Namso gen yana ɗaya daga cikin kamfanonin samar da katin kiredit na bogi da aka fi nema a yanar gizo, kuma yana ɗaya daga cikin waɗanda aka fi cin zarafi. Yawancin masu haɓaka software da masu gwajin QA waɗanda ke neman sa suna son lambobin kati na bogi ne kawai don gwada yadda ake biyan kuɗi. Masu kai hari sun san hakan, kuma sun mayar da wannan binciken ya zama tarko: kwafi kayan aikin, naɗe shi a kan malware, kuma suna jiran wani ya shigar da shi cikin gaggawa.
A cikin wannan rubutun: yadda malware ke ɓoye a cikin namso gen da makamantan janareto na jabu, me yasa hakan yake da mahimmanci ga ku SDLC, da kuma yadda za a dakatar da shi kafin ya kai ga samarwa.
Yadda Na'urorin Samar da Manhajoji na Bogi Kamar Namso Gen Ke Yaɗa Malware
Kayan aiki kamar namso gen yana kama da mai sauƙi a saman: yana samar da lambobin katin kiredit na bogi don gwada tsarin biyan kuɗi. Masu kai hari suna amfani da wannan sauƙin ta hanyar ɓoye shafuka ko wuraren ajiya masu kama da na halal da saka malware a cikin fayilolin ZIP, ƙarin burauza, ko kayan aikin JavaScript. Masu haɓaka kayan aikin bayanai na gwaji suna cikin sauri sau da yawa suna kamawa da gudanar da waɗannan kayan aikin ba tare da duba lambar ba tukuna, wanda shine ainihin abin da maharan ke dogara da shi.
Wasu nau'ikan da aka yi kwafi sun dogara ne akan injiniyan zamantakewa, "babu ganowa," "premium samun dama," "sakamako nan take," don tura masu amfani zuwa maɓallin saukewa. Da zarar an danna, hakan yana haifar da kamuwa da cuta a ɓoye: ƙofar baya, satar bayanai, ko mai hakar ma'adinai na cryptocurrency. Malware ɗin da kansa yawanci yana ɓoye a cikin rubutun da aka ɓoye, abubuwan dogaro, ko bayan shigarwa hooks, wanda shine ainihin abin da ke ba shi damar zamewa fiye da na'urorin daukar hoto na matakin saman.
Saboda janareto na bogi suna kai hari ga ayyukan masu haɓaka software kai tsaye, suna iya shiga cikin zagayowar rayuwar haɓaka software ɗinku (SDLC) ba a lura da shi ba. Kwayar halittar namso da aka lalata na iya:
- Yi amfani da shi a cikin wurin ajiyar da aka riga aka yi amfani da shi a cikin na'urarka CI/CD pipeline
- A haɗa shi cikin yanayin gwaji ta hanyar yadudduka na kwantena
- Yi amfani da sirrin ko alamun da aka adana a cikin saitunan da ba su da kyau
Misali: Dogaro Mai Haɗari a cikin package.json
Sigar mugunta ta namso gen ɓoye malware, obfuscated nauyin biya, ko rubutun bayan shigarwa waɗanda ke gudana jim kaɗan bayan kun shigar da kunshin, koda kuwa kayan aikin yana kama da mara lahani.
Irin wannan haɗarin yana bayyana a cikin wani Dockerfile:
Wannan layi ɗaya yana ɗauko kuma yana gudanar da lambar a mataki ɗaya, babban wuri ne na makanta a mafi yawan mutane. CI/CD pipelines. Na'urorin daukar hoto na gargajiya sau da yawa ba sa jin daɗinsa, musamman idan nauyin da aka ɗora ya kunna ne kawai a ƙarƙashin takamaiman yanayi.
🔧 Takeaway: Yi wa namso gen, da duk wani mai samar da katin kiredit na bogi, a matsayin lambar da ba a amince da ita ba ta hanyar tsoho. Tabbatar da tushen, duba abubuwan da ke ciki, kuma duba ta atomatik kafin ya shiga tsarin aikinka.
An Gano Nauyin Malware Na Gaskiya A Cikin Kwamfutocin Namso Gen
Injinan samar da wutar lantarki na bogi kamar namso gen ba wai kawai kayan aiki ne marasa tsari ba, an rubuta su a matsayin hanyoyin isar da malware na gaske. Masu bincike sun gano lokuta da dama inda aka yi amfani da injinan samar da wutar lantarki na bogi musamman don kai hari ga injinan haɓaka wutar lantarki, kuma sau da yawa ba a lura da sulhun ba har sai an riga an gama lalata shi.
- Masu satar bayanai. Da zarar sun yi aiki, waɗannan rubutun suna neman alamun GitHub, takardun shaidar AWS da aka adana a ciki
.aws/ko masu canjin muhalli, da kalmomin shiga da aka adana a cikin ma'ajiyar burauzar gida. Bayanan da aka sata galibi ana tace su ta hanyar yanar gizo na Discordhooks ko kuma bots na Telegram. - Masu hakar ma'adinai. Wasu nasso gen clones suna ɓoye masu amfani da cryptominers waɗanda ke amfani da CPU ko GPU na injin ku da zarar sun aiwatar, sau da yawa suna jinkirta kunnawa ko duba yanayin sandbox da farko don guje wa ganowa.
- RATs (Trojans Masu Samun Dama). Sauran kayan aikin namso gen na bogi suna shigar da cikakkun ƙofofin baya masu damar shiga daga nesa waɗanda ke da ikon loda ko sauke fayiloli, gudanar da umarnin tsarin, yin rikodin maɓallan maɓalli, da kuma yin rikodin allonka, suna ba wa maharin damar satar lambar tushe, gyara pipelines, ko kuma motsa a gefe a cikin yanayinka.
- Fakiti masu kama da na mugunta. Masu kai hari kuma suna buga fakitin karya zuwa npm ko PyPI a ƙarƙashin sunaye makamancin namso gen, cike da rubutun bayan shigarwa da aka ɓoye, nauyin da aka ɓoye, ko umarni kamar
curl | bashorrm -rf /Waɗannan suna gudana a hankali yayin aikin ginawa, yawanci ba tare da wani gargaɗin da ake gani ba.
Yadda Xygeni Ke Gano Malware Namso Gen Kuma Ya Toshe Shi Da wuri
Na'urar samar da katin kiredit na bogi guda ɗaya da aka lalata za ta iya kamuwa da na'urar haɓaka kayayyaki, leak secrets, ko kuma a saka ƙofar baya a cikin naka pipeline, ba tare da taɓa samarwa ba. Xygeni an gina shi ne don kama shi da zarar ya shiga wurin ajiyar ku, akwatin ku, ko rubutun CI, ba bayan an tabbatar da hakan ba.
- Yana bincika abubuwan da suka dogara da shi, yana gina rubutun, da kwantena a commit lokaci, dakatar da janareto na bogi kamar namso gen kafin su yaɗu.
- Toshe malware da aka ɓoye, gami da nauyin biyan kuɗi na base64, rubutun bayan shigarwa, da kuma kiran CLI da ake zargi.
- Ana duba yiwuwar amfani, don haka faɗakarwa ta takaita ga malware wanda a zahiri za a iya isa gare shi a cikin lambar ku, ba hayaniya ba.
- Yana saka idanu kan cokali mai yatsu, masu haɗin gwiwa, da wuraren ajiyar da ba a bi diddiginsu ba, yana nuna lokacin da wani janareta na katin kiredit na bogi ya shiga ƙungiyar ku.
- Ganowa pipeline rashin tsari, kamar canje-canjen fayil na namso gen kwatsam ko rubutun da aka allura a cikin saitunan CI ɗinku.
FAQ
Shin namso gen malware ne?
Namso gen da kanta ta fara ne a matsayin mai samar da lambar katin kiredit na bogi don gwada kwararar biyan kuɗi. Hadarin yana fitowa ne daga nau'ikan da aka kwafi ko aka yi wa kwafi ko kuma aka yi wa kwafi da ke yawo a yanar gizo, waɗanda da yawa daga cikinsu suna haɗa malware, abubuwan da aka ɓoye, ko rubutun bayan shigarwa a cikin abin da yake kama da kayan aiki iri ɗaya.
Shin injin samar da katin kiredit na bogi zai iya kamuwa da injin mai haɓaka kaya?
Eh. Masu bincike sun yi rikodin na'urorin samar da katin kiredit na bogi da aka yi amfani da su musamman don isar da bayanai, masu satar bayanai, da kuma trojans masu amfani da nesa (RATs) ga na'urorin haɓakawa, sau da yawa ta hanyar ma'ajiyar bayanai, ƙarin bincike, ko fakitin npm/PyPI masu cutarwa waɗanda ke amfani da suna iri ɗaya.
Ta yaya zan san ko kayan aikin namso gen da na sauke yana da aminci?
A yi amfani da shi azaman lambar da ba a amince da ita ba ta hanyar tsoho: a tabbatar da tushen, a duba abubuwan da ke ciki kafin a gudanar da shi, sannan a duba ta ta atomatik maimakon a dogara da duba gani. An gina nau'ikan miyagun abubuwa musamman don su yi kama da kayan aikin da aka amince da su.
Shin na'urorin daukar hoto na gargajiya za su iya kama malware da aka ɓoye a cikin na'urorin janareta na bogi kamar namso gen?
Ba a dogara da shi ba. Sau da yawa ana ɓoye abubuwan da ake buƙata ko kuma ana kunna su ta hanyar sharaɗi, wanda ke ba su damar wucewa ta hanyar duba matakin saman. Ana buƙatar ganowa a lokacin commit lokaci da kuma la'akari da yadda ake amfani da shi, ba kawai kasancewarsa ba.
Takeaways na Karshe
- Duba kowace kayan aiki, har ma da bayanan gwaji. Kada a shigar ko a gudanar da lambar daga majiyoyin da ba a sani ba, ko ma wani nau'in namso gen wanda yayi kama da na asali.
- Malware ba ya buƙatar samun damar samarwa. Injin haɓaka mai lalacewa ɗaya ya isa leak secretko kuma kamuwa da wani gini.
- Injinan samar da wutar lantarki na bogi wani ɓangare ne na farfajiyar harinku. Yi musu kamar kowace irin dogaro da ba a amince da ita ba ko kuma rubutun wani ɓangare na uku.
- Gano da kuma toshewa da wuri. Xygeni yana duba abubuwan da aka sauke na malware, yana nuna halayen da ake zargi, kuma yana ba da cikakken ganuwa a duk wuraren ajiyar ku kafin barazanar nau'in namso ta kai ga samarwa.
