Shai-Hulud: Sharaxaadda Xirmooyinka npm ee Gooryaanka

Saamaynta Fulinta ee Weerarkii Silsiladda Sahayda ee Shay-Hulud

Shai-Hulud wali waa firfircoon yahay maanta. Gooryaankani wuxuu dedejiyaa jadwalka saameynta. Wixii toddobaadyo qaatay trojan hadda wuxuu ku dhacaa saacado gudahood. Natiijo ahaan, Faafiddu way dhakhso badan tahay oo way adag tahay in la xakameeyo. Waxay ku socotaa sidan:

• Xatooyada calaamadaha daabacaadda npm iyo sirta GitHub.
• Dib-u-daabacaadda xirmooyinka kale ee npm.
• Ku darista shaqooyinka GitHub ee xaasidnimada leh si loo sii wado.

Yaa ay saameysay:

Koox kasta oo rakibta xirmooyinka npm dadweynaha waa la soo bandhigay. Intaa waxaa dheer, horumariyayaasha haysta calaamadaha npm ee la kaydiyay ama GitHub waxay la kulmaan khatar sare. Orodyahannada CI ee isticmaala siraha ballaaran ayaa sidoo kale nugul.

Khatar ganacsi

Saamaynta ganacsigu si dhakhso ah ayay u kortaa. Calaamadaha la xaday waxay horseedi karaan la wareegidda akoonnada, afduubka baakadaha, iyo xitaa isticmaalka daruuraha. Intaa waxaa dheer, ku adkeysiga socodka shaqada ee GitHub waxay ka dhigaysaa mid adag in la nadiifiyo. Sidaa darteed,, kooxuhu waa inay Shay-Hulud ula dhaqmaan sidii dhacdo socota, ee maaha mid xiran.

Sida Weerarka Silsiladda Sahayda ee Shai-Hulud uga shaqeeyo Xirmooyinka npm

Ujeeddooyinka iyo ujeeddada weerarka

Ololaha wuxuu u wanaajiyaa saddex shay:

• Ujeeddada koowaad waa in la xado aqoonsiga baaxadda laga bilaabo laptop-yada horumariya iyo kuwa CI-ga ku shaqeeya. Tan waxaa ku jira calaamadaha daabacaadda npm, calaamadaha GitHub, iyo aqoonsiga daruuraha. Xaqiiqdii, falanqayn badan ayaa xaqiijinaya goosashada qarsoon ee nidaamsan, sida socodsiinta TruffleHog iyo weydiinta meelaha ugu dambeeya ee metadata daruuraha.
• Ujeeddada labaad waa in la si toos ah u faafin iyadoo si xun loogu xadgudbayo xuquuqda daabacaadda ee dadka ilaaliyayaasha ah ee la wiiqay. Natiijo ahaan, hal meel ayaa si dhakhso ah ugu fidda dad badan, maadaama noocyo cusub oo cudurka qaba oo xirmooyin kale ah ay soo baxaan iyada oo aan la helin dadaal dheeraad ah oo bini'aadamnimo.
• Ujeeddada saddexaad waa in la sii wad oo si kalsooni leh u sii daa iyada oo loo marayo kaabayaasha GitHub. Weeraryahannadu waxay abuuraan kayd dadweyne oo loogu magac daray "Shai-Hulud" oo leh saldhig laba jibbaaran64 xogta.json, iyo sidoo kale waxay beeraan shaqo socod oo taxane ah ${{ toJSON(sir) }} oo ku dheji shabakad aan degganayn.

Faa'iidada laga yaabo inay ka mid tahay helitaanka muddada dheer ee diiwaannada iyo koodhka isha, dhaqdhaqaaqa degdegga ah ee dhinaca ah ee akoonnada daruuraha, iyo ikhtiyaarka ah in si dheeraad ah loo hubeeyo silsiladda sahayda. Warbixinta dadweynaha waxay muujineysaa in kaydka gaarka loo leeyahay loo rogay dadweynaha iyadoo la adeegsanayo "-socdaal" daba-galaha, kaas oo kordhiya soo-gaadhista xogta iyo xawaaraha

Gudaha Shay-Hulud Mushaharka: xirmo.js Xirmooyinka npm

Shay-Hulud wuxuu u shaqeeyaa sidii weyn, Webpack-ku-xidhan oo si weyn loo yareeyay Faylka JavaScript (xirmo.js, qiyaastii 3–3.7 MB) taas oo ka fulisa a postinstall soo geli xirmo.jsonSidaas darteed, Rakibaad kasta si toos ah ayuu u kiciyaa culayska mushaharka. Naqshaddani waxay qarisaa aqoonsiyada, waxay isku ururisaa socodka xakamaynta, waxayna ku riixdaa dhammaan macquulka hal farshaxan oo fuliya inta lagu jiro rakibidda. Falanqeeyayaashu waxay si joogto ah u xaqiijiyaan isku-darka Webpack, cabbirka faylka aan caadiga ahayn, iyo fulinta waqtiga rakibidda.

Astaamaha qarsoonaanta iyo ka-hortagga falanqaynta waxaad ku arki doontaa muunado:

• Garaafka moduleka ee yaraaday oo leh aqoonsiyo module tirooyin ah, faallooyin kooban, iyo socodka xakamaynta oo siman. Intaa waxaa dheer, Qaab-dhismeedkani wuxuu ka dhigayaa dib u eegista gacanta mid aad u adag.
• Qarinta xarigga iyada oo loo marayo saldhig64 lakab iyo caawiyayaasha dhismaha. Tusaale ahaan, Habaynta iyo habaynta base64 ee soo noqnoqda badanaa waxay ka muuqdaan hababka nadiifinta.
• Dirista firfircoon iyada oo loo marayo heersare-qaab-dhismeedka iyo jirrooyinka shaqada ee la sameeyay, sidaas darteedna u suurta gelinaya koodhka inuu beddelo dhaqanka waqtiga socodsiinta.
• Shaandhaynta OS-ga si loo doorbido fulinta Linux iyo macOS gaar ahaan kuwa ku shaqeeya CI runners iyo laptop-yada horumariya.

Xagal shaqayneed, xidhmadu waa mid qaabaysan. Qoraalladu waxay sharraxayaan modules-yada daahfurka OS, nidaamka faylka iyo baaritaannada qarsoon ee git, marin u helka SDK ee daruuraha, hawlgallada GitHub API, iyo matoor faafin ah oo wax ka beddela xirmooyinka kale ee uu leeyahay qofka dayactiraha ah. Xaqiiqdii, StepSecurity iyo ReversingLabs labaduba waxay iftiimiyaan shaqo si toos ah u cusboonaysiisa xirmooyinka iyadoo la adeegsanayo jillaab xaasidnimo ah.

Hirgelinta Waqtiga Ku-rakibidda ee Shai-Hulud: Sida Xirmooyinka npm ay u kiciyaan Gooryaanka

Weerarku wuxuu bilaabmaa marka Node-ka postinstall wuxuu socdaa xirmo.js. Waqtigan xaadirka ah, qoraalka ayaa bilaabaya oo furaya xaaladda shaqada ee xusuusta, isagoo dejinaya marxaladda hawlgalka buuxa ee dirxiga.

Soo saarista iyo goosashada

• Qalabkan wuxuu ku shaqeeyaa habka loo yaqaan "payload dumps process.env" wuxuuna iskaan gareeyaa faylasha maxalliga ah si loo ogaado sirta entropy-ga ee sare leh iyo horgalayaasha calaamadaha. Intaa waxaa dheer, wuxuu fidiyaa caymiska isagoo adeegsanaya TruffleHog.
• Waxay weydiisaa dhammaadka metadata-ka daruuraha si ay u ururiso aqoonsiyo waqti gaaban ah. Tusaale ahaan, wicitaanada loo dirayo 169.254.169.254 ku saabsan AWS ama metadata.google.internal GCP-ga ayaa badanaa ka muuqda martida cudurka qabta.
• Sidaas awgeed, Aqoonsi kasta oo la helo ayaa isla markiiba loo isticmaali karaa in lagu daabaco xirmooyinka npm cusub ama lagu riixo socodka shaqada ee GitHub.

Faafinta

• Gooryaanku wuxuu abuuraa kayd cusub oo GitHub ah oo loogu magac daray Shay Hulud wuxuuna qoraa saldhig laba-laaban oo 64-encoded ah data.json oo leh faahfaahin ku saabsan goobta, meelaha lagu shubo deegaanka, iyo siraha. Sida la arki karo, dhaqankan buuqa badan waa mid si fudud loo ogaan karo haddii difaacayaashu ay yaqaaniin meesha ay eegaan.
• Waxay sidoo kale beeraysaa shaqo-socod shaqo oo GitHub Actions ah, oo badanaa ku taal laan lagu magacaabo shai-hulud, oo taxane ah ${{ toJSON(secrets) }} oo xogta ku dhejiya shabakad aan joogto ahayn. Intaa waxaa dheer, socodka shaqadani wuu sii socdaa ilaa qof si firfircoon uga saaro.

Faafinta

• Calaamad kasta oo npm ah oo la helo, culayska lacag bixinta wuxuu tiriyaa dhammaan baakadaha uu leeyahay qofka haya ee la jabsaday. Kadib, wuxuu soo qaataa tarball kasta, wuxuu ku duraa bundle.js iyo gelitaan kadib rakibid ah, wuxuuna dib u daabacaa xirmada.
• Natiijo ahaan, daraasiin xirmooyin cudurka qaba ayaa soo muuqan kara saacado gudahood, taasoo ku dhufanaysa baaxadda qaraxa ee ku baahsan nidaamka deegaanka.

Adkeysiga iyo soo-gaadhista

• Gooryaanku wuxuu socodsiinta shaqada xaasidnimada leh ka dhigaa mid nool, xaalado dhowr ah, wuxuu kaydadka gaarka ah u rogaa dadweynaha isagoo adeegsanaya "-socdaal" Daba-galaha. Guud ahaan, tani waxay hubineysaa in qofka weerarka soo qaaday uu sii hayo booskiisa isla markaana uu kordhiyo daadinta xogta.

Qoraalka ogaanshaha furaha
Isticmaalkan aan caadiga ahayn ${{ toJSON(secrets) }} Shaqooyinka Ficillada waa naadir. Sidaa darteed, Kooxuhu waa inay ula dhaqmaan sidii tilmaame calaamad sare leh inta lagu jiro ugaarsiga.

Qaab-dhismeedka shaqada ee nadiifka ah ee aad u baahan tahay inaad raadiso

Isticmaalkan aan caadiga ahayn ilaa JSON (sir) Ficilku waa tilmaame calaamad sare leh dhacdadan.

Koodhka been abuurka ah ee heerka sare ah (ammaan ah, sharraxaad leh)