Npm מאַלוואַרע הייַנט פאָרזעצט זיך צו אַנטוויקלען, מיט אַטאַקירער וואָס פאַרעפֿנטלעכן בייזע קאָד, בייזוויליקע npm פּעקלעך, און PyPI בייזוויליקע פּעקלעך דיזיינד צו צילן אַנטוויקלונג וואָרקפלאָוז, CI/CD pipelines, און אפן-קוואל עקאָסיסטעמען. די בייזוויליקע קאָד דיידזשעסט איז Xygeni'ס אנגייענדע פארשונג באריכט וואס טרעקט און וועריפיצירט עכטע בייזוויליגע פּעקלעך איבער npm, פּפּי, VS Code, און OpenVSX, אריינגערעכנט באשטעטיקטע בעקטארן, דאטן-גנבים, קרעדענשאַל עקספילטראַציע פּיילאָודז, און אָטאַמייטיד מולטי-ווערסיע מאַלוואַרע קאַמפּיינז.
אונדזער פאָרשונג־מאַנשאַפֿט דערהייַנטיקט די בלאַט רעגולער מיט באַשטעטיקטע רעזולטאַטן, אינדיקאַטאָרן פון קאָמפּראָמיס (IOCs), נאַטור נאַטור, און טעכניש אַנאַליסיסאלס רעזולטאט, דעוועלאָפּערס, אַפּפּסעק טימז, און זיכערהייט אינזשענירן קענען בלייבן פאראויס פון npm מאַלוואַרע הייַנט און אויפקומענדיקע בייזע פּעקל טעטיקייט וואָס האָט אַן אַפעקט אויף מאָדערנע ווייכווארג צושטעל קייטן.
NPM מאַלווער היינט: וועכנטלעכע צוזאַמענפאַסונג 24-29 אַפּריל 2026
די פֿאָרשער האָבן באַשטעטיקט 97 בייזוויליקע פּעקלעך איבער עפנטלעכע רעגיסטערס בעת דעם פעריאד.
דאַטאַסעט אָבסערוואַציעס
- רובֿ באַשטעטיקטע פּעקלעך זענען פאַרעפֿנטלעכט געוואָרן אין npm
- נאָך פֿאַלן אַפעקטירט פּפּי, OpenVSX, און קאָמפּאָסער
- איבערגעחזרטע בייזוויליקע פובליקאציע איבער די זעלבע פעקעדזש פאמיליעס און פארבינדענע נעמען
- הויך אדער אַטיפּישע ווערסיע פּאַטערנז ווי קסנומקס.קס, קסנומקס.קס, און קסנומקס.קס
- שטאַרקע נוצן פון צאָלונג און טשעקאַוט, enterpriseנוסח, אינערלעכע וועב אַפּ, אַנאַליטיקס, UI יסוד, דעוועלאָפּער-געצייַג, וואָלקן-טעמע, און קאָמפּאָנענט-פֿאַרבונדן נאַמינג מוסטערן
- קייפל קאָאָרדינירטע ווערסיע אויסברוכן דיזיינד צו ריזעמבאַל לעגיטימע פּעקל דערהייַנטיקונגען
מאָנטליכע מאַלווער באַריכט: באַשטעטיקטע בייזע npm פּאַקאַדזשאַז אין אַפּריל 2026
ברוכים הבאים צו דער לעצטער אויסגאבע פון Xygeni בייזוויליקע קאָד דיידזשעסט (מאָנטלעכע אויסגאַבע). . In אין אפריל קסנומקס, אונדזער פאָרשונג מאַנשאַפֿט האָט באַשטעטיקט מער ווי 250 בייזוויליקע פּעקלעך, בעיקר אריבער npm, מיט נאָך פֿאַלן וואָס באַטראַפֿן PyPI, VS קאָד, OpenVSX, און קאָמפּאָזער.
אפריל איז נישט נאָר געווען וועגן באַנד. צוזאַמען מיט אויטאמאטיזירטע ארויסגעבונג כוואליעס, אַגרעסיווע ווערסיע אינפֿלאַציע קאַמפּיינז, פּעקל משפּחה קלאַסטערינג, און אינערלעכע-געצייג נאכמאכונג, מיר האָבן באמערקט עטלעכע פון די מערסט באַמערקבאַרע מוסטערן פון חודש אין קאָאָרדינירטע בייזוויליקע פּובליקאַציע איבער:
פאַלשע אינערלעכע מכשירים, קינסטלעכע אינטעליגענץ-טעמע פּעקלעך, צאָלונג און טשעקאַוט מאָדולן, אַנאַליטיקס קליענטן, פראָנטענד קאָמפּאָנענטן, דעוועלאָפּער יוטילאַטיז, קובערנעטעס און וואָלקן מכשירים, VS קאָד און OpenVSX עקסטענשאַנז, און טראַסטיד בראַנד-ווי פּעקל נעמען דיזיינד צו צונויפגיסן אין פאַקטיש ווייכווארג עקספּרעס. pipelines.
דאָס זענען נישט געווען פּשוטע טיפּאָסקוואַטינג אינצידענטן. אַריבער דעם ברייטערן אַפּריל דאַטאַסעט, מיר האָבן באמערקט קרעדענשאַל מיסברויך פּאַטערנז, צושטעל קייט מאַניפּולאַציע, איבערגעחזרטע נעמספעיס ווידער-ניצן, און קאָאָרדינירטע בייזוויליקע פּובליקאַציע דיזיינד צו צונויפגיסן אין פאַקטישע דעוועלאָפּער סביבות און ווייכווארג עקספּרעס pipelines.
איבערן ברייטערן דאטן-זאמלונג, האבן מיר ווייטער באמערקט סקריפּטעד מולטי-ווערסיע פּובליקאַציע, אויפגעבלאזענע ווערסיע-סכעמעס, צאָלונג- און enterprise-טעמאַטישע נעמען, קינסטלעכע אינטעליגענץ און אַגענטור-טעמע פּעקל נעמען, SDK און פראָנטענד קאָמפּאָנענט אימפּערסאָנאַזש, אינערלעכע-געצייג נאכמאכן, און קלאַסישע טאַקטיקן ווי אפהענגיקייט צעמישעניש און דאַטן עקספילטריישאַן.
דיזער באריכט איז טייל פון אונזער אנגייענדע בייזוויליקע קאָד דיידזשעסט, וואו מיר וואַלידירן נייע סכנות און צושטעלן אַקטיאָנאַבלע סייכל צו העלפן דעווסעקאפס טימז בלייבן פאָרויס פון ווייכווארג צושטעלן קייט ריזיקע.
| יקאָוסיסטאַם | פּעקל | דאַטע |
|---|---|---|
| npm | פּאַ-געצייכנט: 99.1.10 | אפריל קסנומקס, קסנומקס |
| pypi | מאָןביט-לאָקאַל-קאָמפּאַט: 0.2.3 | אפריל קסנומקס, קסנומקס |
| npm | @alfa.life.mapp/app.web:99.0.13 | אפריל קסנומקס, קסנומקס |
| npm | @sbt_gitverse/analytics-client:99.0.1 | אפריל קסנומקס, קסנומקס |
| npm | @frengki0707/google-cloud-clone:1.33.1 | אפריל קסנומקס, קסנומקס |
| npm | @alfa.life.mapp/app.web:99.0.14 | אפריל קסנומקס, קסנומקס |
| npm | @טאָטשקאַ-וי/פֿונדאַציע:99.0.2 | אפריל קסנומקס, קסנומקס |
| אָופּענװסקס | אַרקאַנע-ספּאַרק/ובעל:0.1.0 | אפריל קסנומקס, קסנומקס |
| npm | @2011-08-19/n:99.9.9 | אפריל קסנומקס, קסנומקס |
| npm | @frengki0707/google-cloud-clone:1.38.0 | אפריל קסנומקס, קסנומקס |
ווי מיר דעטעקטירן בייזוויליקע קאָד אין npm מאַלוואַרע און PyPI מאַלוואַרע
Xygeni ניצט מולטי-שיכטיקע טעכניקן צו אפשטעלן בייזוויליקע קאוד איידער עס פארשפרייט זיך. ערשטנס, סטאטישע קאוד אנאליז דעטעקטירט פארדעקונג מוסטערן, באהאלטענע פּיילאָודז, און סקריפּט מיסברויך. אין דערצו, אויפפירונג סענדבאָקסינג אנאליזן אינסטאלירן hooks, ראַנטיים קאָמאַנדעס, און פּערסיסטענס טריקס. דערצו, מאַשין לערנען דיטעקשאַן ידענטיפיצירט נול-טאָג npm מאַלוואַרע און פּיפּי מאַלוואַרע וועריאַנץ וואָס זענען נישט געטאָן געוואָרן דורך סיגנאַטשור סקאַנערז. צום סוף, די פרי וואָרנינג סיסטעם מאָניטאָרירט עפנטלעכע רעפּאָזיטאָריעס אין פאַקטישער צייט, וואַלאַדירט די געפינסן, און אַלערטירט דעוואָפּס טימז גלייך.
אלס רעזולטאט, זיכערט די קאמבינאציע אז דעוועלאָפּערס באַקומען שנעלע, פּראַקטישע אינטעליגענץ וואָס איז גלייך אינטעגרירט אין CI/CD וואָרקפלאָווס.
פארוואס דעוועלאָפּערס זאָלן זאָרגן וועגן בייזע npm פּאַקאַדזשאַז
מאָדערנע סכנות וואַרטן זעלטן אויף ראַנטיים. למשל, בייזוויליקע npm פּאַקאַדזשאַז ווערן אָפט דורכגעפירט בעת אינסטאַלאַציע, בשעת פּיפּי בייזוויליקע פּאַקאַדזשאַז באַהאַלטן טאָקען עקספילטראַציע אָדער באַקדאָרז. אַטאַקירער:
- דריי איבער פּריוואַטע גיטהאַב רעפּאָס צו עפֿנטלעך צו זיי רעפּליקירן.
- עקספילטרירן קרעדענשעלס און סודות ניצנדיק ענקאָודיד פּיילאָודז.
- ניצט פארשוואָמענע דזשאַוואַסקריפּט לאָודערס צו דעפּלויען ראַנסאָמווער אָדער באָטנעטס.
אין פאַקט, בייזוויליקע אָפֿן-קוואַל פּאַקאַדזשאַז זענען געשטיגן מיט 156% אין איין יאָר. דעריבער, גרופּעס וואָס פאַרלאָזן זיך בלויז אויף פאַרהאַלטן פידז אָדער גרונטלעכע סקאַנערז פאַלן הינטערשטעליק.
וואָס די מאַלוואַרע באַריכט טראַקט אין npm און PyPI
די דאזיגע דיידזשעסט איז דער צענטראלער צענטער פאר:
- באַשטעטיקטע בייזוויליקע npm פּאַקאַדזשאַז
- באַשטעטיקטע פּיפּי בייזע פּאַקאַדזשאַז
- נאַטור-באַזירטע דעטעקציעס פון בייזוויליקן קאָד
- רעגיסטרי-באשטעטיקטע אינצידענטן
- וועכנטלעכע און מאנאטלעכע מאלווער באריכט קיצורים
- היסטארישע ענדערונגען-לאָג פון אַלע npm מאַלוואַרע און פּיפּי מאַלוואַרע געפינסן
מיט אנדערע ווערטער, עס גיט איין איינציקע רעפערענץ-פונקט. די פארשונג-מאַנשאַפֿט ביי Xygeni דערהייַנטיקט די בלאַט יעדע וואָך מיט לינקס צו פולע טעכנישע אַנאַליזן און GitHub IOCs.
ווי אזוי צו באַשיצן קעגן בייזע npm פּאַקאַדזשאַז און PyPI מאַלוואַרע
צוליב דעם וואקסנדיקן ריזיקע, דארפן ארגאניזאציעס מער ווי פשוטע אפהענגיקייט טשעקס. שטארקע פארטיידיקונגען קעגן בייזוויליגע npm פעקלעך און pypi בייזוויליגע פעקלעך פארלאנגען סיי פּרעווענטיוו קאנטראלס און סיי ראַנטיים ענפאָרסמענט:
דורכפירן לאקפייל-בלויז אינסטאלס קעגן בייזוויליגע npm פעקלעך
נוצן npm ci or pip install --require-hashes in CI/CD.
דאָס גאַראַנטירט אַז דער גענויער אָפּהענגיקייט בוים וואָס איז דעפינירט אין לאָקפֿיילס ווערט גענוצט. דערפֿאַר קענען אַטאַקירער נישט אַרײַנפֿאַלן מאָדיפֿיצירטע אָדער טיפּאָסקוואַטעד ווערסיעס פֿון בייזוויליקע npm פּאַקאַדזשאַז.
פאַר-אינסטאַלירן סקאַנינג פֿאַר npm מאַלוואַרע און PyPI מאַלוואַרע
אינטעגרירט Xygeni'ס Early Warning Engine צו סקענען npm מאַלוואַרע און pypi מאַלוואַרע איידער פּאַקאַדזשאַז דערגרייכן אייער סביבה.
דערצו, דעטעקטירן פארדעכטיקע postinstall סקריפּטן, פארשוואַרצטע לאָודערס, אדער האַרדקאָדירטע C2 URLs.
Guardrails צו בלאקירן בילדס מיט בייזוויליגע קאוד
שטעלן guardrails צו דורכפאלן בילדס אויטאמאטיש אויב באשטעטיקטע בייזע npm פעקלעך אדער pypi בייזע פעקלעך ווערן דעטעקטירט.
למשל, ברעכן בילדס אויף פּעקעדזשעס מיט נישט-פארעפנטלעכטע אויפהאלטערס, פארדעקונג מוסטערן, אדער IOC גלייכן. דערפאר, גייט בייזוויליקע קאָד קיינמאָל נישט אומבאַמערקט פארביי.
שאַפֿן און וואַלידירן SBOMקעגן בייזוויליקע npm פּאַקאַדזשאַז און PyPI מאַלוואַרע
מאַכן SBOMs (CycloneDX, SPDX) פֿאַר יעדן בילד.
דערנאך, פאַרגלייכן קעגן באַקאַנטע בייזע npm פּאַקאַדזשאַז און pypi מאַלוואַרע פידז צו שפּורן ביידע דירעקטע און טראַנזיטיווע דיפּענדאַנסיז.
קרעדענשאַל און טאָקען שוץ פון npm מאַלוואַרע און PyPI מאַלוואַרע
אסאך בייזוויליגע npm פּעקלעך פּרובירן צו לייענען .npmrc, .pypirc, אדער סביבה וועריאַבאַלן.
דעריבער, לויפט בילדס אין פארהארטעטע קאנטעינערס מיט מינימאלע סודות אויפגעדעקט. צוגאב, ניצט סודות מענעדזשערס אנשטאט סביבה וועריאַבאַלן צו בלאקירן בייזוויליקע קאָד מיסברויך.
מאָניטאָרירן רעגיסטרי און וישאַלטער ענדערונגען אין בייזוויליקע npm פּאַקאַדזשאַז
אַטאַקערס כאַפּן אָפט פֿאַרלאָזענע פּראָיעקטן.
ספּעציעל, זייט אָפּגעהיט פֿאַר פּלוצעמדיקע וישאַלטער סוואַפּס, ומגעוויינטלעכע ווערסיע שפּרינגען, אָדער איבערגעטריבענע פּובליקאַציעס אין npm מאַלוואַרע און pypi בייזוויליגע פּאַקאַדזשאַז.
דעוועלאָפּער טראַינינג אויף דעטעקטירן בייזוויליקע קאָד אין npm און PyPI
לערנט טימז צו דערקענען רויטע פלעגן ווי למשל:
- פּעקל נעמען מיט טיפּאָס (
reqeustאַנשטאָט פוןrequest). - ומגעוויינטלעך
installorprepareסקריפּס. - לעצטנס באשאַפֿענע פּאַקאַדזשאַז מיט פֿאַרדעכטיק הויכע ווערסיע נומערן.
העכער אלעם, העלפט דאס באוואוסטזיין צו דעטעקטירן בייזוויליקע קאוד פרי.
ראַנטיים אַנאַמאַלי דעטעקציע פֿאַר בייזוויליקע npm פּאַקאַדזשאַז און PyPI מאַלוואַרע
אפילו אויב מאַלוואַרע בייפּאַסט סטאַטישע טשעקס, ראַנטיים דעטעקציע אין CI/CD קען כאַפּן:
- אומגעריכטע נעץ פֿאַרבינדונגען.
- טעקע סיסטעם מאָדיפיקאַציעס אַרויס פון די דערוואַרטעטע דירעקטאָריעס.
- אָנהאַלטונגס־פּרווון איבער אַלע דזשאָבס.
צום סוף, דאָס גאַראַנטירט אַז npm מאַלוואַרע און פּיפּי מאַלוואַרע טרעץ ווערן אָפּגעשטעלט אפילו נאָך דער אינסטאַלאַציע.
דורך קאמבינירן די קאנטראלן, פארמיידן טימז שלעכטע npm פעקלעך און pypi שלעכטע פעקלעך פון אלץ דערגרייכן פראדוקציע. pipelines.
פּרוּווט Xygeni'ס מאַלוואַרע דעטעקציע מכשירים
קסיגעני גיט:
- רעאַל-צייט דעטעקציע פון בייזוויליק קאָד, אַרייַנגערעכנט באַקדאָרז, ספּייווערייַ און ראַנסאָמווער.
- אין קאנטראסט צו גרונטלעכע סקענערס, אנאליז אריבער npm, PyPI, Maven, NuGet, RubyGems, און נאך.
- אויטאָמאַטישע בילד בלאָקירונג ווען דער מאַלוואַרע באַריכט ידענטיפיצירט ריזיקע.
- אויסניצבאַרקייט איינזיכטן, רעפּוטאַציע קאָנטראָלס פון אויפהאלטערס, און אַנאַמאַלי דעטעקשאַן.
בלייבן ינפאָרמד
אונדזער מאַנשאַפֿט דערהייַנטיקט די בלאַט יעדע וואָך. כּדי צו באַקומען וואָרענונגען און דעטאַלירטע באַריכטן:
- אַבאָנירן צו אונדזער נעווסלעטטער
- נאָכפאָלגן @XgeniSecurity אויף לינקדין
- לייג א בוך-צייכן צו דעם בלאט צו נאכפאלגן די לעצטע נייעס npm מאַלוואַרע און pypi מאַלוואַרע טרעץ
