Ní gbogbo ọ̀sẹ̀, àwọn ètò ìwádìí malware wa ń ṣe àyẹ̀wò ẹgbẹẹgbẹ̀rún àwọn páálí tuntun àti àwọn tí a ti ṣe àtúnṣe sí káàkiri àwọn ìforúkọsílẹ̀ gbogbogbòò bíi npm, PyPI, àti OpenVSX. A fìdí àwọn páálí búburú 206 múlẹ̀ láàárín ọjọ́ kọkànlélọ́gbọ̀n oṣù Keje sí ọjọ́ keje oṣù Kẹjọ, ọdún 2026, tí ìgbì malware tí a fi àmì sí gbangba lẹ́yìn àwọn irinṣẹ́ AI-attack tí a mọ̀, àti ẹgbẹ́ ìdàrúdàpọ̀ ìgbẹ́kẹ̀lé tí ó ń ṣe àfarawé àwọn ilé ìkàwé àpò owó cryptocurrency.
Àwárí tó gba àfiyèsí jùlọ: wormgpt-cli lórí npm, àwọn àtúnṣe mẹ́sàn-án tí a tẹ̀ jáde ní ìtẹ̀léra ní ọjọ́ keje oṣù kẹjọ, pẹ̀lú àpò ìbáṣepọ̀ kan, gpt-terminal-cli, tí a tẹ̀ jáde ní ọjọ́ kan náà. Orúkọ náà jẹ́ ìtọ́kasí tààrà sí WormGPT, ohun èlò dúdú-LLM gidi kan tí a ń ta fún àwọn ọ̀daràn oní-sáyẹ́bù fún ìṣẹ̀dá phishing àti malware, èyí tí ó fihàn pé àpò náà ń tà lórí ìdámọ̀ àmì-ìdámọ̀ ti ohun èlò olùkọlù gidi dípò kí ó fi ara pamọ́ sí orúkọ aláìlágbára kan.
Ẹgbẹ́ kan tó yàtọ̀ síra kan fojú sí ètò ìṣiṣẹ́ owó alágbéká taara: àwọn páálí mẹ́sàn-án lórí npm tí wọ́n ń ṣe bí ẹni gidi ní àpò owó àti àwọn ibi ìkàwé ìfọwọ́sowọ́pọ̀ (ledger-lib, trezor-lib, bip32-js, ethers-lib, python-bitcoinlib, ckcc-protocol, hwi-lib, mnemonic-utils, ethereum-sign-utils), gbogbo wọn ni a ti fi idi rẹ̀ múlẹ̀ láàárín àkókò kan náà ní ọjọ́ karùn-ún oṣù kẹjọ, eré ìgbẹ́kẹ̀lé-ìdàrúdàpọ̀ ìwé tí a gbé kalẹ̀ fún àwọn olùgbékalẹ̀ crypto àti Web3 láti fa ohun tí ó rí bí standard àwọn ohun èlò ìfọwọ́sowọ́pọ̀.
awọn markscan, akrai, Ati iphouse Àwọn ẹgbẹ́ tí a fi àmì sí ní ọ̀sẹ̀ tó kọjá ń pọ̀ sí i, pẹ̀lú ọ̀pọ̀lọpọ̀ àwọn àtúnṣe míràn tí a ti fi ẹ̀rí hàn láti ọjọ́ kọkànlélọ́gbọ̀n oṣù Keje sí ọjọ́ kìíní oṣù Kẹjọ. Fèrèsé kan náà náà tún mú àwárí tó le gan-an jáde: beaver-ui-* ati accounts-* ẹgbẹ́ tí a ti jẹ́rìí sí ní August 1 jẹ́ ti gbogbo ènìyàn. Ìdákẹ́jẹ́ẹ́Polyfill, ohun èlò ìṣàlẹ̀ mẹ́ta tí a fi ara hàn gẹ́gẹ́ bí ohun èlò UI inú àti àwọn ìpèsè ìlò. require(), kìí ṣe ìwé ìfipamọ́, nítorí náà --ignore-scripts kò dá a dúró. 19 nínú ogún orúkọ àpò náà ni olùṣiṣẹ́ náà kò tẹ̀ jáde láàárín wákàtí díẹ̀ lẹ́yìn tí wọ́n rí i; wọ́n tún tẹ̀ ọ̀kan jáde lábẹ́ àkọọ́lẹ̀ mìíràn ní ọjọ́ kejì, ètò ìfijiṣẹ́ náà sì ṣì wà láàyè nígbà tí a tẹ̀ ìwádìí wa jáde ní kíkún.
Àwòrán ọ̀sọ̀ọ̀sẹ̀ yìí jẹ́ ara àwọn àwòrán tí a ń yà lọ́wọ́lọ́wọ́ Àkójọpọ̀ Kóòdù Ìwà Ìbàjẹ́níbi tí a ti ń fìdí àwọn ìhalẹ̀mọ́ tuntun múlẹ̀ àti láti pèsè ìmọ̀ tó ṣeé ṣe láti ran àwọn ẹgbẹ́ DevSecOps lọ́wọ́ láti dáàbò bo pipelinekí ó tó di pé ìbàjẹ́ ṣẹlẹ̀.
Nígbà tí Ìwọ̀n bá dé ibi tí a ó ti san owó rẹ̀: Àwọn àpò ìkà 206 ní ọ̀sẹ̀ yìí
Àkójọpọ̀ ìwé ìròyìn ọ̀sẹ̀ yìí fi àwọn ìlànà ìkọlù méjì tí ń ṣiṣẹ́ ní ìfẹ̀gbẹ́kẹ̀gbẹ́ hàn, kìí ṣe ìtẹ̀jáde kíákíá nìkan, ṣùgbọ́n ìtẹ̀jáde tí a kọ́ láti ṣe ní gidi. wormgpt-cli Ó lọ láti òdo sí mẹ́sàn-án àwọn ẹ̀yà lórí npm ní ọjọ́ kan ṣoṣo, tí a fi ìgboyà sọ orúkọ rẹ̀ fún ohun èlò dúdú-LLM gidi kan tí a tà fún àwọn ọ̀daràn oní-sáyẹ́bù, iyàrá aládàáṣe kan náà tí kò sí ìlànà àtúnyẹ̀wò ọwọ́ tí ó lè bá mu. Ẹgbẹ́ àwọn páálí mẹ́sàn-án ọ̀tọ̀ọ̀tọ̀ tí a fi àpò owó-orí-ìpamọ́ àti àwọn ìkàwé ìfọwọ́sowọ́pọ̀ ṣe (ledger-lib, trezor-lib, bip32-js, àti àwọn mìíràn), gbogbo wọn jẹ́rìí sí ara wọn láàárín wákàtí díẹ̀ ní ọjọ́ karùn-ún oṣù kẹjọ, àkókò ìforúkọsílẹ̀ kan tí a ṣe láti borí ìdíje ìgbẹ́kẹ̀lé-ìdàrúdàpọ̀ kí ẹnikẹ́ni tó kíyèsí.
Ṣùgbọ́n ohun tó ṣe pàtàkì jùlọ ní ọ̀sẹ̀ yìí kì í ṣe nípa iye owó tí wọ́n rí rárá. Ìdákẹ́jẹ́ẹ́Polyfill, awọn beaver-ui-* ati accounts-* ìdìpọ̀ tí a fọ́ pátápátá, ó di ìpele mẹ́ta tí ó ń fa ìṣẹ́lẹ̀ lórí require(), kìí ṣe ìwé ìfipamọ́, nítorí náà --ignore-scripts Kò rí i rárá. 19 nínú ogún orúkọ àpò náà ni olùṣiṣẹ́ wọn fà láàárín wákàtí díẹ̀, ọ̀kan sì padà wá ní ọjọ́ kejì lábẹ́ àkọọ́lẹ̀ mìíràn, pẹ̀lú ètò ìfijiṣẹ́ náà síbẹ̀.
Ìkìlọ̀ nípa Àìlera Àìsàn Xygeni ní Ìbẹ̀rẹ̀ Àwọn olùtọ́jú npm, PyPI, OpenVSX, àti àwọn ìforúkọsílẹ̀ mìíràn ní àkókò gidi, tí ó ń fi àmì sí àwọn ewu ní àkókò tí a tẹ̀ jáde, kí wọ́n tó dé ìkọ́lé kan, kí aṣojú AI kan tó fi wọ́n sí oríṣiríṣi ọ̀nà, àti kí olùtọ́jú bíi QuietPolyfill tó ní àǹfààní láti ṣe nígbà tí a kọ́kọ́ gbé wọn wọlé. Nígbà tí àpò kan bá fi àwọn ẹ̀yà mẹ́sàn-án ránṣẹ́ ní ọjọ́ kan, tàbí tí “ìkàwé ẹ̀yà UI” bá rọra mú loader tí a fọwọ́ sí jáde, ìwádìí tí ó ń ṣiṣẹ́ lẹ́yìn ìṣẹ̀lẹ̀ náà ti pẹ́ jù.
Xygeni's Open Source Security pẹpẹ náà fún àwọn ẹgbẹ́ DevSecOps ní àwárí àti àfikún àkókò gidi tí wọ́n nílò láti wà níwájú ìfúnpọ̀ pq ìpèsè tí a ṣètò, nítorí náà ìwọ pipelineẸ jẹ́ kí àwọn ẹgbẹ́ yín wà ní mímọ́ láìsí ìdíwọ́.
