Zergatik diren artxibo auto-deszifratzaileak oraindik ere malwarea banatzeko metodo gogokoena
Erasotzaileek ez dute beharrik zero egun garatzaileek fitxategi arbitrarioak deskonprimitzen dituztenean sandbox-ean sartu gabe. Auto-deszifratzen den artxiboa malwarea banatzeko metodo eraginkorrenetako bat da oraindik, horixe bera ustiatzen duelako: garatzaileek barne-kodean, eraikuntza-artefaktuetan eta hirugarrenen tresnetan duten konfiantza.
Ez bezala standard ZIPak, auto-deszifratzen den artxibo batek, deskonprimitzeko prozesua programa gisa exekutatzen du. Trikimailu sinple honek eskaner estatiko eta sinadura-oinarritutako gehienak saihesten ditu, batez ere instalatzaile edo eguneratze legitimo gisa mozorrotuta daudenean. Behin exekutatu ondoren, artxiboak troiakoak, spywarea edo teklatu-erregistro bat zuzenean deskonprimitu ditzake zure garapen-ingurunearen atal sentikorretara.
Zergatik maite dituzte erasotzaileek auto-deszifratzeko artxiboak?
- Isil-isilik exekutatzen dute.
- Ez dute erabiltzailearen interakzioaren mende jartzen hasierako exekuzioaz haratago.
- Zuk erabiltzen dituzun konfiantza-muga berdinak erabiltzen dituzte: barne-gidoiak, CI/CD urratsak eta garapen tresnak.
Askotan ikusiko dituzu SDK faltsuetan txertatutako autodeszifratzeko artxiboak, kode irekiko pakete konprometituetan edo baita eraikuntza optimizatzaileak edo barne tresnak direla dioten eranskin faltsu gisa ere. Artxibo hauek malwarea banatzeko metodo iraunkorrenetakoak dira, garatzaileen eguneroko lan-fluxuetan sartzen direlako. Kasu askotan, teklatu-erregistro bat isilik uzten dute, kredentzialetatik hasi eta komando sentikorretaraino dena grabatzen duena, alertarik eragin gabe.
Karga erabilgarritik iraunkortasunera: zer gertatzen den benetan exekuzioaren ondoren
Behin auto-deszifratzen den artxibo bat exekutatzen denean, ez du bitar bat botatzen eta desagertzen. Sistemetan sartzen da gaizki konfiguratutako exekuzio-politikak edo erabiltzaileen pribilegioak aprobetxatuz. Ikuspegi ezagun bat tekla-sakatzearen erregistratzaile edo atzeko ateko troiar bat erabiltzaileen prozesuetan edo sistemaren abiarazte-skriptetan txertatzea da.
Adibidez, SDA batek urruneko sarbideko troiar (RAT) bat deskonprimitu dezake, zerbitzu gisa instalatzen dena edo aldatzen duena. .bashrc, .zshrc, edo PowerShell profilak. Programatutako zereginak ere alda ditzake edo bertako tresnak erabil ditzake, hala nola schtasks or martxan jarri berrabiaraztean berriro hasteko.
Konpromisoaren Adierazle Ohikoenak (IoC) garatzaileek kontuan hartu beharko lituzkete:
- EXE edo ELF bitarien CLI ustekabeko exekuzioa hemendik: / Tmp, %Aplikazio datuak%, edo antzekoa.
- Tresna ezezagunak exekutatu ondoren sareko trafiko ezohikoa.
- Exekuzio osteko urrats susmagarriak dituzten eraikuntza edo proba script-ak aldatu dira.
Karga hauek diseinuz irauten dute eta gutxitan markatzen dituzte garapen-inguruneetako EDR tradizionalak, batez ere garapen-mendekotasun gisa mozorrotuta daudenean. Teklatuko erregistro bat aktibo dagoenean, isilean dena jaso dezake garatzaileen kredentzialetatik hasi eta ekoizpen-sekretuetaraino.
Non garatzaileek arrisku handienak dituzten CI/CD Pipelines
Hemen gauzak benetan arriskutsu bihurtzen dira: CI/CD pipelines.
Auto-deszifratzen diren artxiboak bereziki arriskutsuak bihurtzen dira jotzen dutenean CI/CD nahasten direlako. Honela mozorrotu daitezke:
- Aurrez konpilatutako SDKak edo CLI tresnak biltegietan gordeta.
- Eraiki egiaztatu gabeko iturrietatik ateratako mendekotasunak.
- Barne tresnak Slack edo posta elektronikoz partekatuta, ondoren commitgidoietan erabilia edo erabilia.
Arrisku-gune beroak
- Eraikitze-agenteak: SDA bat hemen exekutatzen bada, ingurune-aldagaiak, kredentzialak alda ditzake edo ondorengo lanetan ere txertatu.
- Mendekotasunen katxeakSDA bateko malwarea zure cachean sartzen bada, hornidura-kateko arrisku bihurtzen da. Kutsatutako cachetik ateratzen den lan bakoitzak karga heredatzen du.
- Artefaktuen biltegiakSDAekin pozoituta badaude, malwarea banatzeko metodo gisa balio dute, beheranzko inguruneetara iristeko, staging eta prod barne.
CI/CD azkarra eta automatizatua da. Horrek esan nahi du auto-deszifratzen den artxibo bat isilean hainbat ingurunetan zehar ibil daitekeela inork ohartu aurretik. Okerrago, kargak teklatu-erregistro bat badu, egin dezake leak secretetapa guztietan erabiltzen da inoiz detektatu gabe.
Exekuzio isila blokeatzea DevSecOps kontrolekin
Autodeszifratzen diren artxiboen exekuzioa saihestea ez da konplikatua, baina lehenetsitako balioetan aldaketa bat eskatzen du.
Garatzaileentzako kontrolak, funtzionatzen dutenak:
- Desgaitu arrisku handiko exekuzio-politikak: Blokeatu exekutagarriak aldi baterako edo ezezagun diren bideetatik exekutatzeko gaitasuna. Horrek esan nahi du eraikuntza-agenteetan fitxategiak behar bezala exekutatzeko politikak ezartzea.
- Betearazi artefaktuen balidazioa: Erabili kriptografia-egiaztapenak edo sinadura barneko tresna, SDK eta binario guztietan. Balidatu artefaktu guztiak ukitu aurretik. pipeline.
- Sandbox-eko lehen exekuzio binarioak: Batez ere duela gutxi deskargatutako edo gehitutako tresnetarako. Horretarako, erabili edukiontzietan dauden exekuzionatzaileak edo VM isolatuak.
- Ikuskatu pipeline portaera: Markatu eta alertatu exekuzio-portaera ezohikoei buruz, hala nola, eraikuntza osteko irteerako trafikoa edo zure CLI prozesuak definituta ez daudenean. pipeline konfigurazioa.
Indartsua DevSecOps jarrera tresna guztiak arriskuan jar daitezkeela suposatzen du. Zurea bada CI/CD autodeszifratzen den artxibo bat irristatzen ari den artetik detektatu ezin badu, askoz okerrago huts egingo du. Malwarea banatzeko metodoak eboluzionatzen ari dira, baina eraikuntza-inguruneetan fitxategi binario gaiztoak exekutatzea arrisku nagusia izaten jarraitzen du. Detekzioa prebentzioarekin uztartu.
Detekziotik Haratago: Nola Laguntzen Duen Xygenik Malwarearen Bidalketa Bideak Jarraitzen
Teklatuko erregistro bat gertatu ondoren detektatzea beranduegi da. Horretarako tresnak... Xigenoa materia.
Xygeni-k zure lanean zer exekutatzen den denbora errealeko informazioa ematen du pipeline, auto-deszifratzen den artxibo bat edo eraikuntza-laguntzaile gisa mozorrotutako binario maltzurra izan. Bere indarra honetan datza:
- Malwarearen bidalketa-metodoek nola mugitzen diren mapatzea pipelines.
- Autodeszifratzen diren artxibo gaiztoen jatorria jarraitzea.
- Exekuzioa blokeatzea portaera-adierazleetan oinarrituta, ez sinaduretan bakarrik.
Xygeni-rekin, gertaera hauek erlazionatu ditzakezu: "42. eraikuntza-lanean sartutako artefaktu ezohikoa" → "CLI-k ustekabeko bitarra exekutatu du" → "tekla-sakatzearen erregistro-baliza detektatu da amaieran".
Trazabilitate hau funtsezkoa da ziurtatzen saiatzean CI/CD malware ezkutuko bidalketa-metodoen aurkako lan-fluxuak.
Azken defentsa lerroa: gelditu auto-deszifratzen diren artxiboak zure lehertu baino lehen Pipeline
Artxibo auto-deszifratzea ez da trikimailu zahar bat soilik. Garatzaileei zuzendutako malware banaketa metodo arriskutsuenetako eta gutxien detektatuenetako bat izaten jarraitzen dute. pipelines.
Kodea idazten edo babesten duen garatzailea bazara, honako hau egin behar duzu:
- Fitxategi bitar guztiak fidagarriak ez direnez tratatu, zure barruan ere bai. pipeline.
- Betearazi balidazioa eta sandboxing-a hirugarrenen artefaktu guztientzat.
- Ikuskatu pipeline ekoizpen-trafikoa balitz bezala portaera.
Eta garrantzitsuena, kontuan hartu eskaneatzetik haratago doazen Xygeni bezalako tresnak, teklatu-erregistro bat zure barnean sartu aurretik auto-deszifratzen diren artxibo gaiztoak jarraitzen, trazatzen eta blokeatzen dituzten tresnak. CI/CD pila. Ezkerrera mugitu, baina sakonago eskaneatu. Eta ez gutxietsi inoiz artxibo txiki batek nola arrisku handia sor dezakeen malware isilaren bidalketa-metodoen bidez.
