perplexityai/bumblebeeСканер конечных точек разработчика только для чтения для метаданных дисковых пакетов, расширений и инструментов разработчика, созданный для проверки подверженности известным компрометациям цепочки поставок программного обеспечения.
Поддерживаемые каталоги экспозиции для недавних кампаний в цепочке поставок, составленные на основе публичных отчётов threat intelligence с помощью Perplexity Computer и обновляемые через PR по мере сообщений о новых кампаниях.
Передайте каталог в сканирование с помощью --exposure-catalog <path>. Перед использованием в продакшене
сверьте записи с актуальными рекомендациями.
| Файл | Кампания | Источник |
|---|---|---|
tensorlake-2026-10-08.json | ChainDrop / компрометация цепочки поставок npm tensorlake в рамках Shai-Hulud (1 вредоносная версия, 0.5.144, опубликована 2026-10-08; хук preinstall запускает обфусцированный загрузчик lib/setup.mjs и полезную нагрузку-червь lib/Math_Symbol.js, похищающую учётные данные и самораспространяющуюся) | Socket, 2026-10-08 |
memtensor-2026-09-23.json | Компрометация MemTensor в npm и PyPI с похищением учётных данных (2 пакета / 4 вредоносные версии) | Socket, 2026-09-23 |
openapi-react-query-codegen-2026-08-28.json | Компрометация цепочки поставок npm @7nohe/openapi-react-query-codegen в рамках Mini Shai-Hulud (10 вредоносных версий, опубликованных 2026-08-28 во всех поддерживаемых ветках релизов через рабочий процесс публикации GitHub Actions, запускаемый комментарием; обфусцированный загрузчик binding.gyp/preinstall нацелен на секреты облачных сервисов, npm, GitHub Actions и AI-агентов с самораспространением) | Socket, 2026-08-28 |
mastra-2026-06-17.json | Компрометация цепочки поставок npm Mastra (141 пакет / 141 версия в @mastra/*, а также create-mastra и тайпсквоттинг-зависимость [email protected], доставлявшая кроссплатформенный инфостилер через postinstall) | Socket, 2026-06-17 |
mini-shai-hulud-leoplatform-2026-06-24.json | Волна Mini Shai-Hulud / Miasma (вариант Hades) в LeoPlatform/RStreams (скомпрометированный аккаунт npm czirker; 26 пакетов npm + 1 модуль Go / 27 версий; установочный хук binding.gyp «Phantom Gyp», инфостилер, развёрнутый через Bun, маркер тайника «Alright Lets See If This Works») | Socket, 2026-06-24; OX Security, 2026-06-24 |
mini-shai-hulud.json | Компрометация npm и PyPI в рамках Mini/Shai-Hulud в мае 2026 (таблица затронутых пакетов от OX Security) | Сверено с Fleet, Socket, Snyk, Mistral, TanStack, The Hacker News |
mini-shai-hulud-redhat-cloud-services.json | Компрометация пакетов npm Red Hat Cloud Services (@redhat-cloud-services) в рамках Mini Shai-Hulud (32 пакета / 95 версий; маркер червя «Miasma: The Spreading Blight») | Socket, 2026-06-01 |
laravel-lang-2026-05-23.json | Компрометация цепочки поставок Laravel Lang в Composer/Packagist в пакетах laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes и laravel-lang/actions | Socket, 2026-05-23 |
nx-console-vscode-2026-05-18.json | Компрометация расширения Nx Console для VS Code (nrwl.angular-console 18.95.0), опубликованного в VS Code Marketplace 2026-05-18 (OpenVSX не затронут; исправлено в 18.100.0+) | StepSecurity, 2026-05-18 |
antv-mini-shai-hulud.json | Волна червя npm AntV / Mini Shai-Hulud в мае 2026 (324 пакета / 643 версии в npm и PyPI; ограничено артефактами, обнаруженными 2026-05-13 или позднее) | Socket, 2026-05-19 |
node-ipc-credential-stealer.json | Компрометация npm node-ipc в мае 2026 с похищением учётных данных (7 вредоносных версий) | Socket, 2026-05-14 |
shopsprint-decimal-typosquat.json | Тайпсквоттинг Go-пакета github.com/shopsprint/decimal v1.3.3 с бэкдором через DNS TXT | Socket, 2026-05-19 |
gemstuffer.json | Кампания эксфильтрации GemStuffer в RubyGems (123 гема / 155 версий), нацеленная на местные органы власти Великобритании | Socket, 2026-05-13 |
glassworm.json | Самораспространяющийся червь GlassWorm для расширений IDE на Open VSX / VS Code (загрузчик с невидимыми символами Unicode, транзитивная доставка через extensionPack/Dependencies, C2 через memo-транзакции Solana, кража учётных данных и кошельков); 243 пакета editor-extension / 381 версия + 2 пакета npm / 2 версии (245 записей / 383 версии) | CSV кампании Socket GlassWorm v2 и отчёт Socket о транзитивной доставке, 2026-03-13; дополнено Koi Security, 2025-10-18, Checkmarx, 2026-03 и Sonatype, 2026-03-17 |
trapdoor-crypto-stealer.json | Кроссплатформенный стилер учётных данных и криптокошельков TrapDoor Crypto Stealer для npm, PyPI и Cargo/Crates.io (28 записей npm/PyPI / 378 версий; 6 пакетов Cargo задокументированы в _cargo_packages, но не сопоставляются до появления поддержки Cargo) | Socket, 2026-05-24 |
tools/osvcatalog преобразует локальный снимок OSV в
каталог в автономном режиме. Bumblebee никогда не обращается к osv.dev во время сканирования. Выводятся только
записи о вредоносных пакетах (идентификаторы MAL- или записи, имеющие псевдоним на таковой),
с severity: "critical".
Поддерживаются две формы входных данных. Выберите одну в зависимости от покрытия.
Репозиторий OSSF malicious-packages (рекомендуется, все экосистемы в одном дереве):
