Ҳар ҳафта, системаҳои муайянкунии нармафзори зараровари мо ҳазорҳо бастаҳои нав ва навшударо дар феҳристҳои давлатӣ ба монанди npm, PyPI ва OpenVSX скан мекунанд. Мо аз 7 то 14 август 114 бастаи зарароварро тасдиқ кардем., 2026, таҳти роҳбарии кластери бастаҳои npm, ки ошкоро бо номи абзори воқеии ҳамлагари торик-LLM, мавҷи нофаҳмиҳои вобастагӣ, ки ба китобхонаҳои протоколи DeFi ва Web3 нигаронида шудааст ва маъракаи васеъмиқёси бренд-сквотинг алайҳи як провайдери финтехи бразилӣ.
Бозёфти ҷолибтарин: wormgpt-cli дар npm, нӯҳ версия пайдарпай дар 7 август, дар баробари бастаи ҳамроҳ, нашр шуданд, gpt-terminal-cli, ҳамон рӯз нашр шудааст. Ин ном истиноди мустақим ба WormGPT аст, ки як абзори воқеии торик-LLM аст, ки барои ҷинояткорони киберӣ барои фишинг ва тавлиди нармафзори зараровар фурӯхта мешавад ва нишон медиҳад, ки ин баста ба ҷои пинҳон шудан дар паси номи бетараф, ба шинохти бренди воситаи воқеии ҳамлагар асос ёфтааст.
Як кластери алоҳида мустақиман ба инфрасохтори молиявии ғайримарказӣ нигаронида шуда буд: даҳ номи бастаҳо дар npm, ки протоколи воқеии DeFi-ро тақлид мекунанд ва standardкитобхонаҳои с (ethereum-vault-connector, boring-vault, camelot-ammv2-core, camelot-ammv2-periphery, @aerodrome-finance/contracts, @aerodrome-finance/slipstream, permit2, @openzeppelin-4/contracts, @openzeppelin-5/contracts, passkeys-react), дар маҷмӯъ шонздаҳ версияи тасдиқшуда, ки дар тӯли чанд соат аз якдигар дар 11 август нашр шудаанд. Ин як бозии вобастагӣ-пайдоиш аст, ки бевосита ба таҳиягароне нигаронида шудааст, ки бар асоси Camelot, Aerodrome Finance ва OpenZeppelin сохта шудаанд. standard шартномаҳо.
Бузургтарин кластери ягона дар ин ҳафта тақлид ба Alelo, як провайдери имтиёзҳои корпоративӣ ва кортҳои пардохтии Бразилияро нишон дод: даҳ номи бастаҳои гуногун (alelo-core, alelo-api, alelo-client, alelo-utils, alelo-auth, alelo-sdk, alelo-services, alelo-common, alelo-payment, meualelo), ки аксаран дар ду ё се версия нашр шудаанд, барои бисту як бастаи тасдиқшуда танҳо дар 14 август. Дар баробари ин, як маъракаи алоҳидаи фазои номгузорӣ бисту як бастаи монандро нашр кард. n8n-nodes-utils-helper-* бастаҳо дар се соҳаи npm (@years17, @years18, @years20) байни 13 ва 14 август, як намунае, ки бо скваттинги автоматӣ бар зидди экосистемаи гиреҳҳои платформаи автоматикунонии n8n мувофиқ аст, на як ҳамлаи дастӣ.
Ду бастаи Maven дар зери нашрия io.github.davidtimur/c2-lab танҳо дар бораи ном қайд кардан арзанда аст. C2 ихтисораи фармон ва назорат аст ва таблиғоти бастабандӣ, ки бо номи худ кор мекунад, ё хеле беэҳтиёт аст ё санҷидани он, ки чӣ қадар зуд ошкор мешавад. Барои маълумоти бештар дар бораи хатари занҷираи таъминоти хоси Maven, ба таҳлили мо нигаред JavaCDoor, як дари пушти вақти компилятсионӣ, ки мо дар экосистемаи Maven кашф кардем.
Ин акси ҳафтаина қисми барномаи ҷории мост Рамзҳои зараровари дайҷест, ки дар он мо таҳдидҳои навро тасдиқ мекунем ва барои кӯмак ба дастаҳои DevSecOps дар ҳифзи онҳо маълумоти амалиро пешниҳод мекунем pipelineс пеш аз он ки зарар расад.
Вақте ки номе онро ошкор мекунад: 114 бастаи зараровар дар ин ҳафта
Дайджести ин ҳафта нишон медиҳад, ки ҳамлагарон ба ҷои пинҳон шудан аз шинохти бренд, ба шинохти он такя мекунанд. wormgpt-cli дар як рӯз аз сифр то нӯҳ версия дар npm гузашт, ки бо номи як абзори воқеии торик-LLM, ки ба киберҷинояткорон фурӯхта шудааст, дар баробари бастаи ҳамроҳ номгузорӣ шудааст. gpt-terminal-cli, дар ҳамон рӯз нашр шуд. Ду бастаи Maven боз ҳам пештар рафтанд ва бо номи c2-lab, фармон ва идоракунӣ дар худи номи баста навишта шудааст.
Volume достони худро дар ҷои дигар нақл кард. Кластере аз даҳ баста, ки китобхонаҳои протоколи DeFi-ро тақлид мекунад (ethereum-vault-connector, boring-vault, camelot-ammv2-core, ва дигарон) дар 11 август шонздаҳ версияи тасдиқшударо дар тӯли чанд соат фосилаи якдигар ба фурӯш бароварданд, ки як коҳиши ҳамоҳангшуда барои таҳиягарон равона шуда буд, ки чӣ гуна ба назар мерасад. standard шартномаҳо аз Camelot, Aerodrome Finance ва OpenZeppelin. Чанд рӯз пас, як кластери даҳнафара, ки худро Алело, як таъминкунандаи имтиёзҳои корпоративии Бразилия, тақлид мекард, дар як рӯз бисту як бастаи тасдиқшударо пешниҳод кард, дар ҳоле ки як маъракаи мувозӣ бисту як бастаи монандро ҷамъ овард. n8n-nodes-utils-helper-* номҳо дар се соҳаи алоҳидаи npm, ки намунае ба инфрасохтори автоматии ҷойгиркунӣ ишора мекунад, на ба як ҳамлагар, ки бо даст кор мекунад.
Огоҳиномаи барвақтии нармафзори зараровари Xygeni npm, PyPI, Maven, OpenVSX ва дигар регистрҳоро дар вақти воқеӣ назорат мекунад ва таҳдидҳоро дар лаҳзаи нашр, пеш аз расидан ба як сохтор ва пеш аз он ки агенти зеҳни сунъӣ онҳоро мустақилона насб кунад, қайд мекунад. Вақте ки фазои номгузории фарогирифташуда дар ду рӯз бисту як бастаи монандро истеҳсол мекунад ё артефакти Maven бо нияти худ дар ном фиристода мешавад, ошкоркунӣ, ки пас аз ин далел кор мекунад, аллакай хеле дер аст.
Xygeni's Open Source Security платформа ба дастаҳои DevSecOps имкон медиҳад, ки дар вақти воқеӣ муайян ва афзалият диҳанд, то аз фишори занҷираи таъминоти ҳамоҳангшуда пеш гузаранд, аз ин рӯ pipelineбе суст кардани дастаҳои худ тоза бимонед.
