Ҳар ҳафта, системаҳои муайянкунии нармафзори зараровари мо ҳазорҳо бастаҳои нав ва навшударо дар феҳристҳои давлатӣ ба монанди npm ва PyPI скан мекунанд.
Ин ҳафта махсусан фаъол буд.
Мо тасдиқ кардем 53 бастаи зараровар, асосан дар саросари данд, бо ҳолатҳои иловагӣ дар OpenVSXЯкчандтои онҳо дар кластерҳои ҳамоҳангшуда пайдо шуданд ва нашрияҳои зараровари такрорӣ бо ҳамон номҳо ё дар байни оилаҳои бастаҳои ба ҳам наздик нашр шуданд. Бисёриҳо тақлид карданд SDK-ҳои пардохтӣ, enterprise асбобҳо, утилитаҳои таҳиягар, Васеъкуниҳои OpenVSX, Бастаҳои мавзӯи зеҳни сунъӣ ва агентӣ, ҷузъҳои дастрасӣ, Ёрдамчиёни интерфейси корбарва дигар модулҳое, ки маъмулан дар ҷараёнҳои кории таҳияи муосир эътимод доранд.
Инҳо аномалияҳои ҷудогона набуданд. Он чизе, ки дар ин ҳафта диққати ҳамаро ҷалб кард, нашри такрорӣ дар байни ҳамон оилаҳои бастаҳо, истифодаи дубораи қолибҳои номгузорӣ ва тарзи пинҳон кардани бастаҳои зараровар ба монанди вобастагиҳои қонунӣ дар дохили таҳвили нармафзори воқеӣ буд. pipelines.
Ин акси ҳафтаина қисми барномаи ҷории мост Рамзҳои зараровари дайҷест, ки дар он мо таҳдидҳои навро тасдиқ мекунем ва барои кӯмак расонидан ба онҳо маълумоти амалиро пешниҳод менамоем Дастаҳои DevSecOps муҳофизат кунанд pipelineс пеш аз он ки зарар расад.
Биёед он чизеро, ки ин ҳафта ёфтем ва чаро он муҳим аст, таҳлил кунем.
| Экосистема | бастаи | таърих |
|---|---|---|
| данд | admin0911:1.0.23 | Март 14, 2026 |
| данд | admin0911:1.0.47 | Март 14, 2026 |
| данд | admin0911:1.0.59 | Март 14, 2026 |
| данд | @searchos/бот-прокси:0.1.4 | Март 10, 2026 |
| данд | baidu-ti: 1.0.0 | Март 10, 2026 |
| openvsx | Радждипчандра/спектрум-тарроҳии-нишонаҳо-барои-vscode:0.0.1 | Март 11, 2026 |
| openvsx | Радждипчандра/спектрум-тарроҳии-нишонаҳо-барои-vscode:0.0.3 | Март 11, 2026 |
| openvsx | Радждипчандра/спектрум-тарроҳии-нишонаҳо-барои-vscode:0.0.4 | Март 11, 2026 |
| данд | @genoma-ui/компонентҳо: 99.99.2 | Март 11, 2026 |
| данд | PaySafe-Payments-SDK-Common:99.0.0 | Март 13, 2026 |
| данд | Пардохтҳо бо корти PaySafe: 99.0.0 | Март 13, 2026 |
| данд | paysafe-google-pay:99.0.0 | Март 13, 2026 |
| данд | paysafe-apple-pay:99.0.0 | Март 13, 2026 |
| данд | paysafe-venmo:99.0.0 | Март 13, 2026 |
| данд | Пардохтҳо бо корти PaySafe: 99.99.1 | Март 13, 2026 |
| данд | PaySafe-Payments-SDK-Common:99.99.1 | Март 13, 2026 |
| данд | paysafe-google-pay:99.99.1 | Март 13, 2026 |
| данд | paysafe-venmo:99.99.1 | Март 13, 2026 |
| данд | unisys-core:99.99.1 | Март 11, 2026 |
| данд | unisys-auth:99.99.1 | Март 11, 2026 |
| данд | unisys-sdk:99.99.1 | Март 11, 2026 |
| данд | майдончаи бозии unisys-agentic-ai:99.99.2 | Март 11, 2026 |
| данд | unisys-auth:99.99.2 | Март 11, 2026 |
| данд | unisys-sdk:99.99.2 | Март 11, 2026 |
| данд | sysverify-core:1.0.0 | Март 13, 2026 |
| данд | Ҷустуҷӯ-филтр-мизбон: 1.0.0 | Март 13, 2026 |
| данд | magentaa11y:9.9.11 | Март 14, 2026 |
| данд | magentaa11y:9.9.12 | Март 14, 2026 |
| данд | bitu-user:99.0.0 | Март 13, 2026 |
| данд | bitu-барнома:99.0.0 | Март 13, 2026 |
| данд | rn-bitu:99.0.0 | Март 13, 2026 |
| данд | bitu-core:99.0.0 | Март 13, 2026 |
| данд | протоколи bitu: 99.0.0 | Март 13, 2026 |
| данд | биту-стейкинг: 99.0.0 | Март 13, 2026 |
| данд | биту-тиҷорат: 99.0.0 | Март 13, 2026 |
| данд | ҳамёни bitu:99.0.0 | Март 13, 2026 |
| данд | bitu-sdk:99.0.0 | Март 13, 2026 |
| данд | @gbrlxvii/ts-form-utils:1.0.2 | Март 13, 2026 |
| данд | @gbrlxvii/ts-form-utils:1.0.3 | Март 13, 2026 |
| данд | биту-стейкинг: 99.0.1 | Март 13, 2026 |
| данд | magentaa11y:9.9.16 | Март 14, 2026 |
| данд | magentaa11y:9.9.18 | Март 14, 2026 |
| данд | муҳаррири стекҳо: 9.9.9 | Март 16, 2026 |
| данд | сиёсати амниятии экспресс: 1.0.2 | Март 17, 2026 |
| данд | ixpresso-core: 1.0.1 | Март 16, 2026 |
| данд | ixpresso-core: 1.0.2 | Март 16, 2026 |
| данд | @athena-ui-components/deeplink: 0.0.41 | Март 16, 2026 |
| данд | @athena-ui-components/ёрдамчиён: 1.1.24 | Март 16, 2026 |
| данд | @athena-ui-components/lang:0.1.18 | Март 16, 2026 |
| данд | @athena-ui-components/layout: 1.2.24 | Март 16, 2026 |
| данд | ошкоркунии ашёи гиреҳи сурх саҳмгузорӣ дар роҳио: 9.1.11 | Март 16, 2026 |
| данд | ошкоркунии ашёи гиреҳи сурх саҳмгузорӣ дар роҳио: 9.1.12 | Март 16, 2026 |
| данд | монером: 1.0.7 | Март 17, 2026 |
Вобастагии кушодаасоси худро аз осебпазириҳо ва рамзи зараровар муҳофизат кунед
Хатарҳоро кам кунед ва барномаҳои худро аз бастаҳои зараровар муҳофизат кунед Муайянкунии барвақтии нармафзори зараровари Xygeni. Осебпазириҳоеро, ки аз ҳама муҳимтаранд, афзалият диҳед ва онҳоро бартараф кунед. Ҳалли ҳамаҷонибаи мо мониторинги воқеии вобастагиҳои шуморо пешниҳод мекунад, то таҳдидҳоро пеш аз таъсир расонидан ба нармафзори шумо муайян ва коҳиш диҳад.
Идоракунии ҷузъҳои кушодаасос дар фазои кунунии таҳияи нармафзор аз сабаби афзоиши осебпазириҳо ва таҳдидҳои рамзи зараровар муҳим аст. Xygeni Open Source Security Ҳалли масъала бастаҳои зарароварро пас аз нашр скан ва масдуд мекунад ва хатари ворид шудани нармафзори зараровар ва осебпазириҳоро ба системаҳои шумо ба таври назаррас кам мекунад. Мониторинги ҳамаҷонибаи мо якчанд феҳристҳои оммавиро дар бар мегирад ва кафолат медиҳад, ки ҳамаи вобастагиҳо барои бехатарӣ ва якпорчагӣ тафтиш карда мешаванд. Xygeni қобилияти дастаи шуморо барои нигоҳ доштани лоиҳаҳои нармафзори бехатар ва боэътимод тавассути афзалият додан ба масъалаҳои муҳим аз ҷиҳати контекстӣ ва осон кардани равандҳои соддакардашудаи ислоҳкунӣ беҳтар мекунад.
Xygeni аз усулҳои бисёрқабата барои боздоштани рамзи зараровар пеш аз паҳншавӣ истифода мебарад. Пеш аз ҳама, таҳлили рамзи статикӣ намунаҳои нофаҳмо, борҳои пинҳон ва сӯиистифода аз скриптро муайян мекунад. Илова бар ин, таҳлили қуттии реги рафторӣ насб мекунад hooks, фармонҳои вақти иҷро ва ҳилаҳои устуворӣ. Ғайр аз ин, муайянкунии омӯзиши мошинӣ вариантҳои нармафзори зараровари npm-и рӯзи сифр ва нармафзори зараровари pypi-ро, ки сканерҳои имзо аз даст додаанд, муайян мекунад. Ниҳоят, Системаи огоҳкунии барвақт анборҳои оммавиро дар вақти воқеӣ назорат мекунад, натиҷаҳоро тасдиқ мекунад ва фавран ба дастаҳои DevOps огоҳӣ медиҳад.
Дар натиҷа, ин омезиш кафолат медиҳад, ки таҳиягарон иттилооти зуд ва амалӣ, ки мустақиман ба он ворид карда мешаванд, мегиранд. CI/CD коргарон.
Чаро таҳиягарон бояд дар бораи бастаҳои зараровари npm ғамхорӣ кунанд
Таҳдидҳои муосир хеле кам вақти иҷроро интизор мешаванд. Масалан, бастаҳои зараровари npm аксар вақт ҳангоми насб иҷро мешаванд, дар ҳоле ки бастаҳои зараровари pypi эксфилтратсияи токен ё дарҳои қафоро пинҳон мекунанд. Ҳамлагарон:
- Барои такрор кардани анборҳои GitHub-и хусусӣ, онҳоро ба public гардонед.
- Бо истифода аз маълумотҳои рамзгузоришуда эътимодномаҳо ва асрорро хориҷ кунед.
- Барои ҷойгиркунии нармафзори ransomware ё ботнетҳо аз боркунакҳои JavaScript-и норавшан истифода баред.
Дар асл, бастаҳои зараровари кушодаасос дар як сол 156% афзоиш ёфтанд. Аз ин рӯ, дастаҳое, ки танҳо ба каналҳои таъхиршуда ё сканерҳои оддӣ такя мекунанд, аз ин ҷиҳат ақиб мемонанд.
Он чизеро, ки ин гузориши нармафзори зараровар дар npm ва PyPI пайгирӣ мекунад
Ин дайҷест маркази асосӣ барои:
- Бастаҳои зараровари npm тасдиқ шуданд
- Бастаҳои зараровари pypi тасдиқ шуданд
- Муайянкунии рамзи зараровар дар асоси рафтор
- Ҳодисаҳои тасдиқшудаи сабти ном
- Хулосаҳои гузоришҳои ҳафтаина ва моҳонаи нармафзори зараровар
- Рӯйхати тағйироти таърихии ҳамаи ёфтаҳои нармафзори зараровари npm ва нармафзори зараровари pypi
Ба ибораи дигар, он як нуқтаи истинодро фароҳам меорад. Гурӯҳи тадқиқотии Xygeni ин саҳифаро ҳар ҳафта бо истинодҳо ба таҳлилҳои пурраи техникӣ ва IOC-ҳои GitHub навсозӣ мекунад.
Чӣ тавр аз бастаҳои зараровари npm ва нармафзори зараровари PyPI муҳофизат кардан мумкин аст
Аз сабаби ин хатари афзоянда, ташкилотҳо ба ҳимояи қавӣ ниёз доранд:
- Насбҳои танҳо барои файлҳои қулфшаванда (
npm ci) дар CI/CD. - Илова бар ин, вобастагиҳои сканкунӣ бо истифода аз муҳаррики огоҳкунии барвақти Xygeni пешакӣ насб карда мешаванд.
- Ғайр аз ин, блок бо истифода аз сигналҳои рамзи зараровар сохта мешавад. Guardrails.
- ҳосил кардан SBOMс барои пайгирии вобастагиҳои ғайримустақим ва татбиқи сиёсатҳо.
- Пеш аз ҳама, ба таҳиягарон омӯзонед, ки хатогиҳои чопӣ, печидашавӣ ва скриптҳои насби шубҳанокро муайян кунанд.
Асбобҳои ошкоркунии нармафзори зараровари Xygeni-ро санҷед
Xygeni пешниҳод мекунад:
- Муайянкунии вақти воқеӣ аз рамзи зараровар, аз ҷумла backdoors, нармафзори ҷосусӣ ва ransomware.
- Баръакси сканерҳои оддӣ, таҳлил дар саросари npm, PyPI, Maven, NuGet, рубигемс, Ва бештар.
- Вақте ки гузориши нармафзори зараровар хатарро муайян мекунад, ба таври худкор бастани сохтмон.
- Маълумоти истифодабарӣ, санҷиши обрӯи нигоҳдоранда ва ошкор кардани аномалияҳо.
