【2026/08/03】Aikido Intel 日次 — 週末の脆弱性ゼロ、Malware 171 unique。T-Bank(旧Tinkoff)内部名を模した158パッケージの大規模クラスタ、8/1分は遡及で62 uniqueに確定

数字

注記: 7/29〜7/31は前号までの確定値の再掲(過去日は再集計しない)。8/1のMalwareは前号(8/2号)時点でフィード停滞により暫定0だった値を、本号で生140行/62 uniqueに遡及確定した。8/2は本号集計(8/3 07:25 JST頃)の当日値で、フィード最終反映が8/2 13:28 UTCのためこちらも翌号で遡及確定の可能性がある。脆弱性(CVE/GHSA・Pre-CVE)は8/1(土)・8/2(日)とも0件=週末ゼロの通常パターン。

新規観測（事実のみ）

脆弱性（8/2 公開、計0件）

CVE/GHSA: 0件、Pre-CVE: 0件。日曜のため公開なし(週末ゼロの通常パターン)。あわせてフィードの過去分を確認したが、7/31公開分(計3件)・8/1(0件)に遡及変動はない。月曜(8/3)は公開ラッシュが見込まれる。

Malware（8/2 検出、171 unique／生176）

エコシステム内訳(生): npm 171、cargo 2、firefox 2、homebrew 1。

• T-Bank(旧Tinkoff)系クラスタ(npm、158パッケージ): 当日検出の大半を占める。tinkoff- を冠する50、(tinkoff-)statist-browser-typed-client-* 40、twork-data-services-* など twork- 21のほか、dolyame-*(同行のBNPLサービス名義)、taiga-ui-proprietary-navigation・tui-react-*(同行OSSのTaiga UI)、tramvai-tinkoff-module-legacy-popup(同行OSSのtramvai)、hubert-*・pfp-*・sme-*・checkout-* 等、同行の社内パッケージ名とみられる名前を無スコープのままnpmへ一斉公開した形。ほぼ各1版のみの公開で、dependency confusion型の探索・実証の特徴と一致する
• @bobfrankston(継続、3パッケージ): mailx-imap・mailx-store・rmfmail。7/31の4pkg、8/1の9pkg(遡及分)に続く連日の観測
• levvleys(npm): 同名5版の連投
• ブラウザ拡張(Firefox、2件): netflix-bilingual-subtitles・youtube-bilingual-subtitles。字幕機能を装う拡張で、8/1(遡及分)にも同2件+eoffice-notes-summarizerを観測。7/31までのChrome/open_vsx拡張偽装の流れが続く
• セキュリティツール名義(cargo/homebrew): dalfox(著名XSSスキャナ名義)がcargoとhomebrewの両方で検出。本家dalfoxはGo製でcargo(Rust)版は存在しない。cargoではhttpdetも。8/1(遡及分)にはcargo interactsh(OOBテストツール名義)・deviant、golang github.com/go-appsec/toolboxがあり、セキュリティエンジニア側を狙う系統が2日続いた

8/1遡及分(生140/62 unique)の内訳(生): npm 129、pypi 4、firefox 3、cargo 2、vscode 1、golang 1。主なクラスタ: beaver-ui-* 13pkg、test-dev-* 8pkg、@bobfrankston 9pkg(msgerは7版連投)、approval-guardian 10版、a.poltoradnev-package-c 5版、accounts-* 3pkg。ほかに pp-react-worldready(PayPal社内パッケージ名義)、@moxfive-llc/common(インシデント対応企業名義)、akamaijs、pypi nvtorch-oot-nightly など実在の組織・製品名を模す個別検出。

注意点（3つ）

1. 内部パッケージ名の「在庫確認」を — T-Bank系158パッケージは、社内パッケージの内部名が無スコープのままpublicレジストリで取得可能な点を突くdependency confusionの典型形。自組織の内部パッケージ名が第三者にnpm等で取得されていないか、スコープの予約とレジストリ解決の優先順位を確認したい。新規公開パッケージを48時間置いてから取得する検疫運用も有効
2. セキュリティツールの偽装に注意 — dalfox(cargo/homebrew)・interactsh(cargo)と、著名セキュリティツール名義の検出が2日連続した。ツール導入時は公式リポジトリ・配布チャネル・実装言語の一致を確認する(例: dalfoxはGo製であり、cargo版は本家に存在しない)
3. 週末の当日値は暫定と扱う — 8/1のMalwareは前号時点で0(フィード停滞)→本号で62 uniqueに遡及確定した。週末〜月曜朝はフィード反映の遅れで当日値が過小になり得るため、本号の8/2=171 uniqueも暫定とし、翌号の遡及確認で確定させる

連続性メモ

• 7/29(水): C0/H10/M17/L1/Pre6、Malware 104 unique(フィード停滞の遡及訂正済み)
• 7/30(木): C7/H20/M11/L4/Pre5、Malware 281 uniqueで直近ピーク
• 7/31(金): C1/H1/M1/L0/Pre0、Malware 生182/114 uniqueに遡及確定。MEXC標的19pkg・MCP偽装16pkg・@0xlr 10pkg・@bobfrankston継続4pkg・Firefox拡張eoffice-notes-summarizer 7版
• 8/1(土): 週末で脆弱性ゼロ。Malwareは前号暫定0→本号で生140/62 uniqueに遡及確定(@bobfrankston 9pkg・beaver-ui系13pkg・test-dev系8pkg・approval-guardian 10版)
• 8/2(日): 週末で脆弱性ゼロ。Malware 生176/171 unique — T-Bank(旧Tinkoff)系内部名クラスタ158pkgが大半を占める。@bobfrankston継続3pkg・Firefox字幕系拡張2件・dalfox名義(cargo/homebrew)