Бастаҳои зараровари npm, ки ба наздикӣ ошкор шудаанд, ҳамчун ёварони безарар барои фронт-энд пинҳон мешаванд, аммо дорои рамзи печидашудаи зараровар мебошанд.
Гурӯҳи тадқиқоти амниятӣ дар Ксигенӣ муайян карданд, ки ин бастаҳои npm: 'react-ui-notify', 'react-tmedia', 'react-ui-animates', 'react-medias', 'react-mandes' ҳосилаҳои тағйирёфтаи "бинго-логгер", худ як чангаки зараровар аст, ки сохтор ва ҳуҷҷатгузории бастаи маъмули сабти номро тақлид мекунад "пино" барои он ки қонунӣ ба назар расад. Ин муқова барои сӯиистифода аз эътимоди таҳиягарон ва ҷалби зеркашиҳо истифода мешавад. Дар асл, пойгоҳи рамз дорои файли нофаҳмоест, ки дар муҳитҳои Node кор мекунад.
Заминаи актёри таҳдид: Маъракаи "Мусоҳибаи сироятӣ"
Дар Маъракаи мусоҳибаи сироятӣ бо кластери таҳдидҳо, ки бо номи он маълум аст, алоқаманд аст 'UNC4034', ки робитаҳо бо фаъолони марбут ба Кореяи Шимолиро гузориш медиҳад Гурӯҳи Лазарус or APT38, як гурӯҳи маъруфи сарпарастии давлат, ки бо режими Кореяи Шимолӣ алоқаманд аст. Таҳдидгароне, ки дар паси ин маърака қарор доранд, таърихи ҳадафгирии таҳиягаронро тавассути экосистемаҳои кушодаасос, паҳн кардани бастаҳои монанд, ки борҳои пинҳониро иҷро мекунанд, доранд. Дар ниҳоят, аз системаҳои сироятшуда маълумоти марбут ба криптовалюта, рамзи манбаъ ва эътимодномаҳоро берун мекунанд.
Дар тактика, усулҳо ва тартибот (TTP-ҳо), ки дар ин бастаҳои npm мушоҳида мешаванд, аз ҳамон нақша пайравӣ мекунанд:
- Барои он ки боэътимод ба назар расад, номҳои лоиҳаҳои қонуниро тақлид кунед.
- Коди печидаро дар файлҳои санҷишӣ ва скриптҳои ёрирасон ҷойгир кунед.
- Иҷрои борҳои пинҳонӣ, ки маълумоти махфиро ҷамъ мекунанд ва онро ба сервери дурдасти фармон ва идоракунӣ (C2) мефиристанд.
Натиҷаҳои техникӣ: Таҳлили бори норавшан
Бори фоидаовар дар дохили он ёфт шуд ''/test/fixtures/eval/node_modules/test.list' JavaScript-и норавшан (ҷустуҷӯи сатрҳои индекс/массив, блокҳои рамзгузорӣ)-ро барои пинҳон кардани сатрҳои хондашаванда истифода мебарад ва ҷараёни идоракунӣ пас аз насб кардани баста аз сабаби скрипти postinstall иҷро карда мешавад. 'npm run run test || npm transpile || npm run utput'дар дохили баста.json.
Таҳлили мо нишон дод, ки ин бастаҳо дорои як қисми нармафзори мутобиқшавандаи зараровар мебошанд, ки барои интиқол дар байни системаҳои оператсионӣ (Windows, macOS ё Linux) ва муҳитҳои корбарӣ сохта шудааст. Ин қобилиятест, ки таваҷҷӯҳи махсусро ба корбарони техникӣ, ки аксар вақт дар муҳитҳои гуногун кор мекунанд, нишон медиҳад.
Пас аз насб дар система, нармафзори зараровар муҳити атрофро таҳқиқ мекунад ва ҷамъоварӣ мекунад маълумоти муфассали система ба мисли номӣ, платформа, феҳристи хонагӣ ва директорияи tmp-и система пеш аз васеъ кардани доираи он ба барномаҳое, ки маълумоти ҳассосро ба монанди нигоҳ медоранд, браузерҳо (Chrome/Brave/Edge/Opera) ва ҳамёнҳоятонро рақамӣОн ба таври рекурсивӣ маконҳои маъмулиро барои профилҳои браузер, файлҳои ҳамён, занҷирҳои калидӣ ва бисёр намудҳои ҳуҷҷат/файл ҷустуҷӯ мекунад. Калимаҳои калидии ҷустуҷӯ иборатанд аз ҳамён, истилоҳоти марбут ба тухмӣ ва бисёр васеъкуниҳои файл, ки эҳтимолан дорои эътимодномаҳо ё сиррҳо мебошанд (*.env, *.key, *.wallet, *.json, *.txt, *.doc ва ғайра.). Он дорои рӯйхати истисноҳо барои директорияҳои маъмулӣ барои пешгирӣ аз файлҳои системавии возеҳ мебошад.
Ин файли муфид барои пешгирӣ кардани иҷрои якчанд ҳамзамон як нишони маҳаллӣ/файли қулфкунандаро менависад ва маълумоти онро дар феҳристҳои муваққатии системаи амалиётӣ менависад, то аз ошкоршавӣ пешгирӣ карда шавад.
Бори иловагии норавшан инчунин дорои канали муошират бо сервери дурдаст мебошад, ки ҳамчун маркази фармон ва идоракунии он амал мекунад. Тавассути ин канал, он метавонад маълумоти дуздидашударо берун кунед ва дастурҳои иловагӣ гиредГарчанде ки худи инфрасохтор маҳдуд ва барои мақсад сохташуда ба назар мерасад, вуҷуди он нияти ҳамлагарро барои нигоҳ доштани назорати доимӣ бар системаҳои сироятшуда тасдиқ мекунад.
Вақте ки нармафзори зараровар маълумоти махфиро пайдо мекунад, он онҳоро бастабандӣ мекунад ва кӯшиш мекунад, ки онҳоро ба нуқтаи ниҳоии дурдасте, ки дар сервери абрӣ ҷойгир аст, бо истифода аз маълумоти бисёрқисмата/шаклӣ бор кунад, то файлҳои дуздидашуда ба дархостҳо замима карда шаванд.
Нишондиҳандаҳои созиш ва тавсияҳои коҳишдиҳӣ
Ба ташкилотҳо тавсия дода мешавад, ки ин вобастагиҳои зарароварро бартараф кунанд (react-ui-notify, react-tmedia, react-ui-animates, react-media, react-mandes, bingo-logger) ва ин муҳитҳоро навсозӣ кунед, то якпорчагиро таъмин кунед. Системаҳое, ки эҳтимолан фош шудаанд, бояд ҳамаи эътимодномаҳо ва токенҳои дастрасӣ фавран гардиш кунанд.
Мудирони шабака бояд трафики содиротиро ба ин суроғаҳои IP маҳдуд кунанд 23.227.202.24, 131.153.22.25 ва пайвастҳои ахирро барои муайян кардани нуқсонҳо аз назар гузаронед. Барои пешгирии сироятёбии дубора ва таъмини якпорчагии занҷираи таъминот, барқарор кардани муҳитҳои зарардида аз манбаъҳои тасдиқшуда ва тоза тавсия дода мешавад.
Контексти васеътар
Дар маҷмӯъ, ин бастаҳо як мисоли дигаранд Бо назардошти сатҳи нави камолот дар ҳамлаҳои занҷираи таъминотӣ, ки ба JavaScript асос ёфтаанд, рақибон торафт бештар бастаҳои монанд эҷод мекунанд, ки сохтор ва ҳуҷҷатҳоро аз лоиҳаҳои боэътимод қарз мегиранд, васеъкунии модулӣ ва қабули усулҳои беҳтар барои муайян кардан ва кам кардани онҳо як мушкил аст.
Ин таҳаввулот эҳтимолияти насби тасодуфиро аз ҷониби таҳиягарони бехабар зиёд мекунад ва ба рақибон дастрасии амиқтарро ба муҳитҳои сохтмонӣ медиҳад, CI/CD системаҳо ва анборҳои рамзи сарчашма.
Экосистемаҳои кушодаасос барои чунин маъракаҳо ба платформаи бартарии паҳнкунӣ табдил ёфтаанд. Бо истифода аз эътимоди дохилии таҳиягарон дар бастаҳои ҷамъиятӣ, ҳамлагарон метавонанд бо саъю кӯшиши кам ва аксар вақт бе ошкор ё оқибати фаврӣ ба занҷири таъминоти нармафзор ворид шаванд.
Огоҳии барвақти нармафзори зараровар (MEW) аз ҷониби Xygeni
Ин ҳодиса дар аввал тавассути Xygeni муайян карда шуда буд Огоҳии барвақти нармафзори зараровар система, ки ба таври доимӣ феҳристҳои бастаҳои кушодаасосро ба монанди npm, PyPI, Maven барои бастаҳои зараровар назорат мекунад.
Муҳаррики ошкоркунии мо ин бастаҳоро аз сабаби сохтори ғайриоддии онҳо, скрипти пас аз насб ва боркунии норавшан ба таври худкор ҳамчун шубҳанок қайд кард. Дар натиҷа, бастаҳои зараровар (react-ui-notify, react-tmedia, react-ui-animates, react-medias ва react-mandes) аз ҷониби дастаи амниятии мо зараровар буданашон тасдиқ карда шуданд ва пеш аз он ки онҳо ба қабули васеътар бирасанд, ба npm хабар дода шуданд.
Чӣ тавр огоҳии барвақти Xygeni шуморо муҳофизат мекунад pipelines
- Муайян кардани таҳдид дар вақти воқеӣҲар як бастаи нав ё навшударо дар графики вобастагии шумо скан мекунад ва рафтори шубҳанокро, аз қабили зангҳои системаи амалиётӣ, иҷрои фармонҳо, рамзи печида, чопкунии чопӣ ва бисёр чизҳои дигарро қайд мекунад.
- Огоҳиҳои фаврӣ: Ҳамин ки дар муҳити шумо таҳдиди нав пайдо мешавад, ба дастаҳои амниятӣ ва DevOps-и шумо дар Slack, Jira ё почтаи электронӣ хабар медиҳад.
- Ислоҳи як клик: Тавлид мекунад pull requests ки версияҳои осебпазири вобастагиро дар тамоми лоиҳаҳои шумо нест ё иваз мекунанд.
- Экосистемаҳои дастгиришаванда: Айни замон npm, PyPI, Maven ва Packagist-ро дар бар мегирад.
- Xygeni ба шумо кӯмак мекунад, ки аз ҳамлаҳои занҷираи таъминот пеш гузаред, зеро бастаҳои зарароварро дар марҳилаи аввал, пеш аз он ки онҳо ба сохтмони шумо бирасанд, дастгир кунед.
???? Огоҳиномаи барвақтии зараровари Xygeni-ро ройгон санҷед ва бубинед, ки чӣ қадар зуд шумо метавонед таҳдидҳои занҷираи таъминотро дар дохили худ муайян ва безарар гардонед pipelines.
