ਸ਼ਾਈ-ਹੁਲੁਦ: ਐਨਪੀਐਮ ਪੈਕੇਜ ਕੀੜੇ ਦੀ ਵਿਆਖਿਆ

ਸ਼ਾਈ-ਹੁਲੁਦ ਸਪਲਾਈ ਚੇਨ ਹਮਲੇ ਦਾ ਕਾਰਜਕਾਰੀ ਪ੍ਰਭਾਵ

ਸ਼ਾਈ-ਹੁਲੁਦ ਅੱਜ ਵੀ ਸਰਗਰਮ ਹੈ। ਇਹ ਕੀੜਾ ਪ੍ਰਭਾਵ ਦੀ ਸਮਾਂ-ਸੀਮਾ ਨੂੰ ਤੇਜ਼ ਕਰਦਾ ਹੈ। ਜੋ ਪਹਿਲਾਂ ਟ੍ਰੋਜਨ ਨਾਲ ਹਫ਼ਤੇ ਲੱਗਦੇ ਸਨ, ਹੁਣ ਘੰਟਿਆਂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੁੰਦਾ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਫੈਲਾਅ ਤੇਜ਼ ਅਤੇ ਰੋਕਣਾ ਔਖਾ ਹੈ। ਇਹ ਅੱਗੇ ਵਧਦਾ ਹੈ:

• npm ਪਬਲਿਸ਼ ਟੋਕਨ ਅਤੇ GitHub ਦੇ ਭੇਦ ਚੋਰੀ ਕਰਨਾ।
• ਆਪਣੇ ਆਪ ਨੂੰ ਹੋਰ npm ਪੈਕੇਜਾਂ ਵਿੱਚ ਦੁਬਾਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰ ਰਿਹਾ ਹੈ।
• ਸਥਿਰਤਾ ਲਈ ਖਤਰਨਾਕ GitHub ਐਕਸ਼ਨ ਵਰਕਫਲੋ ਜੋੜਨਾ।

ਕੌਣ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦਾ ਹੈ:

ਕੋਈ ਵੀ ਟੀਮ ਜੋ ਜਨਤਕ npm ਪੈਕੇਜ ਸਥਾਪਤ ਕਰਦੀ ਹੈ, ਉਸਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪੈਂਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕੈਸ਼ ਕੀਤੇ npm ਜਾਂ GitHub ਟੋਕਨਾਂ ਵਾਲੇ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਉੱਚ ਜੋਖਮ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪੈਂਦਾ ਹੈ। CI ਦੌੜਾਕ ਜੋ ਵਿਆਪਕ-ਸਕੋਪ ਵਾਲੇ ਰਾਜ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਉਹ ਵੀ ਕਮਜ਼ੋਰ ਹੁੰਦੇ ਹਨ।

ਕਾਰੋਬਾਰੀ ਜੋਖਮ

ਕਾਰੋਬਾਰੀ ਪ੍ਰਭਾਵ ਤੇਜ਼ੀ ਨਾਲ ਵਧਦਾ ਹੈ। ਚੋਰੀ ਹੋਏ ਟੋਕਨ ਖਾਤੇ 'ਤੇ ਕਬਜ਼ਾ ਕਰਨ, ਪੈਕੇਜ ਹਾਈਜੈਕਿੰਗ, ਅਤੇ ਇੱਥੋਂ ਤੱਕ ਕਿ ਕਲਾਉਡ ਦੀ ਦੁਰਵਰਤੋਂ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੇ ਹਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, GitHub ਵਰਕਫਲੋ ਵਿੱਚ ਨਿਰੰਤਰਤਾ ਇਸਨੂੰ ਸਾਫ਼ ਕਰਨਾ ਔਖਾ ਬਣਾਉਂਦੀ ਹੈ। ਇਸ ਲਈ, ਟੀਮਾਂ ਨੂੰ ਸ਼ਾਈ-ਹੁਲੁਦ ਨੂੰ ਇੱਕ ਚੱਲ ਰਹੀ ਘਟਨਾ ਵਜੋਂ ਮੰਨਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਾ ਕਿ ਇੱਕ ਬੰਦ ਘਟਨਾ ਵਜੋਂ।

npm ਪੈਕੇਜਾਂ ਵਿੱਚ ਸ਼ਾਈ-ਹੁਲੁਦ ਸਪਲਾਈ ਚੇਨ ਹਮਲਾ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ

ਹਮਲਾਵਰ ਦੇ ਉਦੇਸ਼ ਅਤੇ ਮਨੋਰਥ

ਇਹ ਮੁਹਿੰਮ ਤਿੰਨ ਚੀਜ਼ਾਂ ਲਈ ਅਨੁਕੂਲ ਬਣਾਉਂਦੀ ਹੈ:

• ਪਹਿਲਾ ਉਦੇਸ਼ ਹੈ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਚੋਰੀ ਕਰਨਾ ਡਿਵੈਲਪਰ ਲੈਪਟਾਪਾਂ ਅਤੇ CI ਰਨਰਾਂ ਤੋਂ। ਇਸ ਵਿੱਚ npm ਪਬਲਿਸ਼ ਟੋਕਨ, GitHub ਟੋਕਨ, ਅਤੇ ਕਲਾਉਡ ਕ੍ਰੇਡੇੰਸ਼ਿਅਲ ਸ਼ਾਮਲ ਹਨ। ਦਰਅਸਲ, ਕਈ ਵਿਸ਼ਲੇਸ਼ਣ ਯੋਜਨਾਬੱਧ ਗੁਪਤ ਹਾਰਵੈਸਟਿੰਗ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ TruffleHog ਚਲਾਉਣਾ ਅਤੇ ਕਲਾਉਡ ਮੈਟਾਡੇਟਾ ਐਂਡਪੁਆਇੰਟਸ ਦੀ ਪੁੱਛਗਿੱਛ ਕਰਨਾ।
• ਦੂਜਾ ਉਦੇਸ਼ ਹੈ ਆਪਣੇ ਆਪ ਪ੍ਰਸਾਰਿਤ ਕਰੋ ਸਮਝੌਤਾ ਕੀਤੇ ਰੱਖ-ਰਖਾਅ ਕਰਨ ਵਾਲਿਆਂ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਅਧਿਕਾਰਾਂ ਦੀ ਦੁਰਵਰਤੋਂ ਕਰਕੇ। ਨਤੀਜੇ ਵਜੋਂ, ਇੱਕ ਪੈਰ ਤੇਜ਼ੀ ਨਾਲ ਕਈਆਂ ਵਿੱਚ ਫੈਲ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਦੂਜੇ ਪੈਕੇਜਾਂ ਦੇ ਨਵੇਂ ਸੰਕਰਮਿਤ ਸੰਸਕਰਣ ਵਾਧੂ ਮਨੁੱਖੀ ਕੋਸ਼ਿਸ਼ਾਂ ਤੋਂ ਬਿਨਾਂ ਪ੍ਰਗਟ ਹੁੰਦੇ ਹਨ।
• ਤੀਜਾ ਉਦੇਸ਼ ਹੈ ਭਰੋਸੇਯੋਗ ਢੰਗ ਨਾਲ ਕਾਇਮ ਰਹੋ ਅਤੇ ਬਾਹਰ ਕੱਢੋ GitHub ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਰਾਹੀਂ। ਹਮਲਾਵਰ ਡਬਲ ਬੇਸ64 ਦੇ ਨਾਲ "ਸ਼ਾਈ-ਹੁਲੁਦ" ਨਾਮਕ ਇੱਕ ਜਨਤਕ ਰੈਪੋ ਬਣਾਉਂਦੇ ਹਨ। ਡਾਟਾ.ਜੇਸਨ, ਅਤੇ ਇਸ ਤੋਂ ਇਲਾਵਾ ਉਹ ਇੱਕ ਵਰਕਫਲੋ ਲਗਾਉਂਦੇ ਹਨ ਜੋ ਸੀਰੀਅਲਾਈਜ਼ ਕਰਦਾ ਹੈ ${{ ਤੋਂJSON(ਭੇਦ) }} ਅਤੇ ਇਸਨੂੰ ਇੱਕ ਸਥਿਰ ਵੈੱਬਹੁੱਕ 'ਤੇ ਪੋਸਟ ਕਰਦਾ ਹੈ।

ਸੰਭਾਵਿਤ ਲਾਭ ਵਿੱਚ ਰਜਿਸਟਰੀਆਂ ਅਤੇ ਸਰੋਤ ਕੋਡ ਤੱਕ ਲੰਬੇ ਸਮੇਂ ਤੱਕ ਪਹੁੰਚ, ਕਲਾਉਡ ਖਾਤਿਆਂ ਵਿੱਚ ਤੇਜ਼ ਲੇਟਰਲ ਮੂਵਮੈਂਟ, ਅਤੇ ਸਪਲਾਈ ਚੇਨ ਨੂੰ ਹੋਰ ਹਥਿਆਰਬੰਦ ਕਰਨ ਦਾ ਵਿਕਲਪ ਸ਼ਾਮਲ ਹੈ। ਜਨਤਕ ਰਿਪੋਰਟਿੰਗ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ ਨੂੰ ਇੱਕ ਨਾਲ ਜਨਤਕ ਵਿੱਚ ਫਲਿੱਪ ਕੀਤਾ ਗਿਆ ਹੈ "-ਪ੍ਰਵਾਸ" ਪਿਛੇਤਰ, ਜੋ ਡੇਟਾ ਐਕਸਪੋਜ਼ਰ ਅਤੇ ਗਤੀ ਨੂੰ ਵਧਾਉਂਦਾ ਹੈ

ਸ਼ਾਈ-ਹੁਲੁਦ ਪੇਲੋਡ ਦੇ ਅੰਦਰ: ਬੰਡਲ.ਜੇਐਸ npm ਪੈਕੇਜਾਂ ਵਿੱਚ

ਸ਼ਾਈ-ਹੁਲੁਦ ਇੱਕ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਜਦਾ ਹੈ ਵੱਡਾ, ਵੈੱਬਪੈਕ-ਬੰਡਲ ਅਤੇ ਭਾਰੀ ਮਿਨੀਫਾਈਡ ਜਾਵਾ ਸਕ੍ਰਿਪਟ ਫਾਈਲ (ਬੰਡਲ.ਜੇਐਸ, ਲਗਭਗ 3–3.7 MB) ਜੋ ਕਿ ਇੱਕ ਤੋਂ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ ਪੋਸਟਇੰਸਟਾਲ ਜੁੜੋ ਪੈਕੇਜ.ਜਸਨ. ਸਿੱਟੇ ਵਜੋਂ, ਹਰ ਇੰਸਟਾਲ ਆਪਣੇ ਆਪ ਪੇਲੋਡ ਨੂੰ ਚਾਲੂ ਕਰਦਾ ਹੈ। ਇਹ ਡਿਜ਼ਾਈਨ ਪਛਾਣਕਰਤਾਵਾਂ ਨੂੰ ਲੁਕਾਉਂਦਾ ਹੈ, ਕੰਟਰੋਲ ਪ੍ਰਵਾਹ ਨੂੰ ਸੰਕੁਚਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਾਰੇ ਤਰਕ ਨੂੰ ਇੱਕ ਸਿੰਗਲ ਆਰਟੀਫੈਕਟ ਵਿੱਚ ਧੱਕਦਾ ਹੈ ਜੋ ਇੰਸਟਾਲੇਸ਼ਨ ਦੌਰਾਨ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਵਿਸ਼ਲੇਸ਼ਕ ਲਗਾਤਾਰ ਵੈਬਪੈਕ ਬੰਡਲਿੰਗ, ਅਸਾਧਾਰਨ ਫਾਈਲ ਆਕਾਰ, ਅਤੇ ਇੰਸਟਾਲ-ਟਾਈਮ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹਨ।

ਨਮੂਨਿਆਂ ਵਿੱਚ ਤੁਸੀਂ ਜੋ ਔਫਸਕੇਸ਼ਨ ਅਤੇ ਐਂਟੀ-ਵਿਸ਼ਲੇਸ਼ਣ ਗੁਣ ਦੇਖੋਗੇ:

• ਛੋਟਾ ਮੋਡੀਊਲ ਗ੍ਰਾਫ਼ ਸੰਖਿਆਤਮਕ ਮੋਡੀਊਲ ਆਈਡੀ, ਸਪਾਰਸ ਟਿੱਪਣੀਆਂ, ਅਤੇ ਸਮਤਲ ਨਿਯੰਤਰਣ ਪ੍ਰਵਾਹ ਦੇ ਨਾਲ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਢਾਂਚਾ ਹੱਥੀਂ ਸਮੀਖਿਆ ਨੂੰ ਬਹੁਤ ਔਖਾ ਬਣਾਉਂਦਾ ਹੈ।
• ਸਤਰ ਲੁਕਾਉਣਾ base64 ਲੇਅਰਾਂ ਅਤੇ ਨਿਰਮਾਣ ਸਹਾਇਕਾਂ ਰਾਹੀਂ। ਉਦਾਹਰਣ ਵਜੋਂ, ਦੁਹਰਾਇਆ ਗਿਆ ਬੇਸ64 ਏਨਕੋਡਿੰਗ ਅਤੇ ਡੀਕੋਡਿੰਗ ਆਮ ਤੌਰ 'ਤੇ ਐਕਸਫਿਲਟਰੇਸ਼ਨ ਰੁਟੀਨਾਂ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ।
• ਗਤੀਸ਼ੀਲ ਡਿਸਪੈਚ ਦੁਆਰਾ eval-ਸਟਾਈਲ ਪੈਟਰਨ ਅਤੇ ਤਿਆਰ ਕੀਤੇ ਫੰਕਸ਼ਨ ਬਾਡੀ, ਇਸ ਲਈ ਕੋਡ ਨੂੰ ਰਨਟਾਈਮ 'ਤੇ ਵਿਵਹਾਰ ਨੂੰ ਬਦਲਣ ਦੇ ਯੋਗ ਬਣਾਉਂਦੇ ਹਨ।
• OS ਫਿਲਟਰਿੰਗ ਖਾਸ ਕਰਕੇ CI ਰਨਰਸ ਅਤੇ ਡਿਵੈਲਪਰ ਲੈਪਟਾਪਾਂ 'ਤੇ Linux ਅਤੇ macOS ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਤਰਜੀਹ ਦੇਣ ਲਈ।

ਕਾਰਜਸ਼ੀਲ ਕੋਣ ਤੋਂ, ਬੰਡਲ ਮਾਡਯੂਲਰ ਹੈ। ਰਾਈਟਅੱਪ OS ਖੋਜ, ਫਾਈਲ ਸਿਸਟਮ ਅਤੇ ਗਿੱਟ ਸੀਕ੍ਰੇਟ ਸਕੈਨ, ਕਲਾਉਡ SDK ਐਕਸੈਸ, GitHub API ਓਪਰੇਸ਼ਨ, ਅਤੇ ਇੱਕ ਪ੍ਰਸਾਰ ਇੰਜਣ ਲਈ ਮਾਡਿਊਲਾਂ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ ਜੋ ਮੇਨਟੇਨਰ ਦੇ ਮਾਲਕੀ ਵਾਲੇ ਹੋਰ ਪੈਕੇਜਾਂ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਦਾ ਹੈ। ਦਰਅਸਲ, StepSecurity ਅਤੇ ReversingLabs ਦੋਵੇਂ ਇੱਕ ਫੰਕਸ਼ਨ ਨੂੰ ਉਜਾਗਰ ਕਰਦੇ ਹਨ ਜੋ ਖਤਰਨਾਕ ਹੁੱਕ ਨਾਲ ਪੈਕੇਜਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਅੱਪਡੇਟ ਕਰਦਾ ਹੈ।

ਸ਼ਾਈ-ਹੁਲੁਦ ਵਿੱਚ ਇੰਸਟਾਲ-ਟਾਈਮ ਐਗਜ਼ੀਕਿਊਸ਼ਨ: npm ਪੈਕੇਜ ਕੀੜੇ ਨੂੰ ਕਿਵੇਂ ਚਾਲੂ ਕਰਦੇ ਹਨ

ਹਮਲਾ ਉਦੋਂ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਪੋਸਟਇੰਸਟਾਲ ਨੋਡ ਚਲਾਉਂਦਾ ਹੈ ਬੰਡਲ.ਜੇਐਸ. ਇਸ ਬਿੰਦੂ 'ਤੇ, ਸਕ੍ਰਿਪਟ ਮੈਮੋਰੀ ਵਿੱਚ ਕੰਮ ਕਰਨ ਦੀ ਸਥਿਤੀ ਨੂੰ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ ਅਤੇ ਅਨਪੈਕ ਕਰਦੀ ਹੈ, ਜੋ ਕਿ ਕੀੜੇ ਦੇ ਪੂਰੇ ਕੰਮਕਾਜ ਲਈ ਪੜਾਅ ਨਿਰਧਾਰਤ ਕਰਦੀ ਹੈ।

ਖੋਜ ਅਤੇ ਵਾਢੀ

• ਪੇਲੋਡ process.env ਨੂੰ ਡੰਪ ਕਰਦਾ ਹੈ ਅਤੇ ਉੱਚ-ਐਂਟਰੋਪੀ ਸੀਕਰੇਟਸ ਅਤੇ ਟੋਕਨ ਪ੍ਰੀਫਿਕਸ ਲਈ ਸਥਾਨਕ ਫਾਈਲਾਂ ਨੂੰ ਸਕੈਨ ਕਰਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ TruffleHog ਚਲਾ ਕੇ ਕਵਰੇਜ ਵਧਾਉਂਦਾ ਹੈ।
• ਇਹ ਥੋੜ੍ਹੇ ਸਮੇਂ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਇਕੱਠੇ ਕਰਨ ਲਈ ਕਲਾਉਡ ਮੈਟਾਡੇਟਾ ਐਂਡਪੁਆਇੰਟਸ ਦੀ ਪੁੱਛਗਿੱਛ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਣ ਦੇ ਲਈ, ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ 169.254.169.254 AWS 'ਤੇ ਜਾਂ metadata.google.internal GCP 'ਤੇ ਅਕਸਰ ਸੰਕਰਮਿਤ ਮੇਜ਼ਬਾਨਾਂ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ।
• ਸਿੱਟੇ ਵਜੋਂ, ਕੋਈ ਵੀ ਪ੍ਰਮਾਣ ਪੱਤਰ ਜੋ ਮਿਲਦਾ ਹੈ, ਨਵੇਂ npm ਪੈਕੇਜ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਜਾਂ GitHub ਵਰਕਫਲੋ ਨੂੰ ਅੱਗੇ ਵਧਾਉਣ ਲਈ ਤੁਰੰਤ ਵਰਤੋਂ ਯੋਗ ਹੋ ਜਾਂਦਾ ਹੈ।

ਬਾਹਰ ਕੱਢਣਾ

• ਇਹ ਕੀੜਾ ਇੱਕ ਨਵਾਂ GitHub ਰੈਪੋ ਬਣਾਉਂਦਾ ਹੈ ਜਿਸਦਾ ਨਾਮ ਹੈ ਸ਼ਾਈ ਹੁਲੁਦ ਅਤੇ ਇੱਕ ਡਬਲ ਬੇਸ64-ਏਨਕੋਡਡ ਲਿਖਦਾ ਹੈ data.json ਪਲੇਟਫਾਰਮ ਵੇਰਵਿਆਂ, ਵਾਤਾਵਰਣ ਡੰਪਾਂ ਅਤੇ ਰਾਜ਼ਾਂ ਦੇ ਨਾਲ। ਜਿਵੇਂ ਕਿ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਇਸ ਸ਼ੋਰ-ਸ਼ਰਾਬੇ ਵਾਲੇ ਵਿਵਹਾਰ ਨੂੰ ਆਸਾਨੀ ਨਾਲ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜੇਕਰ ਡਿਫੈਂਡਰਾਂ ਨੂੰ ਪਤਾ ਹੋਵੇ ਕਿ ਕਿੱਥੇ ਦੇਖਣਾ ਹੈ।
• ਇਹ ਇੱਕ GitHub ਐਕਸ਼ਨ ਵਰਕਫਲੋ ਵੀ ਲਗਾਉਂਦਾ ਹੈ, ਅਕਸਰ ਇੱਕ ਸ਼ਾਖਾ 'ਤੇ ਜਿਸਦਾ ਨਾਮ ਹੈ ਸ਼ਾਈ-ਹੁਲੁਦ, ਜੋ ਲੜੀਬੱਧ ਕਰਦਾ ਹੈ ${{ toJSON(secrets) }} ਅਤੇ ਡੇਟਾ ਨੂੰ ਇੱਕ ਸਥਿਰ ਵੈੱਬਹੁੱਕ 'ਤੇ ਪੋਸਟ ਕਰਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਵਰਕਫਲੋ ਉਦੋਂ ਤੱਕ ਜਾਰੀ ਰਹਿੰਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਕੋਈ ਇਸਨੂੰ ਸਰਗਰਮੀ ਨਾਲ ਨਹੀਂ ਹਟਾਉਂਦਾ।

ਪ੍ਰਸਾਰ

• ਕਿਸੇ ਵੀ ਖੋਜੇ ਗਏ npm ਟੋਕਨ ਦੇ ਨਾਲ, ਪੇਲੋਡ ਸਮਝੌਤਾ ਕੀਤੇ ਮੇਨਟੇਨਰ ਦੀ ਮਲਕੀਅਤ ਵਾਲੇ ਸਾਰੇ ਪੈਕੇਜਾਂ ਦੀ ਗਿਣਤੀ ਕਰਦਾ ਹੈ। ਫਿਰ, ਇਹ ਹਰੇਕ ਟਾਰਬਾਲ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, bundle.js ਅਤੇ ਇੱਕ ਪੋਸਟਇੰਸਟਾਲ ਐਂਟਰੀ ਇੰਜੈਕਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਪੈਕੇਜ ਨੂੰ ਦੁਬਾਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦਾ ਹੈ।
• ਨਤੀਜੇ ਵਜੋਂ, ਦਰਜਨਾਂ ਸੰਕਰਮਿਤ ਪੈਕੇਜ ਕੁਝ ਘੰਟਿਆਂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋ ਸਕਦੇ ਹਨ, ਜੋ ਈਕੋਸਿਸਟਮ ਵਿੱਚ ਧਮਾਕੇ ਦੇ ਘੇਰੇ ਨੂੰ ਗੁਣਾ ਕਰਦੇ ਹਨ।

ਦ੍ਰਿੜਤਾ ਅਤੇ ਐਕਸਪੋਜਰ

• ਇਹ ਕੀੜਾ ਖਤਰਨਾਕ ਵਰਕਫਲੋ ਨੂੰ ਜ਼ਿੰਦਾ ਰੱਖਦਾ ਹੈ ਅਤੇ, ਕਈ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ ਨੂੰ ਜਨਤਕ ਰੂਪ ਵਿੱਚ ਇੱਕ ਨਾਲ ਫਲਿੱਪ ਕਰਦਾ ਹੈ "-ਪ੍ਰਵਾਸ" ਪਿਛੇਤਰ। ਕੁੱਲ ਮਿਲਾ ਕੇ, ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਹਮਲਾਵਰ ਆਪਣੀ ਪਕੜ ਬਣਾਈ ਰੱਖੇ ਅਤੇ ਡੇਟਾ ਲੀਕ ਨੂੰ ਵੱਧ ਤੋਂ ਵੱਧ ਕਰੇ।

ਕੁੰਜੀ ਖੋਜ ਨੋਟ
ਇਸ ਅਸਾਧਾਰਨ ਵਰਤੋਂ ਦੀ ${{ toJSON(secrets) }} ਐਕਸ਼ਨਾਂ ਵਿੱਚ ਵਰਕਫਲੋ ਬਹੁਤ ਘੱਟ ਹੁੰਦਾ ਹੈ। ਇਸ ਲਈ, ਟੀਮਾਂ ਨੂੰ ਸ਼ਿਕਾਰ ਦੌਰਾਨ ਇਸਨੂੰ ਉੱਚ-ਸਿਗਨਲ ਸੂਚਕ ਵਜੋਂ ਮੰਨਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸੈਨੀਟਾਈਜ਼ਡ ਵਰਕਫਲੋ ਪੈਟਰਨ ਜਿਸਦੀ ਤੁਹਾਨੂੰ ਭਾਲ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ

ਇਸ ਅਸਾਧਾਰਨ ਵਰਤੋਂ ਦੀ ਨੂੰ JSON(ਭੇਦ) ਇਸ ਘਟਨਾ ਵਿੱਚ ਇਨ ਐਕਸ਼ਨ ਇੱਕ ਉੱਚ-ਸਿਗਨਲ ਸੂਚਕ ਹੈ।

ਉੱਚ-ਪੱਧਰੀ ਪ੍ਰਸਾਰ ਸੂਡੋ-ਕੋਡ (ਸੁਰੱਖਿਅਤ, ਵਰਣਨਯੋਗ)