’S e Namso gen aon de na gineadairean cairt creideis meallta as motha a thathas a’ lorg air-loidhne, agus tha e cuideachd mar aon den fheadhainn as motha a thathas a’ droch-chleachdadh. Chan eil a’ mhòr-chuid de luchd-leasachaidh agus luchd-deuchainn càileachd a bhios ga lorg ach ag iarraidh àireamhan cairt meallta gus sruthadh pàighidh a dhearbhadh. Tha fios aig luchd-ionnsaigh air sin, agus tha iad air an rannsachadh sin a thionndadh gu bhith na bhiathadh: clòn an inneal, paisg e timcheall air malware, agus feitheamh ri cuideigin ann an cabhag gus a stàladh.
Anns a’ phost seo: mar a tha malware falaichte taobh a-staigh namso gen agus gineadairean meallta coltach ris, carson a tha sin cudromach dhutsa SDLC, agus mar a chuireas tu stad air mus ruig e cinneasachadh.
Mar a bhios gineadairean meallta mar Namso Gen a’ sgaoileadh malware
Tha inneal mar namso gen a’ coimhead sìmplidh air an uachdar: cruthaich àireamhan cairt creideis meallta gus siostam pàighidh a dhearbhadh. Bidh luchd-ionnsaigh a’ gabhail brath air an t-sìmplidheachd sin le bhith a’ clònadh làraichean no stòran-dàta a tha coltach ri bhith dligheach agus a’ cur malware a-steach do fhaidhlichean ZIP, leudachaidhean brobhsair, no luchdan JavaScript. Bidh luchd-leasachaidh a tha a’ sireadh innealan dàta deuchainn ann an cabhag gu tric a’ greimeachadh agus a’ ruith nan goireasan sin gun a bhith a’ sgrùdadh a’ chòd an toiseach, agus is e sin dìreach a tha luchd-ionnsaigh an urra ris.
Tha cuid de dhreachan clònaichte an urra ri innleadaireachd shòisealta, “gun lorg,” “premium ruigsinneachd,” “toraidhean sa bhad,” gus luchd-cleachdaidh a phutadh a dh’ionnsaigh putan luchdaich sìos. Aon uair ‘s gu bheil briogadh air, bidh sin a’ piobrachadh galar sàmhach: doras cùil, goid fiosrachaidh, no mèinneadair airgead didseatach. Mar as trice bidh an malware fhèin falaichte ann an sgriobtaichean, eisimeileachdan, no às dèidh an stàlaidh doilleir. hooks, agus is e sin dìreach a leigeas leis sleamhnachadh seachad air sganaidhean ìre uachdair.
Leis gu bheil gineadairean meallta ag amas gu dìreach air sruthan-obrach luchd-leasachaidh, faodaidh iad a dhol a-steach do chearcall-beatha leasachaidh bathar-bog (SDLC) gun mhothachadh. Dh’fhaodadh clòn ginealach namso a tha air a mhilleadh:
- Faigh clònadh a-steach do stòr-tasgaidh a thathas a’ cleachdadh mu thràth anns an stòr agad CI/CD pipeline
- Faigh a-steach do àrainneachdan deuchainn tro shreathan container
- Cleachd dìomhaireachdan no comharran a tha air an stòradh ann an rèiteachaidhean a tha air an sgaradh gu dona
Eisimpleir: Eisimeileachd Cunnartach ann am package.json
Bidh dreachan droch-rùnach de namso gen a’ falach malware, air a dhubhadh às luchdan-pàighidh, no sgriobtaichean iar-stàlaidh a ruitheas dìreach às dèidh dhut am pasgan a stàladh, eadhon ged a tha coltas gun chron air a’ ghoireas.
Tha an aon chunnart a’ nochdadh ann an Faidhle docker:
Bidh an aon loidhne sin a’ faighinn agus a’ ruith còd ann an aon cheum, rud a tha na àite dall dona sa mhòr-chuid. CI/CD pipelines. Sganairean traidiseanta gu tric ga chall, gu h-àraidh nuair nach bi an luchd ag obair ach fo chumhachan sònraichte.
🔧 Thoir air falbh: làimhsich namso gen, agus gineadair cairt creideis meallta sam bith, mar chòd neo-earbsach gu bunaiteach. Dearbhaich an stòr, dèan sgrùdadh air an t-susbaint, agus sgan e gu fèin-ghluasadach mus tèid e a-steach don t-sruth-obrach agad.
Luchdan pàighidh fìor malware air an lorg ann an clònaichean Namso Gen
Chan e dìreach innealan neo-shoilleir a th’ ann an gineadairean meallta mar namso gen, chaidh an clàradh mar shianalan lìbhrigidh malware fìor. Tha luchd-rannsachaidh air grunn chùisean a lorg far an deach gineadairean cairt creideis meallta a chleachdadh gu sònraichte gus innealan luchd-leasachaidh a thargaideadh, agus gu tric chan fhaicear an co-rèiteachadh gus am bi am milleadh air a dhèanamh mu thràth.
- Luchd-goid fiosrachaidh. Cho luath ‘s a bhios iad gnìomhach, bidh na sgriobtaichean seo a’ lorg comharran GitHub, teisteanasan AWS a tha air an stòradh ann an
.aws/no caochladairean àrainneachd, agus faclan-faire a chaidh a shàbhaladh ann an stòradh brabhsair ionadail. Mar as trice bidh an dàta a chaidh a ghoid air a thoirt a-mach tro Discord webhooks no botaichean Telegram. - Mèinnearan crioptachaidh. Bidh cuid de chlònaichean namso gen a’ falach cryptominers a bhios a’ cleachdadh CPU no GPU an inneil agad an-dràsta a bhios iad a’ ruith, gu tric a’ cur dàil air gnìomhachadh no a’ sgrùdadh airson àrainneachd bogsa-gainmhich an toiseach gus lorg a sheachnadh.
- RATan (Trojans Ruigsinneachd Iomallach). Bidh innealan namso gen meallta eile a’ stàladh dorsan cùil làn-ruigsinneachd iomallach comasach air faidhlichean a luchdachadh suas no a luchdachadh sìos, òrdughan siostaim a ruith, brùthadh meur-chlàir a chlàradh, agus an sgrion agad a chlàradh, a’ toirt comas do ionnsaighear còd tùsail a ghoid, atharrachadh pipelines, no gluais gu taobhach thairis air an àrainneachd agad.
- Pacaidean coltach ri droch-rùnach. Bidh luchd-ionnsaigh cuideachd a’ foillseachadh phasganan meallta gu npm no PyPI fo ainmean coltach ri namso gen, làn sgriobtaichean iar-stàlaidh doilleir, luchdan còdaichte, no òrdughan mar
curl | bashorrm -rf /Bidh iad sin a’ ruith gu sàmhach rè a’ phròiseis togail, mar as trice gun rabhadh faicsinneach sam bith.
Mar a lorgas Xygeni malware Namso Gen agus a chuireas e bacadh tràth air
Faodaidh aon ghineadair cairt creideis meallta a chaidh a mhilleadh inneal leasaiche a ghlacadh, leak secrets, no cuir doras cùil a-steach don pipeline, gun a bhith a-riamh a’ beantainn ri cinneasachadh. Xigin air a thogail gus sin a ghlacadh cho luath ‘s a thèid e a-steach don stòr-tasgaidh, soitheach no sgriobt CI agad, chan ann às dèidh na fìrinn.
- Bidh e a’ sganadh eisimeileachdan, a’ togail sgriobtaichean, agus soithichean aig commit ùine, a’ cur stad air gineadairean meallta mar namso gen mus sgaoil iad.
- A’ cur bacadh air malware falaichte, a’ gabhail a-steach luchdan pàighidh base64, sgriobtaichean às dèidh an stàlaidh, agus gairmean CLI amharasach.
- A’ dèanamh cinnteach gu bheil e comasach brath a ghabhail air, agus mar sin tha rabhaidhean cuingealaichte ri malware a tha ruigsinneach sa chòd agad, chan e fuaim.
- A’ cumail sùil air forcaichean, co-obraichean, agus stòran-dàta gun tracadh, a’ nochdadh nuair a thig gineadair cairt creideis meallta clònaichte a-steach don bhuidhinn agad.
- Lorgaidhean pipeline abnormalities, leithid atharrachaidhean obann ann am faidhle namso gen no sgriobtaichean a chaidh a thoirt a-steach do rèiteachaidhean CI agad.
CÀBHA
An e malware namso gen a th’ ann?
Thòisich Namso gen fhèin mar ghineadair àireamhan cairt creideis meallta sìmplidh airson sruthan pàighidh a dhearbhadh. Tha an cunnart a’ tighinn bho dhreachan clònaichte no forcaichte a tha a’ cuairteachadh air-loidhne, agus mòran dhiubh sin a’ pasgadh malware, luchdan falaichte, no sgriobtaichean às dèidh an stàlaidh taobh a-staigh na tha coltach ris an aon inneal.
An urrainn dha gineadair cairt creideis meallta inneal leasaiche a ghalarachadh dha-rìribh?
'S e. Tha luchd-rannsachaidh air gineadairean chairtean creideis meallta a chlàradh a thathas a' cleachdadh gu sònraichte gus luchd-goid fiosrachaidh, mèinnearan criopto, agus trojans ruigsinneachd iomallach (RATn) a lìbhrigeadh gu innealan luchd-leasachaidh, gu tric tro stòran clònaichte, leudachadh brobhsair, no pacaidean npm / PyPI droch-rùnach a' cleachdadh ainm coltach ris.
Ciamar a bhios fios agam a bheil inneal namso gen a luchdaich mi sìos sàbhailte?
Làimhsich e mar chòd neo-earbsach gu bunaiteach: dearbhaich an stòr, thoir sùil air an t-susbaint mus ruith thu e, agus sgan e gu fèin-ghluasadach seach a bhith an urra ri sgrùdadh lèirsinneach. Tha dreachan droch-rùnach air an togail gu sònraichte gus am bi iad a’ coimhead co-ionann ris an inneal dligheach.
An urrainn do sganairean traidiseanta malware a ghlacadh a tha falaichte ann an gineadairean meallta mar namso gen?
Chan eil e earbsach. Bidh luchdan pàighidh gu tric air an doilleireachadh no air an cur an gnìomh gu cumhach, a leigeas leotha sganaidhean ìre uachdar a sheachnadh. Feumaidh lorg tachairt aig commit ùine agus cunntas a thoirt air comas-brathaidh, chan e dìreach làthaireachd.
Takeaways deireannach
- Thoir sùil air gach inneal, eadhon airson dàta deuchainn. Na stàlaich no na ruith còd bho thùsan neo-aithnichte, eadhon chan e clòn de namso gen a tha coltach ris an fhear thùsail.
- Chan eil feum aig malware air ruigsinneachd riochdachaidh. Tha aon inneal leasaiche a tha air a mhilleadh gu leòr airson leak secretno gabhaltachd a thoirt do thogail.
- Tha gineadairean meallta nam pàirt den uachdar ionnsaigh agad. Dèilig riutha mar eisimeileachd neo-earbsach sam bith eile no sgriobt treas-phàrtaidh.
- Lorg agus cuir bacadh tràth. Bidh Xygeni a’ sganadh airson luchdachadh sìos malware, a’ comharrachadh giùlan amharasach, agus a’ toirt làn fhaicsinneachd thar do stòran-dàta mus ruig bagairtean stoidhle namso gen cinneasachadh.
