TL; DR
ተንኮል አዘል የnpm ፓኬጆች አልፎ አልፎ የሚከሰቱ ክስተቶች አይደሉም። ቀጣይነት ያለው የህትመት ስራ እና በየሳምንቱ የተረጋገጡ የጉዳይ ዝማኔዎች ዝርዝር ናቸው። 87ኛውን ዓመት አልፎ የወጣው የተንኮል ኮድ ዳይጀስት በሰባት ተከታታይ እትሞች ላይ፣ ዢጌኒ አረጋግጧል። 635 ተንኮል አዘል ፓኬጆች, ጸጥ ባለ ሳምንት ውስጥ ከ13 ወደ 206 ሰዎች በተጨናነቀ ሳምንት። ሳምንታዊው ክልል ዋናው ነጥብ ነው፡ ይህ ክስተት ሳይሆን ክስተት ነው።
- ችግሩ የውጥረቱ መጠን ነው። አንድ ጥቅል በሳምንት ውስጥ ከዜሮ ወደ ከ55 በላይ ስሪቶች ተቀይሯል። ሌላ ክላስተር ደግሞ ወደ 30 የሚጠጉ የጥቅል ስሞችን በሦስት ሰዓታት ውስጥ አሳትሟል። ሳምንታዊ ኦዲት የተሳሳተ የጊዜ አሃድ ነው።
- እንደ CVEዎች አይደርሱም። ተንኮል አዘል ፓኬጅ በሕጋዊ ኮድ ውስጥ ጉድለት የለውም፣ ስለዚህ ምንም አይነት ምክር፣ ውጤት እና አብዛኛውን ጊዜ ምንም አይነት መለያ የለም። በተጋላጭነት ላይ የተመሰረተ ፕሮግራም ለዚህ መዋቅራዊ እውር ነው።
- ማውረድ ጥበቃ አይደለም። ፓኬጆቹ በተለምዶ ከደቂቃዎች እስከ ሰዓታት ድረስ በቀጥታ ይሰራሉ። ጭነትዎ በዚያ መስኮት ውስጥ ተከስቷል ወይም አልተከሰተም።
- ምርመራ በህትመት ላይ መቀመጥ አለበት፣ እና በመጫን ላይ ተፈጻሚ መሆን አለበት። ፊርማ፣ CVE ወይም ሳምንታዊ ቅኝት የሚጠብቅ ማንኛውም ነገር ከተጎተተው ግንባታ በኋላ ይደርሳል።
ዝርዝሩ አለ። ይህ ከመታየት ጋር ተመሳሳይ አይደለም
ስለ ተንኮል አዘል የኤንፒኤም ፓኬጆች ምንም ምስጢር የለም። የተረጋገጡ ጉዳዮች በየሳምንቱ ይታተማሉ፣ ይሰየማሉ እና ይመዘገባሉ፣ ይህም በ ውስጥም ጭምር የXygeni የራሱ የሆነ የተንኮል ኮድ ማጠቃለያአሁን ከሰማንያ ሰባተኛው እትም አልፏል።
ክፍተቱ መረጃ አይደለም። ትኩረት እና ቅልጥፍና ነው። በየሳምንቱ የሚዘመን፣ በየወሩ የሚነበብ እና በየሩብ ዓመቱ የሚተገበር ዝርዝር በአንድ ሰው ላይ ምን እንደደረሰ የሚያሳይ ዝርዝር ነው።
የሰባት ሳምንታት ምን እንደሚመስሉ እነሆ፣ ከሻጭ ጥናት ይልቅ ከራሳችን የተረጋገጡ ግኝቶች የተወሰደ።
ዋናው ነገር አጠቃላይ ድምር አይደለም። በየሳምንቱ ውስጥ ያለው ፍጥነት ነው።
ፍጥነት ሙሉው ጥቃት ነው
ከእነዚያ ሳምንታት የተገኙ ሦስት ግኝቶች፣ እያንዳንዳቸው ግምገማውን ለማለፍ የተለያዩ መንገዶች ናቸው።
- የስሪት ጎርፍ። አንድ ነጠላ የnpm ጥቅል፣
zevairouterበአንድ ሳምንት ውስጥ ከ55 በላይ የተረጋገጡ ስሪቶችን ደርሷል፣ ከአጃቢ ጥቅል አስር ተጨማሪዎችን ተቀላቅሏል። በPyPI ላይ፣bingo-aiበ30 ደቂቃ ውስጥ ወደ 80 የሚጠጉ ስሪቶችን አዘጋጅቷል። በእጅ የሚደረግ የግምገማ ሂደት በዚያ ፍጥነት አይሰራም፣ እና በሌሊትም ቢሆን አይሰራም። - የተመሳሰሉ ክላስተሮች። አስራ ሰባት የ PayPal አገልግሎት ስሞችን የሚያስመስሉ ፓኬጆች በጥቂት ደቂቃዎች ውስጥ ታትመዋል፣ ሁሉም በ28.0.0 ስሪት ላይ። ይህ መጠን አይደለም፣ ውድድር ነው፡ የተጋነነ የስሪት ቁጥር የራስዎ ቡድኖች ከጻፉት ውስጣዊ ጥቅል በላይ አለ። ተመሳሳይ ዘዴ ከሳምንታት በኋላ እንደገና ታየ
@umschool/platformበ999.0.0 ታትሟል። - በማውረድ በኩል ጽናት። የቤይሊስ የማስመሰል ዘመቻ ለሳምንታት ሲካሄድ ቆይቷል። ስሞቹ ይሽከረከራሉ፣ ስሪቶች እየጨመሩ ይሄዳሉ፣ ሪፐብሊኬሽን ከተገኘ በኋላ ይቀጥላል። ማውረድን ለማቆም እንደ ምክንያት ሳይሆን የንግድ ሥራ ወጪ አድርጎ የሚቆጥር ኦፕሬተር ነው። አንድ ሩብ ዓመት የሚገመገምልዎት ግምገማዎ ፈጽሞ የማይሳካለት ኦፕሬተር ነው።
እና የመቆያ ጊዜው በዲዛይን አጭር ነው። በቅርቡ በተደረገ አንድ ክላስተር፣ ፓኬጆቹ ከመወገዳቸው በፊት ከ17 ደቂቃ እስከ 13 ሰዓታት ድረስ በቀጥታ ተሰራጭተዋል።
ያንን ለመዝገቡ የአፈጻጸም መለኪያ ሳይሆን እንደ ተጋላጭነት መስኮት አድርገው ያንብቡት። አንድ ግንባታ በእሱ ጊዜ ከተጀመረ፣ ማውረድ ምንም ለውጥ አያመጣም።
የተጋላጭነት ፕሮግራምዎ ይህንን ለምን አያይም
ይህ የመዋቅር ነጥብ ነው፣ እና አብዛኛዎቹ የደህንነት ቡድኖች ውስጣዊ ያላደረጉት ይህ ነጥብ ነው።
ተጋላጭነት አንድ ሰው በቅን ልቦና የጻፈው ኮድ ጉድለት ነው። ተንኮል አዘል ፓኬጅ በአጥቂ የታተመ ሆን ተብሎ የታተመ ቅርስ ሲሆን ብዙውን ጊዜ ምንም አይነት መለያ፣ ምንም አይነት ምክር እና የህይወት ዘመን በሰዓታት የሚለካ አይደለም። በCVE መግቢያ፣ በክብደት ደረጃ አሰጣጥ እና በጠለፋ መስኮቶች ዙሪያ የተገነባ እያንዳንዱ ሂደት ለመጀመሪያው ነገር የተነደፈ እና በነባሪነት ለሁለተኛው ተተግብሯል።
መለያ አለመኖር በCVE ስርዓት ውስጥ የሚደረግ ቁጥጥር አይደለም። እንደታቀደው የሚሰራው ምድብ ነው፡- ሙሉ ዓላማው ተንኮል የተሞላበት ቅርስ ላይ ምክር የሚያቀርብ ማንም የለም፣ እና ማንም ሰው በሚችልበት ጊዜ ፓኬጁ ጠፍቷል። ይህ ማለት “ይህ CVE አለው?"ለንፁህ ፓኬጅ እና ከአንድ ሰዓት በፊት ለታተመ የማረጋገጫ ስርቆት ተመሳሳይ መልስ ይመልሳል።
የክፍያ ጭነቶች አሁን በእውነቱ ምን እያደረጉ ነው
የተንኮል አዘል npm ፓኬጆች ግልጽ ያልሆነ ምስል ክሪፕቶ ማዕድን አውጪ ነው። የአሁኑ እውነታ በገንቢዎች ላይ ያነጣጠረ የምስክርነት ስርቆት እና በማሽኖቻቸው ላይ ባሉ የAI ማስረጃዎች ላይ እየጨመረ የሚሄድ ነው።
የ PhantomSync በአንድ አካውንት ስር የታተሙ ስምንት የnpm ፓኬጆች፣ ልክ እንደተገለጸው ሰርተዋል፣ ከውጭ ከገባ በኋላ በግምት 37 ሰከንዶች የሚተኩስ ራስን የሚጠራ ጠብታ እየደበቀ፣ የውሸት የሙከራ መሳሪያ ተብሎ የተቀመጠውን የክፍያ ጭነት ፈትቶ፣ የመድረክ አቋራጭ ጽናት የጫነ እና የኪስ ቦርሳ እና ሚስጥራዊ ስርቆት አስነሳ። መዘግየት፣ መሸፋፈን፣ ቀጥል፣ አጣራ።
በትልቅ ደረጃ፣ የቻይንድሮፕ ማዕበል ሻይ-ሁሉድ ትል በኦገስት 2026 መጀመሪያ ላይ ከ400 በላይ ፓኬጆችን እና 1,700 ስሪቶችን አስመዝግቧል፣ ይህም በወር 1.3 ቢሊዮን የሚደርሱ ውርዶችን ያጠቃልላል። ሰብሳቢው ከ300 በላይ የማረጋገጫ ቅጦችን ፈልጓል፣ ይህም OpenAI፣ Anthropic እና Cursor ቁልፎችን ያካትታል። የገንቢ ማሽኖች ከቅድመ-ይሁንታ በፊት ጠቃሚ ሆነዋል።cisሞዴሉ በእነሱ ላይ በተቀመጠው ማስረጃ ምክንያት ኤሊ።
የስም አሰጣጥ ስምምነቶች ገንዘቡን ተከትለዋል። የቅርብ ጊዜ ክላስተሮች ክሪፕቶ እና ዴፋይ ኤስዲኬዎችን፣ የክፍያ ሞጁሎችን፣ የዋትስአፕ ኤፒአይ ቤተ-መጻሕፍትን፣ የAWS መገልገያዎችን እና በአንድ አጋጣሚ በዳርክ-LLM አጥቂ መሳሪያ ስም በግልጽ የተሰየመ ፓኬጅ አስመስለው ቀርበዋል።
ተንኮል አዘል የኤንፒኤም ፓኬጆችን የሚያስቆመው ምንድን ነው?
አራት መቆጣጠሪያዎች፣ በሚከፍሉት ቅደም ተከተል።
1. በህትመት ጊዜ መለየት፣ ይፋ ሲደረግ አይደለም። የXygeni የማልዌር ቅድመ ማስጠንቀቂያ አዲስ የታተሙ ፓኬጆችን በ npm፣ PyPI፣ Maven እና ሌሎች መዝገቦች በሚታዩበት ጊዜ ላይ ይተነትናል፣ ፊርማ ወይም ሪፖርት ከመጠበቅ ይልቅ የባህሪ እና ያልተለመደ ትንተናን በመጠቀም። ይህ በጊዜ ሰሌዳው ውስጥ ከግንባታዎ በፊት ያለው ብቸኛው ነጥብ ነው።
2. መጫኑ የሚከናወንበትን ቦታ ማስፈጸም። ማወቅ አንድ ጥቅል ተንኮል አዘል እንደሆነ ይነግርዎታል። የድህረ-ጫኝ ስክሪፕት እንዳይሰራ የሚከለክለው መጫኑን የሚያግድ መመሪያ ነው። ይህ አሁን ወኪሎች ጥገኛዎችን የሚጭኑት ሰው ሳይመርጣቸው መሆኑ የበለጠ አስፈላጊ ነው።
3. የመቆለፊያ ፋይሎች እና የሃሽ ፒኒንግ። ጥቅም npm ci በCI ውስጥ ሳይሆን npm installስለዚህ በመቆለፊያ ፋይል ውስጥ ያለው ትክክለኛው የጥገኝነት ዛፍ የሚገነባው ነው። የፊደል አጻጻፍ እና የተነፉ ስሪቶች የሚተማመኑበትን የመተኪያ መንገድ ይዘጋል።
4. በአንድ ቦታ የተገኙ ግኝቶች። የማልዌር ግኝቶች ከእርስዎ ጋር በተመሳሳይ ቅድሚያ በተሰጣቸው ወረፋ ውስጥ ይገኛሉ SCA እና የኮድ ግኝቶች፣ በተለየ ምግብ ውስጥ ሳይሆን፣ አንድ ሰው ቸል ይላል። የተረጋገጠ ተንኮል አዘል ጥገኝነት ከመካከለኛ ክብደት CVE መብለጥ አለበት፣ እና ያንን ንጽጽር የሚቻል የጋራ የአደጋ ሞዴል ብቻ ነው።
ዝርዝሩን ይመልከቱ ወይም በራስ-ሰር ያድርጉት
በየሳምንቱ የመዝገብ ቤት ምግብን የማንበብ ትኩረት ማንም የለውም። ይህ በራሱ የሚሰራበት ነጥብ ነው።
Xygeni አዲስ የታተሙ ፓኬጆችን በ npm እና በሌሎች መዝገቦች ላይ በሚታተምበት ጊዜ ይተነትናል፣ ማልዌር ወደ ግንባታ ከመድረሱ በፊት ተረጋግጧል፣ እና ግኝቱን ቡድኖችዎ አስቀድመው ከሚሰሩባቸው ሌሎች ነገሮች ሁሉ ጋር በተመሳሳይ ቅድሚያ በተሰጣቸው ወረፋ ውስጥ ያስቀምጣል። የማልዌር ማወቂያ በነጻው የገንቢ ዕቅድ ውስጥ ተካትቷል፣ ይህም በዚህ ምድብ ውስጥ ላሉ አብዛኛዎቹ ነፃ ደረጃዎች እውነት አይደለም።
በነፃ ይጀምሩ፣ ወይም አንብብ የዚህ ሳምንት የተንኮል አዘል ኮድ ዝርዝር አንደኛ.
በየጥ
ተንኮል አዘል የኤንፒ ፓኬጆች ምንድናቸው?
በ npm መዝገብ ቤት የታተሙ እና ጉዳት ለማድረስ ሆን ተብሎ የተገነቡ ፓኬጆች፡- የምስክርነት እና የኪስ ቦርሳ ሰረቆች፣ የኋላ በሮች፣ የዶፕፐር እና የውስጥ ወይም የታዋቂ የጥቅል ስሞችን የሚያስመስሉ የጥገኝነት-ግራ መጋባት ቅርሶች።
ተንኮል አዘል የኤንፒ ፓኬጆች ምን ያህል የተለመዱ ናቸው?
በተከታታይ። በሰባት የቅርብ ጊዜ የተንኮል ኮድ ዳይጀስት እትሞች ውስጥ፣ Xygeni 635 ተንኮል አዘል ፓኬጆችን አረጋግጧል፣ ይህም ጸጥ ባለ ሳምንት ውስጥ ከአስራ ሁለት እስከ ንቁ ዘመቻዎች ወቅት ከ200 በላይ ይደርሳል። npm ከፍተኛውን ቁጥር ይይዛል።
ተንኮል አዘል የኤንፒኤም ፓኬጆች ለምን ያህል ጊዜ ይገኛሉ?
ብዙ ጊዜ ከደቂቃዎች እስከ ሰዓታት። አስፈላጊው ነገር ያ መስኮት ነው፣ ምክንያቱም በውስጡ የሚሰራ ግንባታ ፓኬጁ ምን ያህል በፍጥነት ቢወገድም ቀድሞውኑ ተጽዕኖ ያሳድራል።
ተንኮል አዘል የኤንፒኤም ፓኬጆች CVEዎችን ያገኛሉ?
ብዙውን ጊዜ አይደለም። በሕጋዊ ኮድ ውስጥ ያሉ ጉድለቶች ሳይሆኑ በአጥቂዎች የታተሙ ቅርሶች ናቸው፣ እና በ2026 የተከታተሉ ዘመቻዎች በንቃት ብዝበዛ ወቅት ምንም አይነት የCVE ምደባ አላገኙም።
ከመጫንዎ በፊት አንድ ጥቅል ተንኮል አዘል መሆኑን እንዴት ማረጋገጥ እችላለሁ?
የታወቀ መጥፎ ዝርዝርን የሚያረጋግጥ፣ የአታሚውን እና የስሪት ታሪኩን የሚያረጋግጥ፣ ባልተለመደ ሁኔታ ከፍተኛ የስሪት ቁጥሮችን እና አዲስ መለያዎችን የሚጠራጠር እና በግምገማ ላይ ከመተማመን ይልቅ በጭነት ጊዜ መመሪያን የሚያስፈጽም ጥቅሎችን በህትመት ላይ ከመተንተን ይልቅ የሚተነትን መሳሪያ ይጠቀሙ።
የጥገኝነት ግራ መጋባት ምንድን ነው?
ከውስጣዊው ጋር ተመሳሳይ ስም ያለው ይፋዊ ፓኬጅ ማተም፣ ብዙውን ጊዜ በተነፋ ስሪት፣ ስለዚህ መፍትሄ ሰጪው የአጥቂውን ቅጂ ይመርጣል። በስሪት 28.0.0 ላይ ያለው የ PayPal-name ክላስተር የመማሪያ መጽሐፍ ምሳሌ ነው።
