Kani waa qaybtii afraad ee taxanaha qoraalo taxane ah ku saabsan qaybaha xaasidnimada leh, halkaas oo aan ku soo bandhigno Xygeni habka loo maareeyo khatartan, iyadoo qayb ka ah caymiskayaga Open Source Security.
Waxaan aragnay in kalsoonida xad-dhaafka ah ee qaybaha isha furan ee isha aan la hubin ay ka faa'iidaystaan dambiilayaasha nooc kasta ah si ay u keenaan dhaqan aan la filayn oo lagu maamulo mashiinnada horumariyaha, CI/CD nidaamyada, ama ku dhex jira barnaamijka ururka dhibanayaasha, si loogu gudbiyo macaamiisha ururka. Waxaan ku kala saarnay qaybta #2 weerarrada loo adeegsanayo diiwaannada dadweynaha si loo gudbiyo malware-ka iyo waxa aan barannay ka dib markii aan daawanay sida jilayaasha xun u shaqeeyaan, iyo kuwii hore qaybta #3 Kontaroolada ka shaqeeya (iyo kuwa ku guuldareysta) ka hortagga khatartan ayaa la baaray.
Hadda waa waqtigii aan eegi lahayn habka aan u wajahayno dhibaatada. Qaybtan, waxaan ku soo bandhigaynaa xeeladda aan ku raacno Xygeni ee annaga. Digniinta Hore ee Malware-ka Nidaamka (MEW). Sida nidaamkan marxaladaha badan leh u shaqeeyo waqtiga dhabta ah marka nooc cusub oo xirmo ah la sii daayo, sida caddaynta looga soo qaado ilo kala duwan, sida loo sameeyo kala soocid, shuruudaha kala soocidda ee aan raacayno, iyo sababta loo baahan yahay falanqayn gacmeed si loo xaqiijiyo nooca musharraxa xirmada xaasidnimada leh. Waxaan sidoo kale sharxi doonnaa sida aan u caawinayno NPM, GitHub, PyPI, iyo kaabayaasha kale ee muhiimka ah ee nidaamyada deegaanka ee furan si loo yareeyo waqtiga loogu talagalay malware-ka.
The pipeline
Digniinta Hore ee Xygeni Malware (MEW) waa mid si joogto ah u farsamaysa qayb ka mid ah, midkood xirmooyinka xirmooyinka ee maktabadaha iyo qaab-dhismeedka nidaamyada barnaamijyada ee la taageerayo sida JavaScript/Node ama Python, sawirrada weelka Docker / OCI, ama kordhinta iyo plugins-ka qalabka sida IDEs ama CI/CD nidaamyada. Qaybaha noocan oo kale ah waxaa lagu daabacaa diiwaannada dadweynaha iyadoo leh heerar kala duwan oo hubinta isticmaalaha.
Soo socdaa waa aragti qaabaysan oo ku saabsan sida nidaamku u shaqeeyo:
The sahamiye Geedi socodka wuxuu helaa quudinta dhacdooyinka daabacaadda. Dhacdada daabacaadda waa abuurista nooc cusub oo ah qayb cusub ama mid jirta. Maadaama diiwaannada caanka ah aysan siinin hab pub-sub macaamiisha xiisaynaya, tan waxaa badanaa lagu sameeyaa iyadoo la codeynayo diiwaanka dhacdooyinkii ugu dambeeyay. Mashruuc aad u fiican oo ka socda OSSF, quudinta baakadaha, taageero Diiwaanada caanka ah sida PyPI ama Maven Central, waxayna bixiyaan is-dhexgal ku salaysan quudinta oo midaysan. MEW waxaan ku darnay hirgelinno gaar ah oo yareeya waqtiga sugitaanka, tusaale ahaan nuqul ka mid ah xogta CouchDB ee ay isticmaasho NPM kaas oo la jaan qaadaya xogta diiwaanka dadweynaha.
Xygeni, waxaan ku haynaa kayd[1] dhammaan qaybaha (si toos ah ama si dadban) ee ay isticmaalaan barnaamijka macaamiisheenna. Isku-duwayaasha qaybaha macaamiisha waxaa si joogto ah loogu siiyaa MEW si loo kala hormariyo falanqaynta: qaybaha ay isticmaalaan macaamiisheenna ayaa hore loo farsameeyaa. Mudnaanta sidoo kale waxay ku salaysan tahay sumcadda daabacaha iyo muhiimadda qaybta, sidaa darteed qaybaha ka imanaya daabacayaasha sumcadda hooseeya ayaa sidoo kale la kala hormariyaa.
The falanqeeyayaasha ka dibna isticmaal qaybaha sugaya safka mudnaanta leh. Marka nooca qaybaha la doorto si loo falanqeeyo, kubbadda tar waxaa laga soo dejiyaa diiwaanka. Ogsoonow in qaybta la baakadeeyay ee binary-ga ah la falanqeeyo: Inta badan qaybaha isha furan waxay caadi ahaan ka yimaadaan kayd il furan, badanaa github.com, kaas oo loo isticmaalo macnaha guud oo keliya, malware-kana had iyo jeer waxaa laga raadiyaa kubbadda tar qaybta sababtoo ah jilayaasha khatarta ah si nidaamsan ayay uga been sheegaan ilaha ay sheeganayaan inay u isticmaaleen inay dhisaan kubbadda tar qaybta ay sii daayaan.
Marka laga eego aragtida isticmaalaha
Waxaan maqlayaa inaad ka fikirayso: Sideen uga faa'iidaysan karaa inaan hore u ogaado nooc baakad xaasidnimo ah? "Qaab-dhismeedka Xirmooyinka Xunxun: Waa maxay Isbeddellada?" Waxaan aragnay in wadarta wakhtiga la joogo ay ku jirto maalmaha kala duwan, halka ogeysiiska ugu horreeya ee ka imanaya MEW ee macaamiisha isticmaalaya qaybta ay saameysay uu ku jiro daqiiqadaha. Iyada oo leh ilaalin fudud[2] Waxaad xannibi kartaa dhismaha (waxaa jira laba heer oo digniin ah, mid gebi ahaanba otomaatig ah marka matoorku uu soo gabagabeeyo in uu jiro malware suurtagal ah iyo ogeysiis dambe marka kooxdayada amniga ay ku xaqiijiso kormeerka gacanta ee jiritaanka malware). Sugitaanka ilaa diiwaangelintu ay xaqiijiso malware-ka oo ay ka saarto diiwaanka badanaa waa mid aad u daahsan sababtoo ah daaqadda soo-gaadhista ee dheer.
Ururku wuxuu isticmaali karaa qalab ilaalin ah oo hubiya haddii ay jirto qayb leh malware suurtagal ah (mid ka mid ah labada heer ee digniinta) ama, iyada oo loo marayo API, si dhakhso ah u ogaanaya haddii mid ka mid ah ku tiirsanaanta tooska ah ama aan tooska ahayn ee mashruuca software uu isticmaalayo qayb xaasidnimo ah.
Sida MEW u Shaqeyso: Faahfaahinta Gudaha
Xudunta: Mashiinka Ogaanshaha Malware-ka
Falanqeeyaha wuxuu adeegsadaa qalab kala duwan si uu u qabto caddaymaha khaladka. Qalabka ogaanshaha waxay isku daraan falanqaynta joogtada ah, falanqaynta awoodaha, iyo falanqaynta macnaha guud.[3], sida lagu sharaxay qoraalkii hore ee taxanahan.
Xygeni, waxaan leenahay koox injineernimo oo khibrad dheer u leh falanqaynta taagan, waana farqiga ugu weyn ee xalalka kale ee ka hortagga malware-ka. Ogsoonow in nidaamyada deegaanka qaarkood, tarball-ka baakadaysan wuxuu ka kooban yahay midkood koodka isha (tusaale ahaan JavaScript ama koodka TypeScript ee xirmooyinka NPM, ilaha Python ee xirmooyinka PyPI), ama koodka la soo ururiyey oo ku dhow koodka isha ee falanqaynta taagan (tusaale ahaan bytecode ee faylasha JAR ee Maven). Kuwa kale, sida sawirrada weelka, fuliyeyaasha binary-ka ayaa caadi ah, sidaa darteed qeexitaanka awoodaha waa farsamada la isticmaalo, oo ay weheliso ogaanshaha malware-ka caadiga ah ee ku salaysan xeerarka YARA iyo saxiixyada malware-ka.
Fadlan ogow in tiknoolajiyada fudud sida tibaaxaha caadiga ah ama saxiixyada aysan ku habboonayn ogaanshaha dhaqanka xaasidnimada leh. Bal qiyaas inaad ogaato dhibic ama soo dejiye: Qaar ka mid ah koodhka ama binary-ga ayaa ku yaal xirmada ama laga soo dejiyay domain dibadeed, oo aan la xiriirin qaybta (waxay noqon kartaa mid ka timid a liis weyn oo domains ah oo uu iibsaday qofka khatarta ah[4], ama a domain sharci ah si looga baxsado ogaanshaha). Koodhkaas ayaa markaa la fulinayaa iyadoo la adeegsanayo mid ka mid ah hawlahaas. Koodhka waxaa loo beddeli karaa si loo qariyo URL-ka soo dejinta ama shaqada loo isticmaalo socodsiinta koodhka la soo dejiyay. Falanqaynta socodka xogta oo dhammaystiran ayaa loo baahan yahay si loo ogaado, iyadoo la adeegsanayo mashiinka buuxa ee falanqaynta taagan, ama fulinta sanduuqa ciidda ku jirta (haddii shuruudaha dhaqanka xaasidnimada leh la buuxiyo) ayaa tan ku ogaan kara kiiska guud.
Kuwa khatarta ku jira waxay raacaan isla farsamooyinka iyo qalabka ogaanshaha ee loo sameeyay loona hirgeliyay. Waxaa sidoo kale jira tallaabooyin horudhac ah oo lagu farsameynayo, tusaale ahaan si looga saaro dahaarka, oo inta badan loo baahan yahay si loo ogaado dhaqanka qarsoon.
Ku darista Macnaha Guud
Qaar ka mid ah qalabka wax lagu ogaado waxay isticmaalaan macluumaadka macnaha guud. Tusaale ahaan, isku dheelitir la'aanta u dhaxaysa nooca ku jira diiwaanka qaybaha iyo calaamadda/sii deynta ee kaydka GitHub ee la xidhiidha waxay ka dhigan tahay caddayn xooggan oo muujinaysa in laga yaabo in jilaa xun uu helay aqoonsiyo daabacan oo loogu talagalay diiwaanka laakiin aan ahayn kaydka GitHub. Weerarrada sida kan saameeya iibiyaha jeebka crypto. Ledger si fudud ayaa loo ogaan karaa is-waafaqla'aantan.
A dhibcaha xaasidnimada (MS) waxaa laga xisaabiyaa natiijooyinka qalabka lagu ogaado, iyadoo lagu saleynayo xoogga caddaymaha la qabtay. Dhammaan natiijooyinka isku mid ma aha, habka fulintana waa mid khuseeya.
Sumcadda Isticmaalaha iyo Qaybta
Dhammaan horumariyayaasha isha furan looma abuurin si isku mid ah!
Horumariye sumcad leh ayaa laga yaabaa in akoonkiisa NPM la afduubto (tani waxay dhacdaa xitaa dadka amniga ka warqaba), oo malware-ka la daabaco iyadoo la isticmaalayo akoonkaas. Dabcan sumcadda waa inay si lama filaan ah u dhacdaa, oo ay dib ugu soo kabato sharaftii hore marka akoonka la afduubtay la soo celiyo oo horumariyaha uu hagaajiyo shuruudaha horseeday la wareegidda akoonka. Sumcaddu way adag tahay in la kasbado laakiin isla markiiba waa la waayi karaa.
MEW, waxaan hirgelinay nidaam maamul sumcadeed oo dhammaystiran si loogu abaalmariyo dhaqanka wanaagsan loona ciqaabo falalka laga shakiyo. Nidaamkani wuxuu ku bilaabmaa isticmaalayaasha cusub ee mowqif dhexdhexaad ah wuxuuna hagaajiyaa sumcaddooda iyadoo lagu saleynayo hawlahooda socda.
Sumcadda isticmaalaha ayaa ku soo hagaagta ficillo wanaagsan sida ilaalinta akoonnada warbaahinta bulshada ee firfircoon, awood u siinta xaqiijinta arrimo badan, ka qayb qaadashada si joogto ah mashaariicda, iyo saxiixa commits oo leh furayaasha la xaqiijin karo. Taas bedelkeeda, sumcaddu way sii xumaataa sababtoo ah ficillo cadaawad leh sida daabacaadda malware-ka, isticmaalka cinwaanada emaylka ee la tuuri karo, iyo saxiix la'aanta commits, ama muujinta qaabab aan caadi ahayn oo ku jira tabarucaadka.
Hadafka ugu weyn ee nidaamkeenu waa in la hubiyo jawi ammaan ah oo lagu kalsoonaan karo. Waxay tan ku gaartaa iyadoo si firfircoon u hagaajinaysa sumcadda isticmaalaha iyadoo lagu salaynayo arrimo kala duwan, iyadoo sidoo kale la ixtiraamayo walaacyada asturnaanta iyo xaddidaadaha diiwaannada kala duwan.
Dhibcaha sumcadda gudaha waxaa loo xisaabiyaa isticmaalaha (ku biirista diiwaanka iyo akoonka github marka ay suurtogal tahay), iyo sidoo kale dhibcaha xaasidnimada ee la isticmaalay intii lagu jiray kala-soocidda qaybta la falanqeynayo, iyo si loo helo qof si fiican u qalma oo hoos yimaada daabacaadda qaybta.
Caddeymo ku saabsan Dhaqanka Xun ayaa la helay. Haddaba maxaa jira? Habka Dib-u-eegista Buug-gacmeedka
Kala-soocidda hadda jirta waxay dejisaa nooca qaybaha ee la falanqeeyay mid ka mid ah qaybaha "la xaqiijiyay inay yihiin kuwo xaasidnimo ah", "malaha inay yihiin kuwo xaasidnimo ah", "khatar sare", "khatar hoose" ama "aan xaasidnimo lahayn" iyadoo lagu saleynayo heerarka dhibcaha oo isku daraya natiijooyinka iyo sumcadda isticmaalaha/qaybta. Kala-soocidda qaybaha "khatar sare" ama "malaha inay yihiin kuwo xaasidnimo ah" waxay kicisaa dib-u-eegista gacanta iyo ogeysiiska ugu horreeya. Qaybta "xasuuqnimada la xaqiijiyay" waxaa la dejiyaa ka dib dib-u-eegista gacanta ama marka caddayntu ay la mid tahay isla caddaynta noocii hore ee la xaqiijiyay inay yihiin kuwo xaasidnimo ah.
Marka caddayn ku filan la helo oo ku saabsan dhaqanka xaasidnimada leh ee suurtagalka ah, digniinta ugu horreysa (digniin karantiil) ayaa loo gudbiyaa ururada ay dhibaatadu saameysey. Sida hore loo soo sheegay, taasi waxay xannibi kartaa rakibidda ama dhismaha software-ka ku xiran qaybta karantiilka.
Taasi waxay abuurtaa arrin gudaha MEW ah dashboard sidaa darteed falanqeeyayaasha amniga waxay bilaabi karaan habka dib u eegista gacanta ee qaybta. Kooxdu waxay leedahay qalab gaar ah (sandbox, deobfuscators, qaybinta cilmi-baarista malware-ka, soo sheegidda qalabka malware-ka) si ay si dhakhso ah u qiimeeyaan nooca qaybta la baarayo. Inta badan malware-ka ("askovys-ka" ama qaybaha xaasidnimada aan casriga ahayn) ayaa dib loo eegaa.
Natiijada dib u eegista waxay ku soo gabagaboobaysaa midkoodna ammaan, sidaa darteed matoorka falanqaynta otomaatiga ah wuxuu helay natiijo been abuur ah oo loo isticmaalo jawaab celin ahaan kala-soocidda barashada mashiinka si loo barto qaabka; ama la xaqiijiyay inay xaasidnimo tahay, sidaa darteed qaybta si mas'uuliyad leh ayaa loogu shaacinayaa inay tahay mid xaasidnimo u ah diiwaanka dadweynaha, ka dib habka warbixinta. Ogeysiis labaad ayaa loo dirayaa ururada ay saameysay, taas oo iyaduna laga yaabo inay keento ka saar qaybta, ama si hubaal ah uga xannib habka casriyeynta nooca ama firewall-ka qaybta ee loo isticmaalo diiwaanka gudaha.
Dejintani waxay noo ogolaanaysaa inaan falanqayno tobanaan kun oo nooc oo cusub ah maalin kasta oo aan aqoonsanno tobanaan kuwaas oo laga yaabo inay yihiin kuwo xaasidnimo ah, kuwaas oo aan markaa gacanta ku dib u eegno. Xasuuso qaybtii hore in mid ka mid ah toban kun uu yahay heerka qaybaha xaasidnimada ah ee aan hadda ku aragno duurjoogta.
Warbixinta Diiwaanka
Waxaan ogaanay in inta badan diiwaannada dadweynaha, oo ah mid ka mid ah laf-dhabarta kaabayaasha isha furan, ay bixiyaan habab xaddidan oo lagu soo sheego arrimaha amniga, gaar ahaan qaybaha xaasidnimada leh. Waxaan ku dhibtoonaynaa inaan horumarinno abaabulka hoose ee habka warbixinta. Caadiyan waxaan helnaa ugu badnaan iimayl jawaab celin ah oo ka imanaya kooxda amniga ee diiwaanka oo xaqiijinaya in qaybta laga saaray diiwaanka.
Mararka qaar diiwaanka waa la si xun u adeegsadaa, iyadoo la jebinayo shuruudaha isticmaalka, laakiin ma keenayso dhaqan xun oo ku jira software-ka la keenay. Tan waxaa sidoo kale loo soo sheegaa diiwaanka, laakiin looma sheego ururada si loo xaddido buuqa.
Shaqada mustaqbalka
Horumar badan ayaa hadda ku jira khariidadda khariidadda. Marka ugu horreysa, bogga dadweynaha ee caafimaadka qaybta OS, gaar ahaan kuwa la xiriira caddaymaha laga helay xaasidnimada suurtagalka ah, ayaa hadda socda. Tan waxaa loogu talagalay inay gacan ka geysato bulshada isha furan. La soco.
Horumar kale oo socda waa horumar la sameeyay kala-soocidda barashada mashiinkaMEW waxay wax ka baran doontaa kala soociddii hore. Vektor-ka natiijooyinka laga helo qalabka wax lagu ogaado ee matoorka, oo lagu daray dhibcaha xaasidnimada ee la soo saaray iyo dhibcaha sumcadda ee qaybta iyo daabacaha labadaba ("caddaynta la helay") waxaa loo isticmaalaa sidii wax lagu soo geliyo nidaamka barashada mashiinka kaas oo cusboonaysiiya qaabka kala soocidda. Doorsoomaha wax soo saarka waa haddii diiwaanka la xaqiijiyay in qaybtu ay xaasidnimo ahayd. Kani waa magac kood ah oo loogu magac daray "Oracle" wuxuuna kaa caawin doonaa horumar dheeraad ah.cise-qualification, oo loogu talagalay inay noqoto mid sax ah (dib u soo celin sare leh tusaale ahaan ha seegin qaybaha xaasidnimada leh) laakiin leh waxyaabo been abuur ah oo yar (ha ku soo sheegin qaybaha badbaadada inay yihiin kuwo xaasidnimo leh).
A dhibcaha muhiimka ah Waxaa lagu dari doonaa shuruudaha mudnaanta, marka laga reebo ka mid noqoshada ku tiirsanaanta macaamiisha, iyo sumcadda hoose ee daabacaha. Waa iska cad in mashaariicda leh saameyn iyo muhiimad dheeraad ah la tixgeliyo goor hore si loo falanqeeyo. Halkan dib uma soo nooleyn doonno giraangiraha, oo waxaan raaci doonnaa Dhibcaha Muhiimka ah ee Mashruuca Isha Furan.
Taageerada nidaamyada deegaanka ee dheeraadka ah ayaa la horumarinayaa. Tiknoolajiyada iyo qalabka ballaaran sida PHP ama Jenkins plugins ayaa ku jira khariidadda khariidadda.
Waxaan sidoo kale sahaminaynaa in habka dib u eegista gacanta lagu caawin karo AI si loo fududeeyo falanqaynta qaybaha xunxun ee yar yar.
Qaybta xigta iyo tan ugu dambeysa ee taxanahan, "Ka faa'iidaysiga Ilo Furan: Waxa laga filayo Ragga Xun", waxaan diiradda saari doonnaa siyaabaha ugu dambeeyay ee ay cadawgu u qaadayaan si ay weerarrada uga dhigaan kuwo qarsoodi ah, adag in la ogaado, si gaar ah loogu bartilmaameedsado warshado gaar ah, iyo faa'iido badan. Ma weerarrada ransomware-ka la geyn doonaa iyadoo la adeegsanayo gaarigan? Sidee bay nimanka xun u adeegsanayaan qalabka AI si ay u bixiyaan malware-ka casriga ah? Ma mashaariicda ugu caansan ayaa halis ku jira? Tani waa in akhristayaasha la siiyo dareen ku saabsan tartankan hubka, iyo waxa laga filayo muddada gaaban (qaybta labaad ee 2024) iyo muddada dhexe (2025).
Waxaan ku soo gabagabeyn doonnaa fikrado ku saabsan tallaabooyinka ay bulshadu qaadi karto iyada oo aan wax badan ka beddelin furfurnaanta adduunka isha furan. Tusaale ahaan, hab wax ku ool ah oo loogu soo sheego malware-ka diiwaannada dadweynaha, iyo la wadaagista caddaynta qaybaha khatarta ah ee la xiriira diiwaanka iyo bulshada waxay noqon doontaa tallaabo yar oo loo qaaday jihada saxda ah ee loo marayo yoolka ah in albaabada loo xiro dadka khatarta ku jira.
Malware-ka ku jira qaybaha il furan waa in uusan carqaladeyn faa'iidooyinka baaxadda leh ee bulshada il furan ay u keentay bulshadeenna.
- [1] Iskaan-gareynteenu wuxuu ogaadaa qaybaha isha furan ee ay tixraaceen mashaariicda software-ka ee la falanqeeyay, sidaa darteed garaafka ku-tiirsanaanta ee dhammaystiran ayaa la yaqaan, ugu yaraan mashaariicda si joogto ah loo sawiro. Xygeni OSS waxay soo bandhigaysaa API ay macaamiishu sidoo kale isticmaali karaan inta lagu jiro liis gareynta qayb xiiso leh, oo ay ku jiraan macluumaadka nuglaanta iyo caddaynta xaasidnimada.
- [2] Birta ilaalada ayaa jabin karta dhismaha haddii la ogaado xaalad la xiriirta arrimaha amniga. Natiijooyinka amniga sida nuglaansho halis ah oo la gaari karo ama isticmaalka qayb karantiil ah ayaa loo arki karaa mid aad u daran oo jebin karta dhismaha software-ka ay saameysay.
- [3]Falanqeeyayaasha amniga waxay ku shaqeeyaan qaybta ama qoraallada rakibaadda jawi ciid leh marka loo baahdo. Si kastaba ha ahaatee, MEW ma sameyso falanqayn firfircoon, ugu horreyn sababtoo ah dhaqanka xaasidnimada leh had iyo jeer laguma sameeyo weerarrada la beegsanayo iyo sababtoo ah caqliga baxsashada ee ay jilayaasha khatarta ahi u adeegsadaan inay ka baxsadaan falanqaynta firfircoon.
- [4] Farsamadan waxaa la siiyay magac, Algorithms-ka Jiilka Domain-ka ee Diiwaangashan ama RDGA, iyo jilayaasha cusub ee khatarta sida kuwa loogu yeero. Bakaylaha Revolver Maalgashaday ilaa 1M$ 500K domains, taasoo muujinaysa sida ay faa'iido u leedahay warshadaha dambiyada internetka.
