Ҳар ҳафта, системаҳои муайянкунии нармафзори зараровари мо ҳазорҳо бастаҳои нав ва навшударо дар феҳристҳои давлатӣ ба монанди npm, PyPI ва OpenVSX скан мекунанд. Мо аз 31 июл то 7 августи соли 2026 206 бастаи зарароварро тасдиқ кардем, ки зери таъсири мавҷи нармафзори зараровар, ки ошкоро ба номи абзорҳои маъруфи ҳамлаи зеҳни сунъӣ номгузорӣ шудаанд ва кластери печида аз вобастагӣ, ки китобхонаҳои ҳамёни криптовалютаро тақлид мекунад, роҳбарӣ мекарданд.
Бозёфти ҷолибтарин: wormgpt-cli дар npm, нӯҳ версия пайдарпай дар 7 август, дар баробари бастаи ҳамроҳ, нашр шуданд, gpt-terminal-cli, ҳамон рӯз нашр шудааст. Ин ном истиноди мустақим ба WormGPT аст, ки як абзори воқеии торик-LLM аст, ки барои ҷинояткорони киберӣ барои фишинг ва тавлиди нармафзори зараровар фурӯхта мешавад ва нишон медиҳад, ки ин баста ба ҷои пинҳон шудан дар паси номи бетараф, ба шинохти бренди воситаи воқеии ҳамлагар асос ёфтааст.
Як кластери алоҳида мустақиман ба инфрасохтори криптовалюта нигаронида шуда буд: нӯҳ баста дар npm, ки ҳамёни воқеиро тақлид мекунанд ва китобхонаҳоро имзо мекунанд (ledger-lib, trezor-lib, bip32-js, ethers-lib, python-bitcoinlib, ckcc-protocol, hwi-lib, mnemonic-utils, ethereum-sign-utils), ҳама дар як равзана дар 5 август тасдиқ карда шуданд, як бозии вобастагӣ-нофаҳмиҳо дар китобҳои дарсӣ, ки ба таҳиягарони крипто ва Web3 нигаронида шудааст, ки чӣ гуна ба назар мерасад. standard имзои хизматрасониҳои коммуналӣ.
Дар markscan, akraiва iphouse кластери монанд ба мо ҳафтаи гузашта қайд карда будем, рӯ ба афзоиш ниҳод ва якчанд версияҳои дигар аз 31 июл то 1 август тасдиқ шуданд. Ҳамон равзана инчунин як кашфи ҷиддитареро ба бор овард: beaver-ui-* ва accounts-* кластер тасдиқ кард, ки 1 август маълум шуд QuietPolyfill, як дроппери семарҳилаӣ, ки ҳамчун ҷузъи UI ва бастаҳои хидматрасонии дохилӣ пинҳон карда шудааст. Боркунии муфид фаъол мешавад require(), на скрипти насбкунӣ, бинобар ин --ignore-scripts онро бознамедорад. Нуздаҳто аз бист номи бастаҳо дар давоми чанд соат пас аз ошкоркунӣ аз ҷониби оператор нашр нашуданд; яке рӯзи дигар таҳти ҳисоби дигар дубора нашр шуд ва инфрасохтори интиқол ҳангоми нашри таҳлили пурраи мо ҳанӯз фаъол буд.
Ин акси ҳафтаина қисми барномаи ҷории мост Рамзҳои зараровари дайҷест, ки дар он мо таҳдидҳои навро тасдиқ мекунем ва барои кӯмак ба дастаҳои DevSecOps дар ҳифзи онҳо маълумоти амалиро пешниҳод мекунем pipelineс пеш аз он ки зарар расад.
Вақте ки ҳаҷм бо сарборӣ мувофиқат мекунад: 206 бастаи зараровар дар ин ҳафта
Дайджести ин ҳафта ду намунаи ҳамларо нишон медиҳад, ки ба таври мувозӣ иҷро мешаванд, на танҳо нашри тезтар, балки нашри сохташуда барои иҷрои воқеӣ. wormgpt-cli дар як рӯз аз сифр ба нӯҳ версия дар npm гузашт, ки бо номи абзори воқеии торик-LLM, ки ба киберҷинояткорон фурӯхта шудааст, номгузорӣ шудааст, ҳамон суръати автоматӣ, ки ҳеҷ раванди баррасии дастӣ наметавонад ба он баробар шавад. Кластерҳои алоҳидаи нӯҳ баста, ки ҳамёни криптовалюта ва китобхонаҳои имзокуниро тақлид мекунанд (ledger-lib, trezor-lib, bip32-js, ва дигарон), ҳама дар давоми чанд соат фосилаи якдигар дар 5 август тасдиқ карда шуданд, як афтиши ҳамоҳангшуда барои пирӯзӣ дар мусобиқаи вобастагӣ-нофаҳмиҳо пеш аз он ки касе пай барад, вақт ҷудо кард.
Аммо ҷиддитарин кашфи ҳафта тамоман дар бораи ҳаҷм набуд. QuietPolyfill, ки beaver-ui-* ва accounts-* кластере, ки мо пурра вайрон кардем, маълум шуд, ки як қатрагии семарҳилаӣ аст, ки фаъол мешавад require(), на скрипти насбкунӣ, бинобар ин --ignore-scripts ҳеҷ гоҳ онро намебинад. Нуздаҳто аз бист номгӯи бастаҳо дар давоми чанд соат аз ҷониби оператори худашон гирифта шуданд ва яке рӯзи дигар бо ҳисоби дигар, бо инфрасохтори интиқол, баргардонида шуд.
Огоҳиномаи барвақтии нармафзори зараровари Xygeni npm, PyPI, OpenVSX ва дигар регистрҳоро дар вақти воқеӣ назорат мекунад ва таҳдидҳоро дар лаҳзаи нашр, пеш аз расидан ба як сохтор, пеш аз он ки агенти зеҳни сунъӣ онҳоро мустақилона насб кунад ва пеш аз он ки дроппере ба монанди QuietPolyfill имкони иҷро кардани воридоти аввалро пайдо кунад, қайд мекунад. Вақте ки баста дар як рӯз нӯҳ версияро мефиристад ё "китобхонаи ҷузъҳои UI" оромона боркунандаи имзошударо мегирад ва иҷро мекунад, ошкоркунӣ, ки пас аз ин далел кор мекунад, аллакай хеле дер аст.
Xygeni's Open Source Security платформа ба дастаҳои DevSecOps имкон медиҳад, ки дар вақти воқеӣ муайян ва афзалият диҳанд, то аз фишори занҷираи таъминоти ҳамоҳангшуда пеш гузаранд, аз ин рӯ pipelineбе суст кардани дастаҳои худ тоза бимонед.
