Her haftaKötü amaçlı yazılım tespit sistemlerimiz, npm ve PyPI gibi halka açık kayıt defterlerindeki binlerce yeni ve güncellenmiş paketi tarar. Bu hafta da bir istisna değildi.
26 Haziran ile 3 Temmuz 2026 tarihleri arasında npm ve PyPI genelinde 90'dan fazla kötü amaçlı paket tespit ettik; önceki haftalardan devam eden bazı kampanyalar ve ortaya çıkan yeni kampanyalar mevcut.
MKS nolimit-agent Kampanya, Microsoft 365 cihaz kodu kimlik avı çerçevesini genişleten yeni sürümler (1.0.306, 1.0.315, 1.0.316) yayınlamaya devam etti; bu çerçeveyi daha önce ayrıntılı olarak belgeledik. DeviceDoor raporu. anthropic-toolkit Kümeleme, 30 Haziran'da tek başına 20 sürümü onaylanan ve doğrudan Anthropic'in geliştirici araçlarıyla ilişkili paketleri hedefleyen baskın yeni kampanya oldu. cursed-modules Aile, 1 Temmuz ile 2 Temmuz tarihleri arasında her iki platformda da 15'ten fazla versiyon yayınladı. standard ve bağımlılık karmaşası senaryosunu takip ederek şişirilmiş sürüm numaraları (999.x). date-fns-lite Cluster (5 sürüm, 2 Temmuz), meşru ve yaygın olarak kullanılan yardımcı program paketlerini taklit etme modelini sürdürdü.
Geçen hafta oluşturulan yapay zeka araçları hedefleme modeli ile ollama-helpers hem de openai-agents-helpers bu döneme kadar uzandı ai-explain, ai-sdk-helpers, ve @langgraphjs/toolkitTüm onaylar 28 Haziran ile 30 Haziran arasında verildi. @szc-ft/mcp-szcd-client Paket (0.38.0 ve 0.39.0 sürümleri, 2 Temmuz'da onaylandı) yeni bir model tanıttı ve biz de bunu takip ediyoruz. BeceriSızıntısı: Kurulum kancası yerine bir MCP becerisinin içine gizlenmiş, kurulum sonrası aşamada duran tarayıcılar için görünmez bir kimlik bilgisi çözücü. Yayınladık. SkillLeak'in tüm analizine buradan ulaşabilirsiniz..
Bu haftalık özet, devam eden çalışmalarımızın bir parçasıdır. Kötü Amaçlı Kod ÖzetiBurada yeni tehditleri doğruluyor ve DevSecOps ekiplerinin sistemlerini korumalarına yardımcı olmak için uygulanabilir istihbarat sağlıyoruz. pipelineHasar oluşmadan önce. Bu hafta bulduklarımızı ve neden önemli olduklarını inceleyelim.
90'dan fazla paket. Bir hafta. Pipeline Hedef budur.
Bu haftaki özet, saldırganların odak noktasındaki değişimi yansıtıyor; bu değişim sadece hacimle ilgili değil, aynı zamanda önceliklendirmeyle de ilgili.cisSürekli sürüm yayma, yapay zeka araç kümeleri, MCP katmanı kimlik bilgisi hırsızlığı ve dahili monorepo ad alanlarına yönelik bağımlılık karışıklığı saldırıları. Kampanyalar otomatiktir ve süreklidir. Haftalık tarama bir savunma değildir.
Xygeni Erken Dönem Kötü Amaçlı Yazılım Uyarısı npm, PyPI ve diğer kayıt defterlerini gerçek zamanlı olarak izler ve tehditleri, bir derlemeye ulaşmadan önce, bir yapay zeka ajanı tarafından otomatik olarak yüklenmeden önce ve SkillLeak tarzı bir zararlı yazılımın çalıştırılma şansı bulmadan önce, yayınlandıkları anda işaretler. anthropic-toolkit tek bir günde 20 versiyon yayınlıyor veya cursed-modules İki gün boyunca npm'i 999.x sürümüyle doldurursa, olaydan sonra yapılan tespit zaten çok geçtir.
Xygeni'nin Open Source Security Bu platform, DevSecOps ekiplerine koordineli tedarik zinciri baskısının önünde kalmak için gereken gerçek zamanlı tespit ve önceliklendirme olanağı sunar, böylece sizin pipelineEkiplerinizin performansını düşürmeden temiz kalmanızı sağlar.
