Her haftaKötü amaçlı yazılım tespit sistemlerimiz, npm ve PyPI gibi halka açık kayıt defterlerindeki binlerce yeni ve güncellenmiş paketi tarar. Bu hafta da bir istisna değildi.
12 Haziran ile 19 Haziran 2026 tarihleri arasında, çoğunlukla npm'de olmak üzere, PyPI'da da ek vakalarla birlikte 200'den fazla kötü amaçlı paket tespit ettik. Bunların birçoğu koordineli kümeler halinde ortaya çıktı; aynı isimler altında veya yakından ilişkili paket ailelerinde tekrarlanan kötü amaçlı sürümler yayınlandı.
Bu haftanın en dikkat çekici vakası şuydu: sensivityBu durum, npm'yi 2.5.x aralığında 70'ten fazla sürümle doldurdu ve bu durum birkaç gün boyunca doğrulandı. Diğer dikkat çekici kümelenmeler arasında bir dalga da yer aldı. @solana-labs Solana ekosistemini hedef alan typosquatlar (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — 7 Haziran ve 8 Haziran tarihlerinde gerçekleştirilen iki ayrı yayın kampanyası kapsamında — @nstrlabs aile (sdk, ixel, utils, shared-components, api-client, auth — dahili bir paket ad alanına yönelik bağımlılık karışıklığı saldırısı), @klapp-login-platform grup (native-sdk, oidc, routes — kimlik doğrulama platformunu taklit etme), internallib_v557 hem de internallib_v984 (gizlenmiş dahili kütüphane taklitçilerinin birden fazla versiyonu), pocteszep (11 Haziran'da yayınlanan 6 sürüm) ve bir dizi kripto ve Web3 yardımcı programı dahil blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87, ve farming-tools-12. morningstar-design-system Paket, 10 Haziran'da tanınmış bir finansal tasarım sistemini taklit eden üç farklı sürümde ortaya çıktı.
13 Haziran'dan itibaren tempo hızlandı. houzidawang806 Sadece bu küme, kardeş kümelerin de katılımıyla tek bir günde 25'ten fazla sürümün yayınlanmasına öncülük etti ve bu sürümlere kardeş kümeler de katıldı. houzidawang807 hem de houzidawang808. metrics-pipeline-d8k2 Paket, 15 Haziran ile 18 Haziran arasında 21 farklı sürümde sürekli olarak yeniden yayınlandı; bu, engelleme listelerinin önünde kalmak için tasarlanmış sürekli bir kaçınma kampanyasıydı. friendly-greeter-demo Paket, hafta boyunca farklı sürümlerde tekrar tekrar ortaya çıktı. Yeni bağımlılık karışıklığı girişimleri de ortaya çıktı. xy-shared, axl-ui, loadninja-shared, carousel-controller-mixin, token-prices-cron, hemi-supply-cron, portal-backend, vault-strategiesve diğer birkaç tanesi — hepsi 999.x aralığında şişirilmiş sürüm numaraları taşıyor. Rastgele onaltılık soneklere sahip yeni bir genel yardımcı program adları kümesi (color-utils-dee0, data-utils-d703, string-tools-be6c, type-check-816d, fmt-helpers-794b, metrics-probe-*) 18-19 Haziran tarihlerinde, önceden planlanmış toplu kayıt işlemine uygun olarak ortaya çıktı. Hafta şu şekilde sona erdi: trimprompt, trimprompt-hub, claude-cup, ve web3-crypto-address-utils 19 Haziran'da onaylandı. PyPI'da, neuralbridge-sdk (4.5.x–5.1.x arasında beş farklı sürüm), deepstrain, teambot-ai, hello-test-s1, ve aiaddin-agent Bu bilgiler hafta boyunca doğrulandı.
Bunlar münferit anormallikler değildi. Bu hafta öne çıkan şey, dahili paket ad alanlarına yönelik bağımlılık karışıklığı saldırılarının yoğunlaşması, kaldırma girişimlerinden daha uzun süre devam edecek şekilde tasarlanmış çok günlük yayın kampanyaları, Web3 ve DeFi araçlarının sürekli hedef alınması (2026'da önemli ölçüde hızlanan bir model) ve normal bağımlılık ağaçlarına karışarak tespit edilmekten kaçınmak için tasarlanmış genel, gürültü benzeri paket adlarının artan kullanımıydı.
Bu haftalık özet, devam eden Kötü Amaçlı Kod Özeti çalışmamızın bir parçasıdır; bu çalışmada yeni tehditleri doğruluyor ve DevSecOps ekiplerinin kendilerini korumalarına yardımcı olmak için uygulanabilir istihbarat sağlıyoruz. pipelineHasar oluşmadan önce. Bu hafta bulduklarımızı ve neden önemli olduklarını inceleyelim.
Koordineli Kampanyaların Size Ulaşmasına İzin Vermeyin Pipelines
Bu haftaki özet tek bir tehditle ilgili değildi; ölçekle ilgiliydi. 200'den fazla onaylanmış paket, birden fazla güne yayılan sürekli sürüm sel baskını ve manuel incelemelerin takip edebileceğinden daha hızlı çalışan, senaryo tabanlı toplu kayıt kampanyaları. Saldırganlar sizin yetişmenizi beklemiyor.
Xygeni Erken Kötü Amaçlı Yazılım Tespiti npm, PyPI ve diğer kayıt defterlerini sürekli olarak izler ve tehditleri, bir derlemeye dahil olduktan sonra değil, yayınlandıkları anda işaretler. Bir kampanya aynı kötü amaçlı paketin 21 sürümünü dört gün içinde yayınladığında, haftalık tarama zamanında hiçbir şey yakalayamaz.
Xygeni'nin Open Source Security Bu çözüm, DevSecOps ekiplerinize tam da bu tür koordineli baskıların önünde kalabilmeleri için ihtiyaç duydukları gerçek zamanlı görünürlüğü ve önceliklendirmeyi sağlar, böylece sizin pipelineEkiplerinizin performansını düşürmeden temiz kalmanızı sağlar.
