每周我们的恶意软件检测系统会扫描 npm 和 PyPI 等公共注册表中的数千个新增和更新的软件包。
本周尤其繁忙。
我们已确认 92 个恶意软件包主要是在 NPM，还有其他病例 的PyPI其中一些恶意程序以协同集群的形式出现，重复发布以相同名称或密切相关的软件包系列为名的恶意程序。许多程序模仿了…… 人工智能相关工具, enterprise 模块, 内部包, 软件开发工具包, 前端资产以及现代开发工作流程中常用的其他组件。
这些并非孤立的异常情况。本周最引人注目的是重复发布的规模、命名模式的重复使用，以及恶意软件包伪装成合法依赖项的方式，这些依赖项被隐藏在真实的软件交付环境中。 pipelines.
每周快照是我们正在进行的 恶意代码摘要我们会验证新的威胁，并提供可操作的情报来帮助 DevSecOps 团队 保护他们的 pipeline在损害发生之前。
让我们分析一下本周的发现及其重要性。
| 生态系统 | 小包装 | 日期 |
|---|---|---|
| pi | 段落代码：1.1.2 | 2026 年 3 月 27 日 |
| pi | 商店哟-dashboard：1.5.0 | 2026 年 3 月 27 日 |
| NPM | @immuta/pxl-组件：99.99.0 | 2026 年 3 月 27 日 |
| NPM | @immuta/flag-providers-web:99.99.0 | 2026 年 3 月 27 日 |
| NPM | @adamallana0909/apple-research-test:99.9.21 | 2026 年 3 月 27 日 |
| NPM | @appleseed-apple/ac-sass-kit:100.0.2 | 2026 年 3 月 27 日 |
| NPM | apple-internal-telemetry-agent:100.0.1 | 2026 年 3 月 27 日 |
| NPM | corp-utils:9.9.9 | 2026 年 3 月 27 日 |
| NPM | ac-dom-nodes:1.9.1 | 2026 年 3 月 27 日 |
| NPM | soul-ai:1.10.4 | 2026 年 3 月 27 日 |
| NPM | rtxaspnet:1.0.0 | 2026 年 3 月 27 日 |
| NPM | estaspnet:1.0.0 | 2026 年 3 月 27 日 |
| NPM | ac-element-engagement:3.0.1 | 2026 年 3 月 27 日 |
| pi | 助记符：1.1.3 | 2026 年 3 月 27 日 |
| pi | 助记符：1.2.5 | 2026 年 3 月 27 日 |
| pi | 头部欺骗器：3.0.1 | 2026 年 3 月 27 日 |
| NPM | ahhc:1.1.0 | 2026 年 3 月 27 日 |
| NPM | ahmed_salem_ph:1.0.4 | 2026 年 3 月 27 日 |
| NPM | @cdktf-constructs/azure-resourcegroup:2.3.0 | 2026 年 3 月 27 日 |
| NPM | @promptions/promptions-ui:1.3.0 | 2026 年 3 月 27 日 |
| NPM | @promptions/promptions-image:1.3.0 | 2026 年 3 月 27 日 |
| NPM | @promptions/promptions-llm:1.3.0 | 2026 年 3 月 27 日 |
| NPM | @promptions/promptions-chat:1.3.0 | 2026 年 3 月 27 日 |
| NPM | 本地规则：2.0.0 | 2026 年 3 月 27 日 |
| NPM | whatfix-icons:7.0.0 | 2026 年 3 月 28 日 |
| NPM | 导航设计系统：7.0.0 | 2026 年 3 月 27 日 |
| NPM | declarative-tracker:9999.0.0 | 2026 年 3 月 28 日 |
| NPM | 导航设计系统：99.1.0 | 2026 年 3 月 27 日 |
| NPM | folio-data-utils:1.0.0 | 2026 年 3 月 27 日 |
| NPM | xpna-context:1.0.0 | 2026 年 3 月 27 日 |
| NPM | react-appfabric-shell:0.6.1 | 2026 年 3 月 28 日 |
| NPM | promethios-bridge:1.7.0 | 2026 年 3 月 28 日 |
| NPM | promethios-bridge:1.7.5 | 2026 年 3 月 28 日 |
| NPM | 自动发货-公共前端:99.99.0 | 2026 年 3 月 31 日 |
| NPM | promethios-bridge:1.7.7 | 2026 年 3 月 30 日 |
| NPM | promethios-bridge:1.7.9 | 2026 年 3 月 30 日 |
| NPM | promethios-bridge:1.8.0 | 2026 年 3 月 30 日 |
| NPM | daytona-test-npm:1.0.0 | 2026 年 3 月 30 日 |
| NPM | spr-i18n-labels:1.0.4 | 2026 年 3 月 30 日 |
| NPM | package-with-import-assertions:99.0.0 | 2026 年 3 月 30 日 |
| NPM | separadordeinfo:1.0.0 | 2026 年 3 月 30 日 |
| NPM | spr-i18n-labels:1.0.5 | 2026 年 3 月 29 日 |
| NPM | sn3akysnak3-test:1.0.0 | 2026 年 3 月 29 日 |
| NPM | sn3akysnak3-test:1.0.1 | 2026 年 3 月 29 日 |
| NPM | 拨号应用程序版本：9999.0.0 | 2026 年 3 月 29 日 |
| NPM | bizsignupnodeweb:99.10.9 | 2026 年 3 月 29 日 |
| NPM | bizsignupnodeweb:99.11.9 | 2026 年 3 月 29 日 |
| NPM | sn3akysnak3-test:1.0.2 | 2026 年 3 月 29 日 |
| NPM | 拨号应用程序版本：9999.0.1 | 2026 年 3 月 29 日 |
| NPM | 拨号应用程序版本：9999.0.3 | 2026 年 3 月 29 日 |
| NPM | cardreadermgmtserv:99.13.9 | 2026 年 3 月 29 日 |
| NPM | 业务数据：99.13.9 | 2026 年 3 月 29 日 |
| NPM | f0-state-manager:99.13.9 | 2026 年 3 月 29 日 |
| NPM | nemo-datadrive:99.13.9 | 2026 年 3 月 29 日 |
| NPM | 商品服务节点服务:99.13.9 | 2026 年 3 月 29 日 |
| NPM | idaasfinancialnodeserv：99.13.9 | 2026 年 3 月 29 日 |
| NPM | f0-fpti-tracking:99.13.9 | 2026 年 3 月 29 日 |
| NPM | f0-email-verification:99.13.9 | 2026 年 3 月 29 日 |
| NPM | 国家专业化程度：99.13.9 | 2026 年 3 月 29 日 |
| NPM | promethios-bridge:2.0.1 | 2026 年 3 月 29 日 |
| NPM | promethios-bridge:2.1.2 | 2026 年 3 月 29 日 |
| NPM | promethios-bridge:2.1.5 | 2026 年 3 月 29 日 |
| NPM | promethios-bridge:2.1.7 | 2026 年 3 月 29 日 |
| NPM | promethios-bridge:2.1.8 | 2026 年 3 月 30 日 |
| NPM | bos-decoration-elements:9.0.0 | 2026 年 3 月 30 日 |
| NPM | promethios-bridge:2.2.0 | 2026 年 3 月 30 日 |
| NPM | earthengine-api:9.0.0 | 2026 年 3 月 30 日 |
| NPM | characterai-poc:1.0.0 | 2026 年 3 月 31 日 |
| NPM | @thiagoemmanuell/unhandledrejection:1.0.0 | 2026 年 3 月 31 日 |
| NPM | 环境种子：0.3.14 | 2026 年 3 月 31 日 |
| NPM | rosud-call:2.4.7 | 2026 年 3 月 31 日 |
| NPM | 环境种子：0.3.18 | 2026 年 3 月 31 日 |
| NPM | 失眠症 API：99.0.0 | 2026 年 3 月 31 日 |
| NPM | moltbook-api-helper:1.0.0 | 2026 年 4 月 02 日 |
| NPM | moltbook-health:1.0.11 | 2026 年 4 月 01 日 |
| NPM | moltbook-health:1.0.13 | 2026 年 4 月 01 日 |
| NPM | strapi-plugin-finseven:3.6.8 | 2026 年 4 月 01 日 |
| NPM | romi-bot:0.1.4 | 2026 年 4 月 01 日 |
| NPM | heibai:2.1.88-claude.hk-4 | 2026 年 4 月 01 日 |
| NPM | nodecheck-health:1.0.0 | 2026 年 4 月 02 日 |
| NPM | moltbook-health:1.0.15 | 2026 年 4 月 02 日 |
| NPM | moltbook-health:1.0.16 | 2026 年 4 月 02 日 |
| NPM | ripio-fn:99.0.0 | 2026 年 4 月 02 日 |
| NPM | 超级实用的 Omega 软件包 123:0.2.2 | 2026 年 4 月 02 日 |
| pi | ether-account:0.13.7 | 2026 年 4 月 02 日 |
| NPM | @aspect-security/argon2:1.0.1 | 2026 年 4 月 02 日 |
| NPM | bytefrontier-tracker:99.0.0 | 2026 年 4 月 02 日 |
| NPM | bytefrontier-partner:99.0.0 | 2026 年 4 月 02 日 |
| NPM | 合作伙伴追踪器：99.0.0 | 2026 年 4 月 02 日 |
| NPM | vv-ftend-core:99.0.0 | 2026 年 4 月 02 日 |
| NPM | vv-ftend-api:99.0.0 | 2026 年 4 月 02 日 |
| NPM | 聊天机器人加载器：9999.1.0 | 2026 年 4 月 02 日 |
保护您的开源依赖项免受漏洞和恶意代码的侵害
最大限度地降低风险，并保护您的应用程序免受恶意软件的侵害 Xygeni 早期恶意软件检测. 优先处理最重要的漏洞。我们的综合解决方案可实时监控您的依赖项，以便在威胁影响您的软件之前检测并缓解威胁。
由于漏洞和恶意代码威胁不断增加，在当前的软件开发环境中管理开源组件至关重要。Xygeni 的 Open Source Security 解决方案会在发布时扫描并阻止有害软件包，从而大大降低恶意软件和漏洞侵入系统的风险。我们的全面监控涵盖多个公共注册中心，确保所有依赖项都经过安全性和完整性审查。Xygeni 通过根据上下文优先考虑关键问题并促进简化的补救流程，增强了您的团队维护安全可靠的软件项目的能力。
Xygeni 使用多层技术在恶意代码传播前将其拦截。首先，静态代码分析可以检测混淆模式、隐藏的有效载荷和脚本滥用。此外，行为沙盒分析可以安装 hooks、运行时命令和持久性技巧。此外，机器学习检测可以识别签名扫描器遗漏的零日漏洞 npm 恶意软件和 pypi 恶意软件变种。最后，预警系统实时监控公共存储库，验证发现并立即向 DevOps 团队发出警报。
因此，这种组合确保开发人员能够快速获得可操作的情报，直接集成到 CI/CD 工作流程。
为什么开发人员应该关注恶意 npm 软件包
现代威胁很少等待运行时。例如，恶意 npm 包通常在安装过程中执行，而 pypi 恶意包则隐藏令牌泄露或后门。攻击者：
- 将私有 GitHub 存储库翻转为公开以复制它们。
- 使用编码的有效载荷窃取凭证和机密。
- 使用混淆的 JavaScript 加载器来部署勒索软件或僵尸网络。
事实上，恶意开源软件包的数量在一年内激增了 156%。因此，仅依赖延迟反馈或基本扫描器的团队就会落后。
此恶意软件报告在 npm 和 PyPI 中追踪的内容
本摘要是以下内容的中心枢纽：
- 已确认存在恶意 npm 软件包
- 已确认的 pypi 恶意软件包
- 基于行为的恶意代码检测
- 登记处确认的事件
- 每周和每月恶意软件报告摘要
- 所有 npm 恶意软件和 pypi 恶意软件发现的历史更新日志
换句话说，它提供了一个单一的参考点。Xygeni 的研究团队每周更新此页面，提供完整技术分析和 GitHub IOC 的链接。
如何防范恶意 npm 包和 PyPI 恶意软件
由于这种风险不断增加，组织需要强大的防御：
- 强制仅锁定文件安装（
npm ci）摄影作品通过 CI/CD. - 此外，使用 Xygeni 的早期预警引擎扫描预安装的依赖项。
- 此外，阻止基于恶意代码信号的构建 Guardrails.
- 产生 SBOMs 来追踪间接依赖关系并应用策略。
- 最重要的是，培训开发人员检测域名抢注、混淆和可疑的安装脚本。
尝试 Xygeni 的恶意软件检测工具
Xygeni 提供：
