Cyfaddawd Gweithfan Datblygwr: Dibyniaeth Faleisus neu Ymateb Estyniad IDE¶

Darganfod bod pecyn meddalwedd ydych newydd osod drwy npm install, pip install, cargo build, gem install, neu go get, neu Gôd Stiwdio Gweledol sydd newydd ei ddiweddaru, Cyrchwr, neu estyniad JetBrains IDE, yn deipsquat maleisus, llwyth tâl dryswch dibyniaeth, neu ryddhad wedi'i herwgipio i fyny'r afon yn cynrychioli argyfwng seilwaith critigol. Yn wahanol i gyfrifiaduron defnyddwyr safonol, mae peiriannydd meddalwedd, pensaer DevOps, neu weithfan gwyddonydd data yn dal allweddi cryptograffig uniongyrchol i amgylcheddau cwmwl cynhyrchu, storfeydd cod ffynhonnell, cofrestrfeydd cynwysyddion, piblinellau CI / CD, a chronfeydd data cwsmeriaid. Pan yn faleisus preinstall neu postinstall sgript y tu mewn package.json, arfog setup.py mewn olwyn Python, neu gyfaddawd .vsix Mae estyniad yn gweithredu ar eich gliniadur, mae'n rhedeg gyda'ch breintiau defnyddiwr llawn ac yn cynaeafu ar unwaith -/.aws/credentials, -/.ssh/id_ed25519, -/.npmrc, -/.pypirc, -/.kube/config, lleol .env ffeiliau, macOS Keychain neu Linux libsecret cofnodion, a chwcis sesiwn porwr gweithredol o fewn eiliadau.

Os sylweddoloch chi eich bod wedi gweithredu dibyniaeth ffynhonnell agored faleisus, wedi clonio ac adeiladu ystorfa ag arfau (fel prosiect cyfweliad technegol ffug gan sgam recriwtiwr), neu osod estyniad IDE trojanized, bob eiliad mae eich peiriant yn aros yn gysylltiedig â'r rhwydwaith yn caniatáu i'r llwyth tâl fynd i'ch cwmwl corfforaethol neu gyhoeddi mwydod hunan-luosogi gan ddefnyddio'ch tocynnau cofrestrfa pecynnau. Os yw'r ymosodiad yn cynnwys cribddeiliaeth, bygythiadau corfforol, neu amhariad difrifol ar seilwaith cyhoeddus, ffoniwch eich rhif argyfwng lleol (911 yn yr Unol Daleithiau a Chanada, 112 ar draws yr Undeb Ewropeaidd, 999 yn y Deyrnas Unedig) neu ymgynghori â'n rhyngwladol rhifau brys cyfeiriadur. Dilynwch y gweithdrefnau cyfyngu, brysbennu fforensig, a chylchdroi allwedd cryptograffig ar unwaith.

Gwnewch hyn nawr¶

1. ** Torrwch yr holl gysylltiadau rhwydwaith ar weithfan y datblygwr ar unwaith (trowch Wi-Fi i ffwrdd, dad-blygiwch Ethernet, a lladdwch dwneli VPN neu SSH gweithredol), ond PEIDIWCH â phweru nac ailgychwyn y peiriant eto**: Mae dad-blygio Ethernet a thoglo Wi-Fi i ffwrdd yn atal cragen wrthdro weithredol, C2 beacon, neu lyngyr awtomataidd rhag defnyddio'ch tocynnau lleol i wthio nwyddau maleisus ychwanegol. Cadwch y peiriant wedi'i bweru ymlaen mewn cyflwr all-lein (neu ei atal dim ond ar ôl dal rhestrau prosesau anweddol) fel y gallwch chi archwilio prosesau plentyn sy'n rhedeg, socedi rhwydwaith agored, hanes cregyn, a pha un yn union .env ac roedd ffeiliau credential yn aros ar ddisg ar adeg eu gweithredu.
2. Defnyddiwch ddyfais lân ar wahân (fel eich ffôn clyfar ar ddata cellog neu liniadur heb ei gyffwrdd) i hysbysu'ch Canolfan Gweithrediadau Diogelwch (SOC) a dirymu eich sesiynau Sign-On Sengl (SSO) a Cloud IAM: Peidiwch byth â mewngofnodi i AWS, GCP, Azure, GitHub, neu Okta o'r weithfan heintiedig i gylchdroi allweddi. Os yw lladrata cof-breswyl, estyniad IDE maleisus, neu fachyn cragen yn gwylio'ch terfynell a'ch porwr, mae unrhyw docyn newydd rydych chi'n ei gynhyrchu ar y peiriant hwnnw'n cael ei ddal ar unwaith.
3. Diddymu a chylchdroi eich tocynnau datblygwr radiws chwyth uchel yn nhrefn blaenoriaeth lem o fewn y 15 munud cyntaf:
4. Blaenoriaeth 1 (Cloud & Kubernetes): Analluogi holl Allweddi Mynediad IAM AWS lleol (AKIA...), dirymu Manylion Rhagosodedig Google Cloud Application (gcloud auth application-default revoke), annilysu tocynnau Azure CLI (az account clear + Diddymu sesiwn Entra ID), a chylchdroi Kubernetes kubeconfig tystysgrifau cleient neu docynnau cyfrif gwasanaeth.
5. Blaenoriaeth 2 (Cod Ffynhonnell a CI/CD): Dileu holl allweddi cyhoeddus GitHub, GitLab, a Bitbucket SSH, Tocynnau Mynediad Personol (ghp_..., github_pat_..., glpat-...), a thocynnau OAuth CLI (-/.config/gh/hosts.yml), ac archwiliwch osodiadau gwehook ystorfa a chyfrinachau GitHub Actions / GitLab CI.
6. Blaenoriaeth 3 (Cofrestrfeydd Pecyn a Chynhwyswyr): Diddymu awtomeiddio npm a chyhoeddi tocynnau (-/.npmrc), tocynnau API PyPI (-/.pypirc), Tocynnau mewngofnodi Docker Hub / GHCR / ECR (-/.docker/config.json), a thocynnau Terraform Cloud (-/.terraform.d/credentials.tfrc.json).
7. Gwiriwch npm, PyPI, Cargo, a GitHub YN AWR i wirio nad oedd y meddalwedd maleisus eisoes yn defnyddio'ch tocynnau lleol i gyhoeddi fersiwn o'ch pecynnau eich hun wedi'i heintio â llyngyr neu i wthio ymrwymiadau maleisus: Llwythi tâl cadwyn gyflenwi modern (fel y ua-parser-js, coa, rc, ctx, lottie-player, a ultralytics cyfaddawdu) dosrannu'n awtomatig datblygwr y dioddefwr -/.npmrc, -/.pypirc, a -/.gitconfig i gyhoeddi ar unwaith fersiynau clwt cefn o bob pecyn ffynhonnell agored neu fewnol y mae'r datblygwr yn ei gynnal, neu greu llifoedd gwaith cudd GitHub Actions yn ystorfeydd y datblygwr.
8. ** Sganiwch bob cyfeiriadur prosiect ar y weithfan i adeiladu rhestr gyflawn o'r rhai sydd wedi'u hamlygu .env ffeiliau, llinynnau cysylltiad cronfa ddata, ac allweddi API cod caled**: Cyn sychu'r weithfan, rhedeg sgript all-lein ar y peiriant ynysig i restru pob un .env, .env.local, terraform.tfstate, a application.yml ffeil ar eich gyriant caled fel y gallwch gylchdroi pob cyfrinach trydydd parti (Stripe, Twilio, SendGrid, OpenAI, Anthropic, Datadog, Slack, Postgres, MongoDB, a Redis) a oedd yn ddarllenadwy gan eich cyfrif defnyddiwr.
9. ** Terfynu pob sesiwn porwr a chysylltiadau waled caledwedd**: Oherwydd bod datblygwr yn peryglu defnyddio infostealers nwyddau yn aml (fel Lumma, RedLine, neu Atomic macOS Stealer) ochr yn ochr â chynaeafwyr credadwy sy'n benodol i'r datblygwr, dilynwch ein herwgipio cwci sesiwn a chanllaw dirymu tocynnau infostealer ac, os ydych yn datblygu Web3 neu'n dal asedau digidol, gweithredu ein waled cryptocurrency draen a hadau canllaw cyfaddawd ymadrodd.

Coeden benderfynu: brysbennu cyfaddawdu cadwyn gyflenwi datblygwr gweithfan¶

Defnyddiwch y llif gwaith ymateb i ddigwyddiad hwn i gynnwys y radiws chwyth ar draws eich amgylchedd datblygiad personol a seilwaith corfforaethol cynhyrchu:

flowchart TD
    Detect["Amau Maleisus npm / PyPI / Pecyn Cargo, Estyniad IDE Trojan, neu Repo Recruiter Ffug Wedi'i Weithredu"] --> Isolate["CAM 1: Datgysylltwch Wi-Fi ac Ethernet Gweithfan ar unwaith (Cadw'r Peiriant Wedi'i Bweru Ymlaen ar gyfer Brysbennu All-lein)"]

    Isolate --> ScopeCheck{"A Digwyddodd Digwyddiad ar Host OS neu Tu Mewn Cynhwysydd Arunig / VM?"}
    ScopeCheck -->|"Gwesteiwr OS (Mac / Linux / Windows / WSL2)"| FullCompromise["Tybiwch fod 100% o'r Cyfeiriadur Cartref (-/.aws, -/.ssh, -/.npmrc, .env, Cwcis Porwr) Wedi'i All-hidlo"]
    ScopeCheck -->|"DevContainer / Dociwr"| MountCheck["Gwiriwch Mowntiau Cyfrol (-v -/.ssh, -v -/.aws, Docker Socket /var/run/docker.sock, neu Host Network)"]
    MountCheck --> FullCompromise

    FullCompromise --> CleanDevice["CAM 2: O Ddychymyg Glân ar Wahân, Rhybudd SOC a Dirymu Cloud IAM, SSO, GitHub/GitLab, a Thocynnau Cofrestrfa"]

    CleanDevice --> WormCheck["CAM 3: Archwilio Ymrwymiadau GitHub, Llifau Gwaith CI/CD, a Fersiynau Cyhoeddedig npm/PyPI ar gyfer Lluosogi Mwydod yn Awtomataidd"]

    WormCheck --> OfflineAudit["CAM 4: Ar Weithfan All-lein, Stocrestr Pob Ffeil .env, Ffeiliau Talaith Terraform, a Drysau Cefn Dyfalbarhad"]

    OfflineAudit --> RotateEnv["CAM 5: Cylchdroi Pob Cyfrinair Cronfa Ddata, Webhook Secret, Allwedd Arwyddo GPG, ac Allwedd API Wedi dod o hyd yn Ffeiliau .env / State"]

    RotateEnv --> RebuildOS["CAM 6: Sychwch y Weithfan trwy Ailosod yr AO Glân -> Gorfodi Allweddi SSH gyda Chymorth Caledwedd, OIDC, a --anwybyddu-sgriptiau"]

Deall sut mae cadwyn gyflenwi datblygwr a fectorau IDE yn gweithredu¶

Mae ymosodiadau modern yn erbyn peirianwyr meddalwedd yn targedu pedwar arwyneb gweithredu gwahanol ar weithfan. Mae nodi pa fector sy'n taro eich peiriant yn dweud wrthych pa freintiau a llwybrau ffeil y mae'r llwyth tâl wedi'u cyrchu:

1. Bachau Cylch Bywyd Pecyn Maleisus (npm, pnpm, yarn, pip, cargo, gem)¶

• ** Node.js (package.json sgriptiau)**: Yn ddiofyn, rhedeg npm install yn gweithredu'n awtomatig unrhyw orchymyn cragen a ddiffinnir yn y "preinstall", "install", neu "postinstall" caeau o package.json, nid yn unig ar gyfer y pecyn lefel uchaf a deipiwyd gennych, ond ar gyfer pob dibyniaeth dros dro yn y goeden. Mae ymosodwyr yn defnyddio typosquatting (e.e., reqeusts, crossenv, lodahs), dryswch dibyniaeth (cyhoeddi pecyn cyhoeddus ar npm neu PyPI gyda'r union un enw a rhif fersiwn uwch, megis 99.99.9, fel pecyn preifat mewnol eich cwmni), neu cymryd drosodd cyfrif cynhaliwr i lithro llinell sengl fel "postinstall": "node index.js" i mewn i becyn.
• Python (setup.py a .pth ffeiliau): Pryd pip yn gosod dosbarthiad ffynhonnell (sdist .tar.gz), mae'n gweithredu setup.py gyda breintiau cyfieithydd Python llawn. Hyd yn oed wrth osod olwynion deuaidd a luniwyd ymlaen llaw (.whl) nad ydynt yn gweithredu setup.py yn ystod y gosodiad, mae ymosodwyr yn cynnwys maleisus .pth (cyfluniad llwybr) ffeiliau gollwng yn uniongyrchol i mewn site-packages/. Unrhyw linell y tu mewn a .pth ffeil yn dechrau gyda import yn cael ei weithredu'n awtomatig gan y cyfieithydd Python bob tro python yn cychwyn ar y system honno.
• Rhwd (build.rs) a Go: Yn Rust, mae Cargo yn casglu ac yn gweithredu'n awtomatig build.rs nid yn unig yn ystod cargo build neu cargo run, ond ar unwaith pan rust-analyzer (y tu mewn i VS Code neu IntelliJ) yn agor ffolder prosiect i fathau mynegeio. Dim ond agor ystorfa Rust wedi'i chlonio yn eich DRhA gyda rust-analyzer galluogi executes cod mympwyol y tu mewn build.rs cyn i chi erioed deipio gorchymyn terfynell.

2. Estyniadau IDE maleisus neu herwgipio (VS Code Marketplace, OpenVSX, JetBrains)¶

• Cod Stiwdio Gweledol, Cyrchwr, Windsurf, ac estyniadau VSCodium (.vsix) rhedeg ym mhrif broses Gwesteiwr Estyniad Node.js ar eich gweithfan gyda dim blwch tywod. Mae gan unrhyw estyniad sydd wedi'i osod fynediad darllen/ysgrifennu llawn i'ch system ffeiliau gyfan, gall silio prosesau plentyn tawel (child_process.exec), yn gallu darllen pob byffer golygydd agored a .env ffeil, a gall bachu eich terfynell integredig.
• Mae actorion bygythiad yn cyhoeddi estyniadau thema ffug yn rheolaidd (Darcula Official), cynorthwywyr codio AI ffug, neu estyniadau linter/Prettier teipio sy'n lawrlwytho infostealer ail gam yn dawel neu gragen wrthdroi'r eiliad y mae'r DRhA yn lansio.

3. Cadwrfeydd Git Wedi'u Arfogi a Gweithredu Auto-Gweithle IDE (Trapiau "Recriwtiwr Ffug / Prawf Mynd Adref")¶

• Grwpiau a noddir gan y wladwriaeth Gogledd Corea (Contagious Interview / Lazarus Group) ac mae actorion bygythiad sy'n canolbwyntio ar cripto yn mynd at ddatblygwyr yn rheolaidd ar LinkedIn, Upwork, neu GitHub gan esgusodi fel recriwtwyr neu CTOs sy'n cynnig rolau anghysbell sy'n talu'n uchel. Maent yn gofyn i'r datblygwr glonio storfa Bitbucket neu GitHub ar gyfer "asesiad dadfygio 15 munud" neu "adolygiad MVP hapchwarae Web3."
• Mae'r storfeydd hyn yn cynnwys trapiau gweithredu cudd sy'n sbarduno naill ai pan gânt eu hagor mewn DRhA neu yn ystod adeiladu:
• .vscode/tasks.json gyda "runOn": "folderOpen": Yn rhedeg sgript cragen cefndir yn awtomatig yr eiliad y byddwch chi'n clicio "Ie, rwy'n ymddiried yn yr awduron" yn VS Code.
• Maleisus .git/hooks/ neu .gitmodules: Manteisio ar ffurfweddiad is-fodiwl Git neu adeiladu sgriptiau (Makefile, webpack.config.js, next.config.js, vite.config.ts) sy'n llwytho llwythi tâl JavaScript rhwystredig (yn aml wedi'u padio â miloedd o leoedd oddi ar y sgrin i'w cuddio yng ngholofn 2,000+) yn galw gweinydd C2 allanol.

Cam 1: Cwblhau Cymhwysedd Datblygwr a Matrics Cylchdro Cyfrinachol¶

Gan ddefnyddio gliniadur eilaidd glân neu ffôn clyfar, gweithiwch yn systematig trwy'r rhestr eiddo datblygwr 12 pwynt hon. Tybiwch fod unrhyw ffeil y gellir ei darllen gan eich cyfrif defnyddiwr OS nad yw'n gwraidd (chmod 600 neu 644 sy'n eiddo i'ch defnyddiwr) ei lanlwytho i weinydd yr ymosodwr o fewn 3 eiliad i gyflawni'r llwyth tâl.

Cam 2: Gwirio am Ledaeniad Mwydod Cadwyn Gyflenwi Awtomataidd (GitHub, CI/CD a Chofrestrfeydd Pecyn)¶

Yn wahanol i malware generig, mae llwythi tâl wedi'u targedu gan ddatblygwyr yn cael eu rhaglennu'n benodol i hunan-ledu ar draws y gadwyn gyflenwi meddalwedd o fewn eiliadau i lanio ar eich gweithfan. Cyn i chi ddychwelyd i lanhau'ch gliniadur, defnyddiwch eich dyfais lân i wirio na ddefnyddiwyd eich manylion adnabod eisoes i heintio'ch tîm na'ch defnyddwyr i lawr yr afon:

1. Archwiliwch eich Storfeydd GitHub / GitLab ar gyfer Drysau Cefn Tawel a Llifau Gwaith Maleisus:
2. Gwiriwch .github/workflows/*.yml ar draws yr holl gadwrfeydd y mae gennych fynediad ysgrifenedig iddynt: mwydod cadwyn gyflenwi diweddar (Shai-Hulud, tj-actions/changed-files cyfaddawdu, a ultralytics campau) yn defnyddio tocynnau datblygwr sydd wedi'u dwyn yn awtomatig i gyflawni llif gwaith maleisus GitHub Actions neu addasu llif gwaith presennol i ddympio ${{ toJSON(secrets) }} (yn allhidlo cyfrinachau defnyddio cynhyrchiad eich sefydliad gan redwyr GitHub Actions).
3. Gwiriwch yr ymrwymiadau diweddar gan awdur a chyflawnwr stamp amser: Cofiwch y gall unrhyw un ffugio enw awdur Git a stamp amser (git commit --date="..." --author="..."). Yn GitHub, archwiliwch y Digwyddiadau Gwthio yn y gadwrfa Golwg gweithgaredd neu sefydliad ** Log Archwilio (repo.push)**, sy'n cofnodi'r gwir stamp amser ochr y gweinydd a'r union docyn dilysu (oauth_application_id neu ssh_key_fingerprint) a wthiodd y cod.
4. Gwirio Bachau Gwe Cadwrfa, Defnyddio Allweddi, a Chydweithwyr: Edrychwch o dan Gosodiadau> Webhooks, Gosodiadau> Defnyddio allweddi, a Gosodiadau> Cydweithwyr a thimau ar eich storfeydd i sicrhau nad oedd yr ymosodwr wedi ychwanegu allwedd defnyddio darllen/ysgrifennu parhaus neu webhook yn pwyntio at weinydd allanol.
5. Archwiliad npm, PyPI, Cargo, a Docker Hub ar gyfer Rhyddhau Pecyn Heb Ganiatâd:
6. Os ydych chi'n gynhaliwr neu'n gydweithiwr ar unrhyw becyn cyhoeddus neu breifat ar npm, PyPI, RubyGems, neu Crates.io, gwiriwch y tab Versions / Release History ar gyfer pob pecyn o dan eich cyfrif.
7. Os yw fersiwn clwt (er enghraifft, 1.4.2 ar ôl eich rhyddhad cyfreithlon diwethaf 1.4.1) wedi'i gyhoeddi o fewn yr amserlen ar gyfer cyfaddawd eich gweithfan, yn anghymeradwyo ar unwaith neu yanciwch y fersiwn honno (npm deprecate <pkg>@<version> "CRITICAL: Compromised version, do not use" neu yank ar PyPI) a chysylltwch â npm Support (security@npmjs.com / Diogelwch GitHub) neu Diogelwch PyPI (security@pypi.org) i gael gwared ar yr arteffact maleisus a fersiynau cwarantin yr effeithiwyd arnynt.
8. Gwiriwch am TruffleHog Cyfrinachol / Alltudiad Clone Git:
9. Mae lladrata cadwyn gyflenwi yn aml yn galw'r API GitHub/GitLab gan ddefnyddio'ch tocyn wedi'i ddwyn i glonio pob ystorfa sefydliadol breifat y mae gennych fynediad iddi a rhedeg sganwyr cyfrinachol awtomataidd (TruffleHog neu Gitleaks) yn erbyn holl hanes ymrwymo eich cwmni. Os yw'ch sefydliad erioed wedi ymrwymo cyfrinach yn ddamweiniol i hanes Git cadwrfa breifat heb ei gylchdroi, cylchdroi'r cyfrinachau hanesyddol hynny nawr.

Cam 3: Brysbennu Fforensig All-lein ar y Weithfan Dan Gyfaddawd¶

Gyda'ch gweithfan ** wedi'i datgysylltu'n llwyr o Wi-Fi ac Ethernet**, agorwch ffenestr derfynell i gyflawni brysbennu all-lein. Mae eich nod yn ddeublyg: (A) lleoli bob .env a ffeil ffurfweddu ar y ddisg fel eich bod yn gwybod pa gyfrinachau i'w cylchdroi, a (B) yn dal tystiolaeth o'r hyn y mae'r pecyn neu'r estyniad maleisus wedi'i gyflawni mewn gwirionedd cyn i chi sychu'r system weithredu.

Cam 1: Stocrestr Pob Amlygiad .env, Allwedd Breifat, a Ffeil y Wladwriaeth ar Eich Disg¶

Rhedeg y gorchymyn darllen-yn-unig hwn ar eich macOS, Linux, neu weithfan WSL2 all-lein i gynhyrchu rhestr wirio gyflawn o bob ffeil leol sy'n cynnwys cyfrinachau y gallai'r malware fod wedi'u darllen:

# Create an offline audit list of all .env files, Terraform states, kubeconfigs, and private keys in your home directory:
find ~ -maxdepth 5 \( \
    -name ".env" -o \
    -name ".env.*" -o \
    -name "*.tfstate" -o \
    -name "*.tfstate.backup" -o \
    -name "*.pem" -o \
    -name "*.key" -o \
    -name "*.p12" -o \
    -name "*.pfx" -o \
    -name "*service-account*.json" -o \
    -name "credentials.json" -o \
    -name ".npmrc" -o \
    -name ".pypirc" -o \
    -name ".netrc" \
\) -not -path "*/node_modules/*" -not -path "*/.git/*" -not -path "*/Library/Caches/*" 2>/dev/null > ~/exposed_secrets_inventory.txt

cat ~/exposed_secrets_inventory.txt

Adolygu -/exposed_secrets_inventory.txt fesul llinell ac agor pob un .env neu .tfstate ffeil all-lein fel y gallwch chi gylchdroi pob allwedd API, cyfrinair cronfa ddata, a chyfrinach webhook a restrir y tu mewn iddynt o'ch dyfais lân.

Cam 2: Archwiliwch yr Hyn a Weithredwyd gan y Pecyn Maleisus neu'r Estyniad IDE¶

Cyn dileu'r ffolder troseddu, archwiliwch yr union lwyth cyflog a gwiriwch ble y gosododd dyfalbarhad ar eich system weithredu:

# 1. Inspect package.json lifecycle scripts in the suspect project and its node_modules:
grep -rnE '"(preinstall|install|postinstall|prepublish|prepare)"' ./package.json ./node_modules/*/package.json ./node_modules/@*/*/package.json 2>/dev/null

# 2. Check Python site-packages for malicious .pth startup hook files:
find . -path "*/site-packages/*.pth" -exec head -n 20 {} + 2>/dev/null

# 3. Inspect recently installed or modified VS Code / Cursor / Windsurf Extensions:
ls -lt ~/.vscode/extensions/ ~/.cursor/extensions/ ~/.windsurf/extensions/ 2>/dev/null | head -n 30

# 4. Check for persistence injected into your Shell RC profiles and Git global hooks:
tail -n 30 ~/.zshrc ~/.bashrc ~/.bash_profile ~/.zprofile ~/.profile 2>/dev/null
git config --global --list | grep -E "core.hooksPath|alias|credential|filter"

Cam 3: Chwilio am Ddyfalbarhad Lefel OS Wedi'i Gollwng gan y Datblygwr Malware (macOS, Linux, a Windows)¶

Mae dibyniaethau maleisus a storfeydd “recriwtio ffug” yn aml yn gollwng asiantau cefndir parhaus sydd wedi'u cuddio fel diweddariadau system, daemonau Node, neu fynegwyr Spotlight:

• Ar Apple macOS:

  # 1. Check user and system LaunchAgents / LaunchDaemons for recently added .plist files:
  ls -laht ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons
  
  # 2. Check active cron jobs and running background node/python/curl/nohup processes:
  crontab -l
  ps aux | grep -iE "node|python|osascript|curl|wget|nc|bash -i|/tmp/|/var/tmp/|Library/Application Support"
  

• Ar Linux / Ubuntu / Fedora / WSL2:

  # 1. Check user systemd services, cron jobs, and SSH authorized_keys:
  ls -la ~/.config/systemd/user/ /etc/systemd/system/
  crontab -l
  cat ~/.ssh/authorized_keys
  
  # 2. Check running processes executing out of /tmp, /dev/shm, or ~/.cache:
  ls -la /proc/*/exe 2>/dev/null | grep -E "/tmp/|/dev/shm/|\.cache|\.local"
  

• Ar Windows (Brodorol neu Weithiwr WSL2):
• Cofiwch y gall sgript npm neu Python maleisus sy'n rhedeg y tu mewn i WSL2 (Is-system Windows ar gyfer Linux) gael mynediad uniongyrchol i'ch gwesteiwr Windows cyfan C:\ gyrru trwy /mnt/c/Users/<username>/ a gall alw powershell.exe neu cmd.exe yn uniongyrchol o'r tu mewn i gragen Linux i heintio Cofrestrfa gwesteiwr Windows (HKCU:\Software\Microsoft\Windows\CurrentVersion\Run), Tasgau wedi'u Trefnu, a Chrome/Edge Cookies cronfeydd data.
• Rhedeg yr archwiliad dyfalbarhad Windows PowerShell llawn yn ein herwgipio cwci sesiwn a chanllaw infostealer a'n malware, ransomware, ac ysbïwedd canllaw heintiau.

Cam 4: Pam Mae'n Rhaid i Chi Sychu ac Ailadeiladu Gweithfan y Datblygwr¶

Hyd yn oed os byddwch yn dod o hyd i'r maleisus ac yn ei ddileu node_modules ffolder, y .vsix estyniad, a thwyllodrus -/Library/LaunchAgents plist, ni ddylech fyth barhau i ddefnyddio gweithfan datblygwr dan fygythiad ar gyfer peirianneg cynhyrchu heb berfformio wipe OS glân ac ailosod.

Mae llwythi tâl soffistigedig wedi'u targedu gan ddatblygwr yn addasu deuaidd cyfreithlon presennol neu ffeiliau ffurfweddu ar eich system nad oes unrhyw sganiwr gwrthfeirws yn nodi eu bod yn faleisus: 1. Deuaidd CLI Lleol Trojanized (git, ssh, sudo, aws, kubectl, docker): Ni all llwyth tâl sy'n rhedeg o dan eich cyfrif defnyddiwr drosysgrifo /usr/bin/ssh heb sudo, felly yn lle hynny mae'n gollwng sgript lapio yn -/.local/bin/ssh,-/bin/git, neu -/bin/sudo ac yn prepends y cyfeiriadur hwnnw i'ch PATH. Y tro nesaf y byddwch yn teipio sudo neu ssh -i ar ôl ailgysylltu â'r rhyngrwyd, mae'r peiriant lapio yn rhyng-gipio'ch cyfrinair neu gyfrinymadrodd yn dawel ac yn ei anfon ymlaen at yr ymosodwr cyn galw'r deuaidd go iawn. 2. Cache Pecyn Lleol Heintiedig (-/.npm/_cacache, -/.cache/pip, -/.cargo/registry, -/Library/Caches/pnpm): Gall meddalwedd faleisus wenwyno tarballau wedi'u storio y tu mewn i'ch storfa rheolwr pecyn lleol fel bod eich rheolwr pecyn yn dadbacio'r tarball drws cefn o'ch storfa leol hyd yn oed pan fyddwch chi'n gosod pecyn glân, cyfreithlon yr wythnos nesaf. 3. ** Ffeiliau Craidd IDE wedi'u Haddasu (workbench.desktop.main.js)**: Mae rhai llwythi tâl Cod VS a Chyrchwr yn clytio'r Electron yn uniongyrchol asar archif neu workbench.desktop.main.js y tu mewn i'r bwndel cais IDE felly mae'r drws cefn yn goroesi gan ddileu pob estyniad.

Dim ond cod ffynhonnell pur wrth gefn (wedi'i wirio trwy git status a git diff ar beiriant glân) a dogfennau personol, yna perfformiwch ** macOS glân Dileu'r Holl Gynnwys a Gosodiadau / Adfer DFU**, gosodiad USB Linux glân, neu osodiad USB glân Windows 11.

Caledu Eich Gweithfan Datblygwr Newydd Yn Erbyn Ymosodiadau ar Gadwyn Gyflenwi yn y Dyfodol¶

Wrth sefydlu eich gweithfan datblygwr sydd newydd ei sychu, amnewidiwch y ffeiliau testun plaen statig yn eich cyfeiriadur cartref gyda llifoedd gwaith â chaledwedd, byrhoedlog, a blwch tywod fel bod dim cyfrinachau statig ar ddisg er mwyn dwyn hyd yn oed os bydd dibyniaeth faleisus yn digwydd yn y dyfodol.

1. Analluogi Gweithredu Sgript Cylch Bywyd Awtomatig mewn Rheolwyr Pecyn¶

Ffurfweddu npm, pnpm, yarn, a pip felly ni all dibyniaethau di-ymddiried weithredu sgriptiau cregyn yn dawel yn ystod y gosodiad: - ** Node.js (npm / yarn / pnpm)**:

# Globally disable automatic preinstall/postinstall script execution in npm:
npm config set ignore-scripts true

# Refuse to run arbitrary setup.py scripts from source distributions (.tar.gz); require binary wheels only:
export PIP_ONLY_BINARY=":all:"

2. Dileu Testun Plaen -/.ssh/id_ed25519, -/.aws/credentials, a .env Ffeiliau o'r Disg¶

• Symud Allweddi SSH i mewn i YubiKey Caledwedd (ed25519-sk) neu Amgaead Diogel / Asiant Biometrig:
• Peidiwch byth â gadael ymadrodd heb ei amgryptio neu heb gyfrinair -/.ssh/id_ed25519 ffeil ar ddisg. Naill ai cynhyrchwch allwedd ** FIDO2 SSH preswyl caledwedd (ssh-keygen -t ed25519-sk -O verify-required)** ar YubiKey corfforol (sy'n gofyn am gyffyrddiad eich bys corfforol ar y cyswllt metel ar gyfer pob git push neu ssh cysylltiad), neu storio eich allweddi SSH y tu mewn i'r 1Password SSH Asiant / Secretive (macOS Secure Enclave) lle nad yw'r allwedd breifat byth yn bodoli fel ffeil yn -/.ssh/ ac mae pob llofnod yn annog Touch ID / Windows Hello.
• ** Amnewid Statig -/.aws/credentials (AKIA...) gyda SSO Byrhoedlog (aws sso login neu aws-vault)**:
• Dileu holl allweddi mynediad defnyddiwr IAM parhaol (AKIA...). Defnyddiwch Canolfan Hunaniaeth IAM AWS (aws sso login) gyda sesiynau byr (1 i 4 awr) neu amlapio manylion y tu mewn aws-vault gyda chefnogaeth macOS Keychain / Rheolwr Credential Windows gydag awgrymiadau biometrig.
• Amnewid Testun Plaen .env Ffeiliau gyda Chwistrelliad Cyfrinachol Runtime (1Password CLI op run, Doppler, neu aws-vault):
• Yn lle storio STRIPE_SECRET_KEY=sk_live_... mewn testun plaen .env ffeil bod unrhyw node_modules gall sgript fs.readFileSync('.env'), storio cyfeiriadau fel STRIPE_SECRET_KEY="op://Dev-Vault/Stripe/secret_key" a lansiwch eich gweinydd dev lleol trwy op run --env-file=".env.template" -- npm run dev ar ôl dilysu gyda Touch ID.
• Defnyddiwch Cyhoeddi Ymddiried (OIDC) yn lle Hirhoedlog -/.npmrc a -/.pypirc Tocynnau:
• Peidiwch byth â chadw tocyn cyhoeddi y tu mewn -/.npmrc neu -/.pypirc ar eich gliniadur. Mae PyPI ac npm (trwy Provenance / OIDC) yn caniatáu ichi gyhoeddi pecynnau yn gyfan gwbl o GitHub Actions / GitLab CI Trusted Publishers gan ddefnyddio tocynnau OpenID Connect (OIDC) byrhoedlog, sy'n golygu nad oes unrhyw docynnau cyhoeddi byth yn bodoli ar liniadur unrhyw gynhaliwr.

3. Ynysu Storfeydd Anymddiried ac Adeiladu Sgriptiau Y Tu Mewn i Gynwysyddion Calededig neu VMs¶

• Peidiwch byth â chlonio a rhedeg "Asesiad Recriwtiwr Mynd Adref", prosiect ffynhonnell agored anghyfarwydd, neu repo bounty yn uniongyrchol ar eich OS gwesteiwr:
• Rhedeg prosiectau anghyfarwydd y tu mewn i GitHub Codespace, VM cwmwl tafladwy, neu Docker DevContainer lleol sydd yn ** NID** yn rhwymo eich cyfeiriadur cartref gwesteiwr (-), yn ** NID** mount /var/run/docker.sock, a dim ond tocyn Git darllen-yn-unig wedi'i gwmpasu y mae'n ei basio os oes angen.
• Archwilio Cod VS / Estyniadau Cyrchwr ac Analluogi Diweddariadau Awtomatig ar gyfer Cyhoeddwyr Heb eu Gwirio:
• Cofiwch fod Cursor, Windsurf, a VSCodium yn tynnu estyniadau o'r ** OpenVSX Registry (open-vsx.org)** yn hytrach na Marchnadfa Stiwdio Weledol swyddogol Microsoft. Dilyswch yr union ofod enw cyhoeddwr a chyfrif gosod cyn gosod unrhyw estyniad, cadwch eich rhestr estyniadau gosod cyn lleied â phosibl, a dadosod estyniadau nad ydych yn eu defnyddio mwyach.

Cwestiynau cyffredin¶

Yn rhedeg npm install --ignore-scripts amddiffyn fi yn llwyr rhag pecyn npm maleisus?¶

Rhedeg npm gosod --ignore-scripts blocio'r fector ymosodiad cadwyn gyflenwi mwyaf cyffredin: gweithredu'n awtomatig rhagosod, gosod, a postinstall gorchmynion cregyn a ddiffinnir y tu mewn pecyn.json ar amser gosod. Fodd bynnag, nid yw'n eich amddiffyn ar ôl i chi weithredu cod JavaScript y pecyn (er enghraifft, pan fyddwch chi'n rhedeg npm rhedeg dev, prawf npm, jest, pecyn gwe, neu vite, neu pan fydd ategyn ESLint/TypeScript eich IDE yn llwytho ategyn maleisus o nod_modiwlau). Gan nad oes gan Node.js system ffeiliau amser rhedeg na blwch tywod rhwydwaith yn ddiofyn, gall unrhyw god a fewnforiwyd yn ystod eich cam adeiladu neu brawf ddal i ddarllen -/.aws a -/.ssh oni bai eich bod yn ynysu'r adeilad y tu mewn i gynhwysydd neu'n defnyddio model caniatâd arbrofol Node (nôd --caniatâd).

Agorais ystorfa amheus yn VS Code gan recriwtwr ar LinkedIn, a chliciais "Ydw, rwy'n ymddiried yn yr awduron" cyn sylweddoli ei fod yn sgam. Wnaeth cod gweithredu hyd yn oed os wyf byth yn rhedeg npm install?¶

Oes, mae'n rhaid i chi gymryd yn ganiataol bod cod mympwyol wedi'i weithredu yr eiliad union y gwnaethoch chi glicio "Ydw, rwy'n ymddiried yn yr awduron." Yn Visual Studio Code a Cursor, mae rhoi Workspace Trust ar unwaith yn caniatáu'r ystorfa .vscode/tasks.json ffeil i redeg tasgau cragen cefndir wedi'u ffurfweddu gyda "runOn": "ffolderAgored", yn caniatáu i fan gwaith gael ei ddiffinio .vscode/settings.json i bwyntio gweinyddwyr iaith (fel Python, TypeScript, ESLint, neu Rust Analyzer) at lwybrau gweithredadwy maleisus y tu mewn i ffolder y gadwrfa, ac yn sbarduno gweithrediad awtomatig adeiladu.rs mewn prosiectau Rust. Datgysylltwch y peiriant o'r rhwydwaith ar unwaith a dilynwch Gam 1 i gylchdroi'r holl gymwysterau.

Pe bai'r pecyn npm neu PyPI maleisus yn rhedeg y tu mewn i gynhwysydd Docker neu DevContainer, a yw gliniadur Mac neu Windows yn ddiogel i'm gwesteiwr?¶

Mae'n dibynnu'n llwyr ar ba fowntiau cyfaint, newidynnau amgylchedd, a socedi a drosglwyddwyd i'r cynhwysydd hwnnw. Templedi DevContainer Safonol a lleol docwr-gyfansoddi.yml mae gosodiadau yn aml yn anfon eich gwesteiwr ymlaen yn awtomatig SSH_AUTH_SOCK (gan ganiatáu i'r malware y tu mewn i'r cynhwysydd ddefnyddio allweddi SSH eich gwesteiwr i gysylltu â gweinyddwyr anghysbell neu wthio i GitHub), bind-mount -/.aws, -/.gitconfig, neu eich gweithle .env ffeiliau, neu gosodwch soced Docker y gwesteiwr (/var/run/docker.sock), sy'n rhoi mynediad gwraidd ar unwaith i'r system weithredu gwesteiwr gyfan. Archwiliwch eich devcontainer.json a archwiliad docwr mowntiau i weld yn union pa adnoddau gwesteiwr a ddatgelwyd y tu mewn i'r cynhwysydd.

Sut alla i wirio a oes gan fersiwn pecyn yr wyf ar fin ei osod sgriptiau gosod cudd neu delemetreg obfuscated cyn ei osod?¶

Cyn gosod pecyn npm, PyPI, Go, neu Rust anghyfarwydd, archwiliwch ef Soced.dev neu Deps.dev (gan Google Open Source Insights), sy'n dadansoddi pob fersiwn yn statig ar gyfer gosod sgriptiau, ceisiadau rhwydwaith, mynediad system ffeiliau,hirgul() Obfuscation, a newidiadau cynnal. Gallwch chi hefyd redeg npm gweld sgriptiau yn eich terfynell i archwilio ei sgriptiau cylch bywyd heb lawrlwytho na gweithredu'r pecyn.

Ffynonellau wedi'u gwirio¶

• Asiantaeth Diogelwch Seiberddiogelwch a Seilwaith (CISA) a'r Asiantaeth Diogelwch Cenedlaethol (NSA) (Unol Daleithiau): Diogelu'r Gadwyn Cyflenwi Meddalwedd: Arferion a Argymhellir ar gyfer Datblygwyr ac Ymateb i Ddibyniaethau Cyfaddawdu.
• Ymgynghorwyr Diogelwch Lab Diogelwch GitHub a npm: * Ymateb i Becynnau npm sydd wedi'u Cyfaddawdu, Maleisus .vscode/tasks.json Trapiau Storfa (Contagious Interview), a Llif Gwaith Camau Gweithredu GitHub Lliniaru Alldafliad Cyfrinachol*.
• Awdurdod Pecynnu Python (PyPA) a Diogelwch PyPI: Trin Olwyn Faleisus .pth Ffeiliau, setup.py Cyflawniad Mympwyol, a Chyhoeddiad Ymddiried (OIDC) Canllawiau Gweithredu.
• Agor Prosiect Diogelwch Cymwysiadau Byd-eang (OWASP): Taflen Twyllo Diogelwch Cadwyn Gyflenwi Meddalwedd a Diogelwch CI/CD Y 10 Risg Uchaf.
• Canolfan Seiberddiogelwch Genedlaethol (NCSC) (Y Deyrnas Unedig): Amddiffyn Amgylcheddau Datblygwyr ac Awyrennau Rheoli Cwmwl Yn Erbyn Cynaeafu Credadwy wedi'i Dargedu.

Canllawiau cysylltiedig¶

• Herwgipio cwci sesiwn, infostealers, a dirymu tocyn
• waled Cryptocurrency draen a hadau cyfaddawd ymadrodd
• Estyniadau porwr maleisus, herwgipwyr clipfwrdd, a thynnu hysbysebion
• Sgamiau cynnig swydd ffug, twyll gwirio offer, a dwyn hunaniaeth ar fwrdd y llong
• Haint malware, ransomware, ac ysbïwedd
• Rhifau brys yn ôl gwlad