Àìlera kan ṣoṣo, àpò ìkà kan ṣoṣo tí a fi pamọ́ láàárín àwọn mílíọ̀nù ènìyàn, lè ba ààbò àìmọye àwọn ohun èlò ìṣiṣẹ́ jẹ́, tí ó lè fi àwọn iṣẹ́ ìṣòwò àti ìpamọ́ olùlò léwu. Nínú àyíká ipò àìléwu yìí ni ẹgbẹ́ wa ní Xygeni ti bẹ̀rẹ̀ iṣẹ́ ààbò kan, tí ó fi òtítọ́ kan hàn tí ọ̀pọ̀ ènìyàn bẹ̀rù ṣùgbọ́n díẹ̀ ló lè jẹ́rìí sí: wíwà àwọn àpò npm oníwà-ìkà nínú ipilẹ̀ ètò-ẹ̀rọ oní-nọ́ńbà wa.
Láti ọjọ́ kẹtàlá sí ọjọ́ kẹẹ̀ẹ́dógún oṣù kìíní, ọdún 2024, àyẹ̀wò ìwádìí ìwádìí ìbàjẹ́ wa ti tàn kálẹ̀ dé ibi tí ìwà déédé wà, kò sí ọ̀kan lára àwọn ìdìpọ̀ npm mẹ́wàá tí ó jẹ́ aláìláàánú. Àwọn wọ̀nyí kì í ṣe ìwà àìdáa lásán, àwọn ìpolongo ni wọ́n ṣe láti fi àwọn ìwífún tó ṣe pàtàkì hàn sí àwọn ẹ̀gbẹ́ ayélujára tí kò ṣeé fojú rí. Ìfihàn yìí kì í ṣe ìjíròrò lásán; ó jẹ́ ìpè pàtàkì fún gbogbo àwọn olùníláárí nínú iṣẹ́ ìdàgbàsókè sọ́fítíwè.
Nígbà náà, iye yẹn ṣì jẹ́ ohun pàtàkì. Ní ọdún 2026, kò sí mọ́. Àwọn àtẹ̀jáde tuntun ti wa Àkójọpọ̀ Kóòdù Ìwà Ìbàjẹ́ jẹ́rìí sí àwọn ìdìpọ̀ ìwà ìkà tó tó 100 sí 200 lọ́sọ̀ọ̀sẹ̀ lórí npm àti PyPI nìkan, ojú ọjọ́ mẹ́ta yìí kan náà lónìí yóò hàn gbangba síi. Àwọn ọ̀nà ìyọkúrò àti ìsáǹsá tí a kọ sílẹ̀ ní ìsàlẹ̀ yìí kò tíì parẹ́; wọ́n ti di ilé iṣẹ́ ní ìwọ̀n tí ẹnikẹ́ni kò retí ní ìbẹ̀rẹ̀ ọdún 2024.
Gẹ́gẹ́ bí aṣáájú nínú ààbò ààbò lórí ayélujára, ojú ìwòye aláìlẹ́gbẹ́ Xygeni kò jẹ́ kí a rí àwọn ewu wọ̀nyí nìkan, ṣùgbọ́n láti lóye ìtumọ̀ wọn dáadáa. Ìròyìn yìí jẹ́ ẹ̀rí sí wa. commitláti dáàbò bo ààlà oní-nọ́ńbà ti wíwá ẹ̀rí búburú nínú kódì láti yẹra fún ìyípadà nínú àwọn ìkọlù ọjọ́ iwájú.
Ẹ dara pọ̀ mọ́ wa bí a ṣe ń wo àwọn kúlẹ̀kúlẹ̀ ìpolongo wọ̀nyí, tí a ń ṣàlàyé àwọn ọ̀nà tí àwọn agbésùnmọ̀mí ń gbà, àti èyí tí ó ṣe pàtàkì jùlọ, tí a ń tànmọ́lẹ̀ nípa bí àwọn ilé iṣẹ́ ṣe lè mú kí àwọn ààbò wọn lágbára sí irú àwọn ewu burúkú bẹ́ẹ̀.
Àwárí Àkọ́kọ́: Ìrúfin Aurora Webmail Pro
Àwárí àkọ́kọ́ nínú ìwádìí wa ni àpò tí a pè ní orúkọ rẹ̀ aurora-webmail-pro, èyí tí olùlò kan pẹ̀lú orúkọ ìnagijẹ kan gbé sórí ìforúkọsílẹ̀ NPM 0x379cKò pẹ́ tí àwárí yìí fi dá àwọn àkójọ mẹ́rin mìíràn mọ̀, gbogbo wọn ni òǹkọ̀wé kan náà gbé sórí ìkànnì kí àwọn ìgbésẹ̀ ààbò ìforúkọsílẹ̀ náà tó dá iṣẹ́ wọn dúró.
Àwọn ìdìpọ̀ wọ̀nyí wà nínú wọn bulọọgi_2021@1.1.1, àpò owó ooru@10.1.1, iwe tuntun@1.1.1, Ati pecko@1.0.1Nígbà tí a ṣe àyẹ̀wò rẹ̀, a rí i pé gbogbo àpò náà ní irú àmì ìbàjẹ́ tó jọra tí a gbé kalẹ̀ láti yọ ìwífún olùlò tó ṣe pàtàkì kúrò.
Ètò náà yóò gba àwọn ìwífún nípa ètò tó ṣe pàtàkì padà sí olùlò àti ètò náà, yóò sì ṣẹ̀dá hexdump pẹ̀lú irú ìwífún bẹ́ẹ̀. Lẹ́yìn náà, a ó tún ṣe àtúnṣe ìwífún náà, fún gbogbo ìwífún náà, a ó béèrè fún GET sí ojú-òpó wẹ́ẹ̀bù kan níta, níbi tí ọ̀nà tí a gbà wọlé jẹ́ gbogbo ìwífún nípa rẹ̀.
Ìṣípayá Atẹ̀lé: Àwọn Ọ̀nà Onírúurú Nínú Ìtànkálẹ̀ Kóòdù Ìkà
Ní àkókò kan náà pẹ̀lú àwárí ìpele àkọ́kọ́, ìwádìí wa fi àwọn ìpele NPM mẹ́rin mìíràn hàn, tí àwọn olùlò mẹ́ta pàtó pín káàkiri ìforúkọsílẹ̀ náà.
Àwọn ìdìpọ̀ wọ̀nyí, tí a ṣe àkójọpọ̀ wọn gẹ́gẹ́ bí ẹnikẹ́ni-deps@1.0.0, shoponline.epiroc.com@1.0.1, shoponline.epiroc.com@1.0.2, Ati synology-cft@10.0.0, pín ìjíròrò kan tí ó wọ́pọ̀ nínú ìpìlẹ̀ kódì wọn—ọ̀kọ̀ọ̀kan ni a ṣe láti fa ìwífún olùlò pamọ́. Lóòótọ́, ọ̀nà tí a lò fún ìtújáde dátà ní àwọn ìgbà wọ̀nyí yàtọ̀ sí ti ẹgbẹ́ àkọ́kọ́, ó ń tọ́ka sí ìpolongo ọ̀tọ̀ọ̀tọ̀, bó tilẹ̀ jẹ́ pé ó burú gan-an.
Ọgbọ́n ìpolongo kejì yìí ní í ṣe pẹ̀lú ọ̀nà tí ó tààrà sí kíkó àwọn dátà tí ó ṣe pàtàkì. Nígbà tí a bá ti mú wọn ṣiṣẹ́, àwọn kódì búburú tí ó wà nínú àwọn àpò wọ̀nyí bẹ̀rẹ̀ iṣẹ́ àyẹ̀wò kíkún, wọ́n ń yọ àwọn ìwífún nípa ìṣètò ètò olùlò, dátà olùlò ti ara ẹni, àti pàápàá jùlọ, àdírẹ́sì IP ti ètò náà. Àkójọ dátà tí ó péye yìí ní èrò láti kó gbogbo ìwé àkọsílẹ̀ lórí ẹni tí ó jẹ́ ẹni tí ó jìyà náà, láti ṣètò ibi fún àwọn ìkọlù tí ó lè jinlẹ̀ tàbí àwọn ìkọlù tí a fojúsùn sí.
Ó ṣe pàtàkì láti tẹnu mọ́ ọn pé bó tilẹ̀ jẹ́ pé àwọn ìpèsè wọ̀nyí lè fara hàn gẹ́gẹ́ bí apá kan nínú àwọn ìwádìí ààbò tó tọ́, bí àwọn tó ń gbìyànjú láti fi àwọn àìlera hàn nípasẹ̀ àwọn ọgbọ́n Ìdàrúdàpọ̀ Ìgbẹ́kẹ̀lé, òtítọ́ náà kò yí padà. Àwọn ìpèsè wọ̀nyí lè jẹ́ èyí tí a ṣe pẹ̀lú èrò búburú, kí a kó àwọn ìwífún tó ṣe pàtàkì jọ àti kí a fi ránṣẹ́ sí àwọn ènìyàn òde tí a kò fún ní àṣẹ.
Ìkìlọ̀ Pàtàkì: Àìbáramu Djs13 àti Àwọn Àbájáde Rẹ̀ fún Ààbò Ìkànnì ayélujára
Láàárín àyẹ̀wò àwọn àkójọpọ̀ tí a mẹ́nu kàn lókè yìí, ìtàkùn wa ṣàmì sí àbùkù mìíràn: àkójọpọ̀ kan tí a dárúkọ djs13-fetcherÀwárí pàtàkì yìí yàtọ̀ sí àwọn ìgbà ìṣáájú, kìí ṣe ní ọ̀nà tí ó gbà ń ṣiṣẹ́ nìkan ṣùgbọ́n ní irú ewu tí ó ń gbé kalẹ̀ pẹ̀lú. djs13-fetcher ni a ṣe idanimọ bi ibẹrẹ igbasilẹ ati ilana ipaniyan fun asomọ lati Discord, pataki faili alakomeji ti a pe ni orukọ astroia.exeNígbà tí wọ́n ṣe àyẹ̀wò fínnífínní nípasẹ̀ iṣẹ́ ìwádìí aládàáṣe, binary yìí gba Àmì Ìhalẹ̀ ti 85/100, ìdíyelé kan tí ó sọ ọ́ di malware láìsí àní-àní.
Iṣẹ́ djs13-fetcher àti ìṣiṣẹ́ astroia.exe lẹ́yìn náà ń fi hàn pé ó jẹ́ ẹ̀rọ ìhalẹ̀mọ́ni tó lọ́gbọ́n àti onípele púpọ̀. A ṣe ẹ̀rọ binary tí a ń sọ̀rọ̀ nípa rẹ̀ láti ṣe àwọn ìgbésẹ̀ tó ń fi hàn pé èrò búburú kan wà nínú rẹ̀:
- Àwọn Ìlànà Ètò Ìbímọ: Malware naa maa n bẹrẹ ọpọlọpọ awọn ilana eto lẹhin ti a ba ti ṣe wọn, ọna ti a maa n lo lati ṣe awọn iwe afọwọkọ buburu siwaju sii tabi lati fi idi ipilẹ mulẹ lori eto ti o ni ikolu fun awọn ẹru afikun.
- Ìwífún nípa Ètò Ìbéèrè: Ó ń ṣe ìbéèrè púpọ̀ nípa ìwífún nípa ètò náà. Ìṣe yìí sábà máa ń jẹ́ láti kó ìmọ̀ nípa àyíká ètò náà jọ, èyí tí a lè lò láti ṣe àtúnṣe àwọn ìkọlù tó tẹ̀lé e sí àwọn àìlera pàtó ti ètò náà.
- Ṣíṣe Àwọn Ìyípadà Àìlera: Bóyá ohun tó ṣe pàtàkì jùlọ ni pé astroia.exe ni a ṣe láti ṣe àwọn ìbéèrè Windows Management Instrumentation (WMI) láti mọ̀ bóyá ó ń ṣiṣẹ́ láàárín ẹ̀rọ foju (VM). Ìwà yìí jẹ́ ìgbésẹ̀ tó ṣe kedere, tí a ṣe láti yẹra fún wíwá àti ìwádìí láti ọ̀dọ̀ àwọn ògbógi cybersecurity àti àwọn ẹ̀rọ aládàáṣe tí wọ́n sábà máa ń lo VM fún ìwádìí malware.
Awọn ọna pataki keyaways
Àwárí àwọn àpò npm mẹ́wàá wọ̀nyí, pẹ̀lú ọ̀ràn pàtàkì ti djs13-fetcher, jẹ́ àmì ìbẹ̀rẹ̀ ti àpẹẹrẹ kan tí ó ti gbòòrò ju ohun tí ẹnikẹ́ni retí ní oṣù kìíní ọdún 2024 lọ.
Otitọ yii tẹnumọ, paapaa nigba naa, ipa pataki ti Iṣẹ́ Ìkìlọ̀ Àkọ́kọ́ Xygeni. A ṣe é láti ṣàyẹ̀wò àti láti kìlọ̀ nípa àwọn ewu tó lè ṣẹlẹ̀ nínú àwọn npm tuntun ní kété tí a bá tẹ̀ wọ́n jáde, iṣẹ́ wa dúró fún ìgbésẹ̀ pàtàkì nínú àwọn ààbò ààbò ààbò ìkọlù ní àkókò náà, àti pé ọgbọ́n rẹ̀ di ohun tó ṣe pàtàkì bí iye ènìyàn ṣe ń pọ̀ sí i. Nípa fífúnni ní ìwádìí ní ìbẹ̀rẹ̀ àwọn àmì ìtọ́kasí ti ìwà ibi, ṣáájú àkókò standard Àwọn ìlànà, a fún àwọn oníbàárà wa lágbára láti dáàbò bo àwọn ètò ìṣiṣẹ́ kọ̀ǹpútà wọn lọ́wọ́ àwọn ìfàsẹ́yìn malware kí ó tó lè fa ìpalára. Irú ìwádìí yìí ń ṣiṣẹ́ nígbà gbogbo: wo àwọn àwárí tí a ti fìdí múlẹ̀ ní ọ̀sẹ̀ yìí nínú wa Àkójọpọ̀ Kóòdù Ìwà Ìbàjẹ́.
Àwọn àjọ gbọ́dọ̀ kọ́kọ́ ṣe àgbékalẹ̀ àwọn ìlànà ààbò tó lágbára, láti àyẹ̀wò kódì dé àwọn irinṣẹ́ ìwádìí tó gbajúmọ̀, láti dáàbò bo ara wọn lọ́wọ́ àwọn ọgbọ́n tí àwọn ọ̀tá lórí ayélujára ń lò. Xygeni, a si wa commitWọ́n ti ṣe amọ̀nà ogun yìí, wọ́n sì ti fún àwọn alábàáṣiṣẹpọ̀ wa àti àwùjọ ní ìmọ̀ àti irinṣẹ́ tó yẹ láti dènà àwọn ewu búburú wọ̀nyí.
FAQ
Ǹjẹ́ àwọn ìpèsè npm búburú ṣì ń jẹ́ ìṣòro tó ń pọ̀ sí i ní ọdún 2026?
Bẹ́ẹ̀ni, ó ṣe pàtàkì gan-an. Ìfiránṣẹ́ yìí ṣe àkọsílẹ̀ àwọn ìdìpọ̀ npm 10 tí a rí láàárín ọjọ́ mẹ́ta ní oṣù kìíní ọdún 2024. Ìwà ìkà ti Xygeni ti jẹ́rìí sí àwọn ìdìpọ̀ ìkà tí ó tó 100-200+ lọ́sọ̀ọ̀sẹ̀ lórí npm àti PyPI, èyí tí ó jẹ́ ẹ̀rí pé àwọn ọgbọ́n ìyọkúrò àti ìyẹ̀wọ́ tí a ṣàwárí níbí ti pọ̀ sí i gidigidi dípò kí ó pòórá.
Báwo ni mo ṣe le ṣayẹwo boya package npm kan jẹ irira ṣaaju fifi sori ẹrọ rẹ?
Ṣe àyẹ̀wò ìtàn olùtọ́jú náà, ṣàyẹ̀wò ọjọ́ ìtẹ̀jáde àti iye àwọn ohun tí kò ṣeé ṣe láti ìgbàsílẹ̀, kí o sì lo ìwòran aládàáṣe tí ó ń ṣàfihàn àwọn ìlànà ìyọkúrò àti ìwà ìyọ́kúrò, kìí ṣe àwọn ìbáramu CVE tí a mọ̀ nìkan, nítorí pé ọ̀pọ̀lọpọ̀ àwọn ìdìpọ̀ búburú, títí kan gbogbo àwọn 10 tí a sọ̀rọ̀ nípa wọn níbí, jẹ́ tuntun ní àkókò àwárí náà.
Báwo ni mo ṣe le ṣayẹwo boya package npm kan jẹ irira ṣaaju fifi sori ẹrọ rẹ?
Ṣe àyẹ̀wò ìtàn olùtọ́jú náà, ṣàyẹ̀wò ọjọ́ ìtẹ̀jáde àti iye àwọn ohun tí kò ṣeé ṣe láti ìgbàsílẹ̀, kí o sì lo ìwòran aládàáṣe tí ó ń ṣàfihàn àwọn ìlànà ìyọkúrò àti ìwà ìyọ́kúrò, kìí ṣe àwọn ìbáramu CVE tí a mọ̀ nìkan, nítorí pé ọ̀pọ̀lọpọ̀ àwọn ìdìpọ̀ búburú bí àwọn tí ó wà nínú ìròyìn yìí jẹ́ tuntun ní àkókò àwárí.
Ǹjẹ́ wọ́n ṣì ń rí àwọn npm búburú tuntun déédéé?
Bẹ́ẹ̀ni. Xygeni's Àkójọpọ̀ Kóòdù Ìwà Ìbàjẹ́ ń tẹ àwọn ìdìpọ̀ npm àti PyPI oníwà ìkà tí a ṣẹ̀ṣẹ̀ fìdí rẹ̀ múlẹ̀ ní gbogbo ọ̀sọ̀ọ̀sẹ̀; àwọn ọ̀nà ìyọkúrò àti ìyẹ̀wọ́ VM tí a kọ sílẹ̀ nínú ìròyìn ọdún 2024 yìí ṣì wọ́pọ̀ nínú àwọn ìdìpọ̀ tí a ṣàwárí lónìí.
