанда нусхаи ҳамлагарро афзалтар медонад. Кластер-номи PayPal дар версияи 28.0.0 як мисоли китоби дарсӣ аст.
