Иштеп чыгуучунун жумушчу станциясынын компромисси: Зыяндуу көз карандылык же IDE кеңейтүү жообу¶

Сиз жаңы эле орноткон программалык пакетти табуу npm install, pip install, cargo build, gem install, же go get, же жаңы жаңыртылган Visual Studio Code, Курсор же JetBrains IDE кеңейтүүсү - бул зыяндуу типография, көз карандылыктын башаламандыгынын пайдалуу жүгү же уурдалган жогорку релиз инфраструктуранын өзгөчө кырдаалын билдирет. Стандарттык керектөөчү компьютерлерден айырмаланып, программалык камсыздоо инженери, DevOps архитектору же маалымат таануучу жумушчу станция өндүрүш булут чөйрөсүнө, баштапкы коддун репозиторийлерине, контейнер реестрлерине, CI/CD түтүктөрүнө жана кардарлардын маалымат базаларына түз криптографиялык ачкычтарды ээлейт. Зыяндуу болгондо preinstall же postinstall ичинде скрипт package.json, куралданган setup.py Python дөңгөлөкүндө же бузулган .vsix кеңейтүү ноутбукуңузда ишке ашат, ал сиздин толук колдонуучу артыкчылыктарыңыз менен иштейт жана дароо жыйнайт -/.aws/credentials, -/.ssh/id_ed25519, -/.npmrc, -/.pypirc, -/.kube/config, жергиликтүү .env файлдар, macOS Keychain же Linux libsecret жазуулар жана секунданын ичинде активдүү сеанс кукилери.

Эгер сиз зыяндуу ачык булактан көз карандылыкты ишке ашырганыңызды, клондоштурууну жана куралданган репозиторийди курганыңызды (мисалы, жалдоочунун алдамчылыгынан жасалма техникалык интервью долбоору) же трояндашкан IDE кеңейтүүсүн орнотконуңузду түшүнсөңүз, анда сиздин машинаңыз тармакка туташып турган секунд сайын пайдалуу жүк сиздин корпоративдик булутуңузга бурулууга мүмкүндүк берет же өзүңүздүн профессионалдык пакетиңизди жарыялоо. Эгерде кол салуу опузалап талап кылууну, физикалык коркунучтарды же коомдук инфраструктураны олуттуу бузууну камтыса, жергиликтүү тез жардам номерине чалыңыз (911 Кошмо Штаттарда жана Канадада, 112 Европа Биримдиги боюнча, 999 Улуу Британияда) же биздин эл аралык кеңеш тез жардам номерлери каталог. Бул камтуу, соттук триаж жана криптографиялык ачкычты айландыруу процедураларын дароо аткарыңыз.

Муну азыр кыл¶

1. Иштеп чыгуучунун жумушчу станциясындагы бардык тармак туташуусун дароо үзүңүз (Wi-Fi'ды өчүрүңүз, Ethernetти ажыратыңыз жана активдүү VPN же SSH туннелдерин өчүрүңүз), бирок азырынча машинаны өчүрүп же өчүрүп күйгүзбөңүз: Ethernetти өчүрүү жана Wi-Fi'ды өчүрүү активдүү тескери кабыкчаны, C2 маякты же автоматташтырылган куртту локалдык комплекттерди колдонуудан кошумча pushfilt же pushfilt'ге колдонууну токтотот. чакалар. Машинаны оффлайн режиминде күйгүзүп туруңуз (же туруксуз процесстердин тизмелерин тартып алгандан кийин гана токтотуп коюңуз), сиз иштеп жаткан бала процесстерин, ачык тармак розеткаларын, кабык таржымалын жана так кайсынысын текшере аласыз. .env жана аткаруу учурунда дискте турган эсептик файлдар.
2. Коопсуздук операциялар борборуна (SOC) кабарлоо үчүн өзүнчө, таза түзмөктү (мисалы, уюлдук дайындардагы смартфонуңуз же тийбеген ноутбук) колдонуңуз жана Бир жолу кирүү (SSO) жана Cloud IAM сеанстарыңызды жокко чыгарыңыз: Эч качан AWS, GCP, Azure, GitHub же Октага вирус жуккан жумушчу станциядан кирбеңиз. Эгерде эс тутумдун резиденттик уурулугу, зыяндуу IDE кеңейтүүсү же кабык илгичтери сиздин терминалыңызды жана браузериңизди карап жатса, анда сиз ошол машинада жараткан бардык жаңы токен заматта басып алынат.
3. Биринчи 15 мүнөттүн ичинде жогорку жарылуу радиусу бар иштеп чыгуучунун энбелгилерин жокко чыгарыңыз жана айлантыңыз:
4. Артыкчылык 1 (Булут жана Kubernetes): Бардык жергиликтүү AWS IAM мүмкүндүк ачкычтарын өчүрүү (AKIA...), Google Булут Колдонмонун Демейки Каттамаларын жокко чыгаруу (gcloud auth application-default revoke), Azure CLI токендерин жараксыз кылуу (az account clear + Entra ID сессиясын жокко чыгаруу) жана Kubernetes'ти айлантыңыз kubeconfig кардар тастыктамалары же кызмат эсебинин белгилери.
5. Приоритет 2 (Булак коду жана CI/CD): Бардык GitHub, GitLab жана Bitbucket SSH ачык ачкычтарын, Жеке Жетүү Токендерин жок кылыңыз (ghp_..., github_pat_..., glpat-...) жана OAuth CLI токендери (-/.config/gh/hosts.yml) жана репозиторийдин вебхук жөндөөлөрүн жана GitHub Actions / GitLab CI сырларын текшериңиз.
6. Артыкчылык 3 (Пакет реестрлери жана Контейнерлер): npm автоматизациясын жокко чыгаруу жана токендерди жарыялоо (-/.npmrc), PyPI API токендери (-/.pypirc), Docker Hub / GHCR / ECR кирүү белгилери (-/.docker/config.json) жана Terraform Cloud энбелгилери (-/.terraform.d/credentials.tfrc.json).
7. Зыяндуу программа өз пакеттериңиздин курт жуккан версиясын жарыялоо же зыяндуу аракеттерди жасоо үчүн локалдык энбелгилерди колдонбогонун текшерүү үчүн npm, PyPI, Cargo жана GitHub'ты АЗЫР текшериңиз: Заманбап жеткирүү чынжырчасынын пайдалуу жүктөрү (мисалы, ua-parser-js, coa, rc, ctx, lottie-player, жана ultralytics компромисстер) жабырлануучу иштеп чыгуучунун автоматтык түрдө талдоо -/.npmrc, -/.pypirc, жана -/.gitconfig иштеп чыгуучу кармаган ар бир ачык булактуу же ички пакеттин арткы патч версияларын дароо жарыялоо же иштеп чыгуучунун репозиторийлеринде жашыруун GitHub Actions иш процесстерин түзүү.
8. Ачуулардын толук инвентаризациясын түзүү үчүн жумушчу станциядагы ар бир долбоордун каталогун сканерлеңиз .env файлдар, маалымат базасы туташуу саптары жана катуу коддолгон API ачкычтары: Жумуш станциясын тазалоодон мурун, обочолонгон машинада оффлайн скриптти иштетиңиз .env, .env.local, terraform.tfstate, жана application.yml колдонуучу каттоо эсебиңиз окуй турган ар бир үчүнчү жактын сырын (Stripe, Twilio, SendGrid, OpenAI, Anthropic, Datadog, Slack, Postgres, MongoDB жана Redis эсептик дайындары) айланта аласыз.
9. Бардык серепчи сеанстарын жана аппараттык капчык туташууларын токтотуңуз: Иштеп чыгуучу компромисске учурагандыктан, товардык маалыматты уурдоочуларды (мисалы, Lumma, RedLine же Atomic macOS Stealer) иштеп чыгуучуга тиешелүү идентификациялык маалымат жыйноочулар менен бирге жайгаштырыңыз. сеанс кукилерин уурдоо жана маалымат уурдоочу токенди жокко чыгаруу боюнча колдонмо жана, эгер сиз Web3 иштеп чыксаңыз же санариптик активдерге ээ болсоңуз, анда биздин cryptocurrency капчыгы дренаж жана үрөн фразасы компромисс жол.

Чечим дарагы: иштеп чыгуучунун жумушчу станциясынын жеткирүү чынжырчасынын компромисс триажы¶

Жеке өнүгүү чөйрөңүздүн жана өндүрүштүк корпоративдик инфраструктураңыздагы жарылуу радиусун камтуу үчүн бул окуяга жооп берүү иш процессин колдонуңуз:

flowchart TD
    Detect["Шектүү зыяндуу npm / PyPI / жүк пакети, троянизацияланган IDE кеңейтүүсү же жасалма жалдоочу репо аткарылды"] --> Isolate["1-КАДАМ: Жумуш станциясынын Wi-Fi жана Ethernetти дароо ажыратыңыз (Оффлайн Triage үчүн машинаны күйгүзүп туруңуз)"]

    Isolate --> ScopeCheck{"Аткаруу хост OSде же изоляцияланган контейнерде/VM ичинде болгонбу?"}
    ScopeCheck -->|"Хост OS (Mac / Linux / Windows / WSL2)"| FullCompromise["Үй каталогунун 100%ы (-/.aws, -/.ssh, -/.npmrc, .env, браузердин кукилери) эксфильтрацияланган деп ойлойсуз."]
    ScopeCheck -->|"DevContainer / Docker"| MountCheck["Көлөмдү орнотууларды текшерүү (-v -/.ssh, -v -/.aws, Docker Socket /var/run/docker.sock, же Хост тармагы)"]
    MountCheck --> FullCompromise

    FullCompromise --> CleanDevice["2-КАДАМ: Өзүнчө таза түзмөктөн SOC Alert & Cloud IAM, SSO, GitHub/GitLab жана Реестр Токендерин жокко чыгарыңыз"]

    CleanDevice --> WormCheck["3-КАДАМ: GitHub Commits, CI/CD Workflows жана npm/PyPI жарыяланган версияларын автоматташтырылган курттарды жайылтуу үчүн текшерүү"]

    WormCheck --> OfflineAudit["4-КАДАМ: Оффлайн жумушчу станциясында, Бардык .env файлдарын, Terraform штаттык файлдарын жана Persistence Backdoors'ду инвентаризациялоо"]

    OfflineAudit --> RotateEnv["5-КАДАМ: Ар бир маалымат базасынын сырсөзүн, Webhook сырын, GPG кол коюу ачкычын жана .env/State файлдарында табылган API ачкычын айлантыңыз"]

    RotateEnv --> RebuildOS["6-КАДАМ: Таза OS Кайра орнотуу аркылуу Жумуш станциясын тазалаңыз -> Аппараттык камсыздоо менен колдоого алынган SSH ачкычтарын, OIDC жана --ignore-скрипттерин күчтөндүрүү"]

Иштеп чыгуучунун жеткирүү чынжырчасы жана IDE векторлору кандайча аткарыларын түшүнүү¶

Программалык камсыздоо инженерлерине каршы заманбап чабуулдар жумушчу станциядагы төрт башка аткаруу бетине багытталган. Машинаңызга кайсы вектор тийгенин аныктоо сизге пайдалуу жүк кандай артыкчылыктарга жана файл жолдоруна кирерин айтып берет:

1. Зыяндуу пакеттин жашоо циклинин илгичтери (npm, pnpm, yarn, pip, cargo, gem)¶

• Node.js (package.json скрипттер): Демейки боюнча, иштеп жатат npm install ичинде аныкталган ар кандай кабык буйругун автоматтык түрдө аткарат "preinstall", "install", же "postinstall" талаалары package.json, сиз терген жогорку деңгээлдеги топтом үчүн гана эмес, дарактагы ар бир өтмө көз карандылык үчүн. Чабуулчулар типсиздикти колдонушат (мис., reqeusts, crossenv, lodahs), көз карандылыктын башаламандыгы (коомдук пакетти npm же PyPIде так эле ат менен жана жогорураак версия номери менен жарыялоо, мисалы, 99.99.9, компанияңыздын ички жеке пакети катары) же башкы эсепти басып алуу сыяктуу бир сызыктан өтүү үчүн "postinstall": "node index.js" пакетке.
• Python (setup.py жана .pth файлдар): Качан pip булак бөлүштүрүүнү орнотот (sdist .tar.gz), аткарат setup.py толук Python котормочу артыкчылыктары менен. Алдын ала түзүлгөн бинардык дөңгөлөктөрдү орнотуп жатканда да (.whl) аткарылбайт setup.py орнотуу учурунда, чабуулчулар зыяндуу ** камтыйт.pth (жол конфигурациясы) файлдары** түз түшүп калды site-packages/. ичиндеги каалаган сызык а .pth менен башталган файл import ар бир жолу Python котормочу тарабынан автоматтык түрдө аткарылат python ошол системада иштей баштайт.
• ** Дат (build.rs) жана Go**: Rustто, Cargo автоматтык түрдө компиляциялайт жана аткарат build.rs учурунда гана эмес cargo build же cargo run, бирок ошол замат качан rust-analyzer (VS Code же IntelliJ ичинде) типтерди индекстөө үчүн долбоор папкасын ачат. Жөн гана IDEдеги клондолгон Rust репозиторийин ачуу rust-analyzer иштетилген ичинде каалаган кодду аткарат build.rs терминал буйругун терүүдөн мурун.

2. Зыяндуу же уурдалган IDE кеңейтүүлөрү (VS Code Marketplace, OpenVSX, JetBrains)¶

• Visual Studio Code, Курсор, Виндсерф жана VSCodium кеңейтүүлөрү (.vsix) иш станцияңыздагы негизги Node.js Extension Host процессинде нөл кумбоксинг менен иштетиңиз. Ар бир орнотулган кеңейтүү сиздин бүтүндөй файл тутумуңузга толук окуу/жазуу мүмкүнчүлүгүнө ээ, үнсүз бала процесстерин жаратышы мүмкүн (child_process.exec), ар бир ачык редактор буферин окуй алат жана .env файл жана интеграцияланган терминалыңызды байланыштыра алат.
• Коркунуч актерлору адаттагыдай жасалма тема кеңейтүүлөрүн жарыялоодо (Darcula Official), жасалма AI коддоо жардамчылары же IDE ишке киргенде экинчи этаптагы маалымат уурдагычты же тескери кабыкчаны унчукпай жүктөп ала турган typosquatted linter/Prettier кеңейтүүлөрү.

3. Куралданган Git репозиторийлери жана IDE Workspace автоматтык түрдө аткарылышы ("Файк жалдоочу / үйгө алып баруу" тузактары)¶

• Түндүк Корея мамлекети каржылаган топтор (Contagious Interview / Lazarus Group) жана крипто-багытталган коркунуч актерлору LinkedIn, Upwork же GitHub'да иштеп чыгуучуларга рекрутер же CTO ролун сунуштап, жогорку акы төлөнүүчү алыскы ролдорду сунушташат. Алар иштеп чыгуучудан Bitbucket же GitHub репозиторийлерин "15 мүнөттүк мүчүлүштүктөрдү аныктоо баалоо" же "Web3 оюн MVP карап чыгуу" үчүн клондоону суранышат.
• Бул репозиторийлерде IDEде ачылганда же куруу учурунда ишке ашырылуучу жашыруун аткаруу тузактары бар:
• .vscode/tasks.json менен "runOn": "folderOpen": VS Code ичинде "Ооба, мен авторлорго ишенем" дегенди басканда заматта фон кабыкчасынын сценарийин автоматтык түрдө иштетет.
• ** Зыяндуу .git/hooks/ же .gitmodules**: Git субмодуль конфигурациясын же скрипттерди түзүүнү колдонот (Makefile, webpack.config.js, next.config.js, vite.config.ts) тышкы C2 серверин чакырып, бүдөмүк JavaScript жүктөмдөрүн жүктөйт (көбүнчө 2000+ тилкеде жашыруу үчүн экрандан тышкары миңдеген боштуктар менен толтурулган).

1-фаза: Иштеп чыгуучунун толук маалыматы жана жашыруун ротация матрицасы¶

Таза экинчилик ноутбукту же смартфонду колдонуп, бул 12 пункттан турган иштеп чыгуучунун эсептик маалыматтарынын инвентаризациясы аркылуу системалуу иштеңиз. Каалаган файлды сиздин OS эмес колдонуучу каттоо эсебиңиз окуй алат деп ойлойсуз (chmod 600 же 644 колдонуучуңузга таандык) пайдалуу жүктү аткаргандан кийин 3 секунданын ичинде чабуулчунун серверине жүктөлүп берилди.

2-фаза: Автоматташтырылган камсыздоо чынжырчасынын курттарынын таралышын текшерүү (GitHub, CI/CD жана пакет реестрлери)¶

Жалпы кесепеттүү программалардан айырмаланып, иштеп чыгуучуга багытталган пайдалуу жүктөмдөр жумушчу станцияңызга түшкөндөн кийин бир нече секунданын ичинде программалык камсыздоо чынжырында өзүн-өзү жайылтууга атайын программаланган. Ноутбугуңузду тазалоого кайтуудан мурун, уурдалган эсептик дайындарыңыз сиздин командаңызды же төмөнкү агымдагы колдонуучуларыңызды жуктуруп алуу үчүн колдонулбаганын текшерүү үчүн таза түзмөгүңүздү колдонуңуз:

1. Сиздин GitHub/GitLab репозиторийлериңизди унчукпай турган бэкдорлор жана зыяндуу иш процесстери үчүн текшериңиз:
2. ** Текшерүү .github/workflows/*.yml Жазуу мүмкүнчүлүгүңүз бар бардык репозиторийлерде**: Акыркы жеткирүү чынжыр курттары (Shai-Hulud, tj-actions/changed-files компромисстер жана ultralytics эксплоиттер) зыяндуу GitHub Actions иш процессин жасоо үчүн уурдалган иштеп чыгуучунун энбелгилерин автоматтык түрдө колдонуңуз же бар иш агымын таштанды үчүн өзгөртүңүз ${{ toJSON(secrets) }} (GitHub Actions жөө күлүктөрүнөн уюмуңуздун өндүрүштү жайылтуу сырларын эксфильтрациялоо).
3. Автордун жана аткаруучунун убакыт белгисинин акыркы милдеттенмелерин текшериңиз: Git авторунун атын жана убакыт белгисин ар бир адам жасай алаарын унутпаңыз (git commit --date="..." --author="..."). GitHub'да, репозиторийдеги Аракеттер көрүнүшүндөгү же уюмдагы Push окуяларын текшериңиз Аудит журналы (repo.push), сервер тараптын чыныгы убакыт белгисин жана так аутентификация белгисин (oauth_application_id же ssh_key_fingerprint) бул кодду түрттү.
4. Репозиторийдин веб-куктарын, жайгаштыруу ачкычтарын жана кызматташтарын текшериңиз: Кол салган адам тышкы окуу/жазуу серверине туруктуу ачкычты кошпогонуна ынануу үчүн репозиторийлериңиздеги Орнотуулар > Вебхуктар, Орнотуулар > Ачкычтарды жайгаштыруу жана Орнотуулар > Кызматташуучулар жана командалар астынан караңыз.
5. Audit npm, PyPI, Cargo жана Docker Hub үчүн уруксатсыз пакеттердин чыгарылыштары:
6. Эгер сиз npm, PyPI, RubyGems же Crates.io дарегиндеги коомдук же жеке пакетте тейлөөчү же өнөктөш болсоңуз, каттоо эсебиңиздин астындагы ар бир топтом үчүн Версиялар / Чыгаруу Таржымалы өтмөгүн текшериңиз.
7. Эгерде патч версиясы (мисалы, 1.4.2 акыркы мыйзамдуу бошотулгандан кийин 1.4.1) сиздин жумушчу станцияңыз бузулган мөөнөттө жарыяланган, ошол версияны дароо жокко чыгарыңыз же жокко чыгарыңыз (npm deprecate <pkg>@<version> "CRITICAL: Compromised version, do not use" же PyPIге кайрылыңыз) жана npm Колдоо менен байланышыңыз (security@npmjs.com / GitHub Коопсуздук) же PyPI Коопсуздук (security@pypi.org) зыяндуу артефактты алып салуу жана таасир эткен версияларды карантинге салуу.
8. Secret TruffleHog / Git Clone Exfiltration-ды текшериңиз:
9. Жеткирүү чынжырчасын уурдагандар GitHub/GitLab API'ге тез-тез чалып, сиз кире алган ар бир жеке уюштуруу репозиторийлерин клондоо жана автоматташтырылган жашыруун сканерлерди иштетүү үчүн уурдалган энбелгиңизди колдонушат.TruffleHog же Gitleaks) сиздин компанияңыздын бүтүндөй милдеттенме тарыхына каршы. Эгер сиздин уюм кокустан купуя репозиторийдин Git тарыхына сырды айлантпастан киргизип алса, ал тарыхый сырларды азыр айлантыңыз.

3-фаза: бузулган жумушчу станциядагы оффлайндык соттук экспертиза¶

Жумуш станцияңыз Wi-Fi жана Ethernet'тен толук ажыратылган менен, оффлайн режиминде триажды аткаруу үчүн терминал терезесин ачыңыз. Максатыңыз эки: (A) ар бир жерди табыңыз .env жана дисктеги конфигурация файлын орнотуңуз, ошондо сиз кайсы сырларды айландырууну билесиз жана (B) операциялык тутумду тазалаганга чейин зыяндуу пакет же кеңейтүү иш жүзүндө кандай аткарылганын далилдеп аласыз.

1-кадам: Ар бир ачылган инвентаризация .env, Жеке ачкыч жана Дискиңиздеги мамлекеттик файл¶

Кесепеттүү программа окуй алган сырларды камтыган ар бир локалдык файлдын толук текшерүү тизмесин түзүү үчүн оффлайн MacOS, Linux же WSL2 иш станцияңызда окуу үчүн гана буйрукту иштетиңиз:

# Create an offline audit list of all .env files, Terraform states, kubeconfigs, and private keys in your home directory:
find ~ -maxdepth 5 \( \
    -name ".env" -o \
    -name ".env.*" -o \
    -name "*.tfstate" -o \
    -name "*.tfstate.backup" -o \
    -name "*.pem" -o \
    -name "*.key" -o \
    -name "*.p12" -o \
    -name "*.pfx" -o \
    -name "*service-account*.json" -o \
    -name "credentials.json" -o \
    -name ".npmrc" -o \
    -name ".pypirc" -o \
    -name ".netrc" \
\) -not -path "*/node_modules/*" -not -path "*/.git/*" -not -path "*/Library/Caches/*" 2>/dev/null > ~/exposed_secrets_inventory.txt

cat ~/exposed_secrets_inventory.txt

карап чыгуу -/exposed_secrets_inventory.txt сап-сап жана ар бирин ачыңыз .env же .tfstate Файлды оффлайн режиминде сактаңыз, андыктан ар бир API ачкычын, маалымат базасынын сырсөзүн жана алардын ичинде тизмеленген вебхук сырын таза түзмөгүңүздөн айланта аласыз.

2-кадам: Зыяндуу пакет же IDE кеңейтүүсү аткарылганын текшериңиз¶

Бузуучу папканы жок кылуудан мурун, так пайдалуу жүктү текшерип, анын операциялык тутумуңузда туруктуулугун кайда орноткондугун текшериңиз:

# 1. Inspect package.json lifecycle scripts in the suspect project and its node_modules:
grep -rnE '"(preinstall|install|postinstall|prepublish|prepare)"' ./package.json ./node_modules/*/package.json ./node_modules/@*/*/package.json 2>/dev/null

# 2. Check Python site-packages for malicious .pth startup hook files:
find . -path "*/site-packages/*.pth" -exec head -n 20 {} + 2>/dev/null

# 3. Inspect recently installed or modified VS Code / Cursor / Windsurf Extensions:
ls -lt ~/.vscode/extensions/ ~/.cursor/extensions/ ~/.windsurf/extensions/ 2>/dev/null | head -n 30

# 4. Check for persistence injected into your Shell RC profiles and Git global hooks:
tail -n 30 ~/.zshrc ~/.bashrc ~/.bash_profile ~/.zprofile ~/.profile 2>/dev/null
git config --global --list | grep -E "core.hooksPath|alias|credential|filter"

3-кадам: Иштеп чыгуучунун кесепеттүү программасы (macOS, Linux жана Windows) түшүргөн OS деңгээлиндеги туруктуулукту издөө¶

Зыяндуу көз карандылыктар жана "жалган жалдоочу" репозиторийлери системаны жаңырткычтар, түйүн демондору же Spotlight индекстери катары жамынган туруктуу фондо агенттерди тез-тез таштап салышат:

• Apple macOS'то:

  # 1. Check user and system LaunchAgents / LaunchDaemons for recently added .plist files:
  ls -laht ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons
  
  # 2. Check active cron jobs and running background node/python/curl/nohup processes:
  crontab -l
  ps aux | grep -iE "node|python|osascript|curl|wget|nc|bash -i|/tmp/|/var/tmp/|Library/Application Support"
  

• Linux / Ubuntu / Fedora / WSL2 боюнча:

  # 1. Check user systemd services, cron jobs, and SSH authorized_keys:
  ls -la ~/.config/systemd/user/ /etc/systemd/system/
  crontab -l
  cat ~/.ssh/authorized_keys
  
  # 2. Check running processes executing out of /tmp, /dev/shm, or ~/.cache:
  ls -la /proc/*/exe 2>/dev/null | grep -E "/tmp/|/dev/shm/|\.cache|\.local"
  

• Windows'та (WSL2нин түпнуска же хосту):
• WSL2 (Linux үчүн Windows Subsystem) ичинде иштеген зыяндуу npm же Python скрипти бүт Windows хостуңузга түздөн-түз кире аларын унутпаңыз. C:\ ** аркылуу айдоо/mnt/c/Users/<username>/** жана чакыра алат powershell.exe же cmd.exe түздөн-түз Linux кабыкчасынын ичинен Windows хост реестрин (HKCU:\Software\Microsoft\Windows\CurrentVersion\Run), Пландаштырылган тапшырмалар жана Chrome/Edge Cookies маалымат базалары.
• Толук Windows PowerShell туруктуулугун текшерүү биздин сеанс кукилерди уурдоо жана маалымат уурдоочу жол жана биздин кесепеттүү программа, ransomware жана шпиондук программаны жугузуу боюнча колдонмо.

4-фаза: Эмне үчүн Иштеп чыгуучунун жумушчу станциясын тазалап, кайра курушуңуз керек¶

Зыяндууларды таап, жок кылсаңыз да node_modules папка, .vsix узартуу жана алдамчы -/Library/LaunchAgents plist, сиз эч качан өндүрүштүк инженерия үчүн бузулган иштеп чыгуучунун жумушчу станциясын таза OS тазалап жана кайра орнотпостон колдонууну уланта бербешиңиз керек.

Татаал иштеп чыгуучуга багытталган пайдалуу жүктөмдөр тутумуңуздагы бар мыйзамдуу бинардык файлдарды же конфигурация файлдарын өзгөртөт, эч бир антивирус сканери зыяндуу деп белгилебейт: 1. Троянизацияланган Local CLI Binaries (git, ssh, sudo, aws, kubectl, docker): Колдонуучу эсебиңиздин астында иштеген пайдалуу жүктү кайра жаза албайт /usr/bin/ssh жок sudo, ошондуктан анын ордуна ал ** дарегине орогуч скрипти түшүрөт-/.local/bin/ssh**, -/bin/git, же -/bin/sudo жана ошол каталогду сиздин каталогуңуздун алдына коёт PATH. Кийинки жолу тергениңизде sudo же ssh -i Интернетке кайра туташкандан кийин, орогуч сиздин сырсөзүңүздү же купуя сөз айкашыңызды үнсүз кармап, чыныгы экиликти чакырганга чейин аны чабуулчуга жөнөтөт. 2. Инфекцияланган жергиликтүү пакет кэштери (-/.npm/_cacache, -/.cache/pip, -/.cargo/registry, -/Library/Caches/pnpm): Кесепеттүү программа сиздин жергиликтүү пакет башкаруучу кэшиңиздеги кэштелген tarball'дарды ууландырышы мүмкүн, андыктан сиз кийинки аптада таза, мыйзамдуу пакетти орнотконуңузда да, пакет менеджериңиз локалдык кэшиңизден арткы тарболду бошотот. 3. Модификацияланган IDE негизги файлдары (workbench.desktop.main.js): Кээ бир VS коддору жана курсордун пайдалуу жүктөрү түздөн-түз Электронду түзүшөт asar архив же workbench.desktop.main.js IDE тиркеме пакетинин ичинде, бардык кеңейтүүлөрдү алып салуу менен арткы эшик аман калат.

Таза баштапкы коддун гана камдык көчүрмөсүн сактоо (текшерүү аркылуу git status жана git diff таза машинада) жана жеке документтер, андан кийин таза macOS Бардык Мазмунду жана Орнотууларды өчүрүү / DFU Калыбына келтирүү, таза Linux USB орнотуу же таза Windows 11 USB орнотуу аткарыңыз.

Жаңы Иштеп чыгуучу жумушчу станцияңызды келечектеги жеткирүү чынжырчасынын чабуулдарына каршы күчөтүү¶

Жаңы тазаланган иштеп чыгуучунун жумушчу станцияңызды орнотуп жатканда, үй каталогуңуздагы статикалык ачык текст файлдарын аппараттык камсыздоо менен камсыздалган, эфемердик жана кумкоргон иш процесстери менен алмаштырыңыз, андыктан зыяндуу көз карандылык келечекте ишке ашса да, дискте аны уурдашы үчүн нөл статикалык сырлар болот:

1. Пакет менеджерлеринде автоматтык жашоо циклинин скриптинин аткарылышын өчүрүү¶

Конфигурациялоо npm, pnpm, yarn, жана pip ошондуктан ишенимсиз көз карандылыктар орнотуу учурунда кабык скрипттерин унчукпай аткара албайт: - Node.js (npm / yarn / pnpm):

# Globally disable automatic preinstall/postinstall script execution in npm:
npm config set ignore-scripts true

# Refuse to run arbitrary setup.py scripts from source distributions (.tar.gz); require binary wheels only:
export PIP_ONLY_BINARY=":all:"

2. Ачык текстти жок кылуу -/.ssh/id_ed25519, -/.aws/credentials, жана .env Дисктен файлдар¶

• ** SSH ачкычтарын аппараттык YubiKeyге жылдырыңыз (ed25519-sk) же Кооптуу Анклав / Биометрикалык Агент**:
• Эч качан шифрленбеген же купуя сөз айкашын калтырбаңыз -/.ssh/id_ed25519 дисктеги файл. Же аппараттык-резиденттик FIDO2 SSH ачкычын түзүңүз (ssh-keygen -t ed25519-sk -O verify-required) физикалык YubiKey'де (ал үчүн ар бир жолу металл контактына физикалык манжаңыз тийүүнү талап кылат git push же ssh байланыш) же SSH ачкычтарыңызды 1Password SSH Agent / Secretive (macOS Secure Enclave) ичинде сактаңыз, мында жеке ачкыч эч качан файл катары жок -/.ssh/ жана ар бир кол Touch ID / Windows Hello үчүн сунуш кылат.
• Статикти алмаштырыңыз -/.aws/credentials (AKIA...) Кыска мөөнөттүү SSO менен (aws sso login же aws-vault):
• Бардык туруктуу IAM колдонуучу кирүү ачкычтарын жок кылуу (AKIA...). AWS IAM идентификация борборун колдонуңуз (aws sso login) кыска сессия узактыгы менен (1ден 4 саатка чейин) же эсептик дайындарды ичине ороп коюңуз aws-vault биометрикалык сунуштары бар macOS Keychain / Windows Credential Manager тарабынан колдоого алынган.
• Ачык текстти алмаштыруу .env Runtime Secret Injection менен файлдар (1Password CLI op run, Doppler, же aws-vault):
• сактоонун ордуна STRIPE_SECRET_KEY=sk_live_... ачык текстте .env каалаган файл node_modules скрипт болот fs.readFileSync('.env'), дүкөн шилтемелери сыяктуу STRIPE_SECRET_KEY="op://Dev-Vault/Stripe/secret_key" жана жергиликтүү иштеп чыгуу сервериңизди ** аркылуу ишке киргизиңизop run --env-file=".env.template" -- npm run dev** Touch ID менен аутентификациядан кийин.
• Узак жашоонун ордуна Trusted Publishing (OIDC) колдонуңуз -/.npmrc жана -/.pypirc Токендер:
• Эч качан жарыялоого жөндөмдүү токенди ичинде сактабаңыз -/.npmrc же -/.pypirc ноутбукуңузда. PyPI жана npm (Provenance / OIDC аркылуу) экөө тең кыска мөөнөттүү OpenID Connect (OIDC) энбелгилерин колдонуп, обочолонгон GitHub Actions / GitLab CI Trusted Publishers пакеттеринен гана пакеттерди жарыялоого мүмкүндүк берет, башкача айтканда, нөлдүк басып чыгаруучу токендер бардык ноутбуктарда бар.

3. Ишенимсиз репозиторийлерди изоляциялаңыз жана катууланган DevContainers же VM ичинде скрипттерди түзүңүз¶

• Эч качан "Рекрутер үйгө алып баруучу баалоону", бейтааныш ачык булактуу долбоорду же түздөн-түз башкы OS түзмөгүңүздө сыйлык репосун клондоп, иштетпеңиз:
• GitHub Codespace, бир жолу колдонулуучу булут VM же жергиликтүү Docker DevContainer ичинде бейтааныш долбоорлорду иштетиңиз, бул сиздин хостуңуздун үй каталогун БАЙТАБАЙТ (-), ЭМЕС орнотпойт /var/run/docker.sock, жана зарыл болсо, масштабдуу, окуу үчүн гана Git энбелгисин өткөрөт.
• VS кодун/курсордун кеңейтүүлөрүн текшериңиз жана текшерилбеген жарыялоочулар үчүн автоматтык жаңыртууларды өчүрүңүз:
• Курсор, Виндсерф жана VSCodium кеңейтүүлөрүн OpenVSX реестринен (open-vsx.org) Microsoftтун расмий Visual Studio Marketplace ордуна. Кандайдыр бир кеңейтүүнү орнотуудан мурун так жарыялоочунун атын текшериңиз жана орнотуулардын санын текшериңиз, орнотулган кеңейтүү тизмеңизди минималдуу сактаңыз жана жигердүү колдонбой калган кеңейтүүлөрдү алып салыңыз.

Көп берилүүчү суроолор¶

Чуркап жүрөт npm install --ignore-scripts мени зыяндуу npm пакетинен толугу менен коргойбу?¶

чуркоо npm орнотуу --ignore-скрипттерди эң кеңири таралган жеткирүү чынжырчасынын чабуул векторун блоктот: автоматтык түрдө аткарылышы алдын ала орнотуу, орнотуу, жана пост орнотуу ичинде аныкталган shell буйруктары package.json орнотуу убагында. Бирок, пакеттин JavaScript кодун иш жүзүндө аткаргандан кийин, ал сизди коргобойт (мисалы, сиз иштеткенде npm run dev, npm тести, тамаша, веб-пакет, же vite, же сиздин IDE ESLint/TypeScript плагини зыяндуу плагинди жүктөгөндө node_modules). Node.js файлында демейки боюнча иштөө убактысынын файл тутуму же тармактык кум чөйрөсү жок болгондуктан, куруу же сыноо кадамыңызда импорттолгон бардык код дагы деле окуй берет -/.aws жана -/.ssh Эгер сиз контейнердин ичиндеги конструкцияны бөлүп албасаңыз же Node'дун эксперименталдык уруксат моделин колдонбосоңуз (түйүн - уруксат).

Мен LinkedIn'де жалдоочудан VS Code'де шектүү репозиторий ачтым жана бул алдамчылык экенин түшүнө электе "Ооба, мен авторлорго ишенем" дегенди чыкылдаттым. Мен эч качан чуркабасам да кодду аткардымбы npm install?¶

Ооба, сиз "Ооба, мен авторлорго ишенем" дегенди басканыңызда эле каалаган код аткарылды деп ойлошуңуз керек. Visual Studio Code жана Курсордо Workspace Trust берүү дароо репозиторийге мүмкүндүк берет .vscode/tasks.json менен конфигурацияланган фондук кабык тапшырмаларын иштетүү үчүн файл "runOn": "folderOpen", иш мейкиндигин аныктоого мүмкүндүк берет .vscode/settings.json тил серверлерин (мисалы, Python, TypeScript, ESLint же Rust Analyzer) репозиторий папкасынын ичиндеги зыяндуу аткарылуучу жолдорго багыттайт жана build.rs Rust долбоорлорунда. Машинаны тармактан дароо ажыратып, бардык эсептик дайындарды айлантуу үчүн 1-фазаны аткарыңыз.

Эгерде зыяндуу npm же PyPI пакети Docker контейнеринин же DevContainerдин ичинде иштесе, менин хост Mac же Windows ноутбукум коопсузбу?¶

Бул толугу менен ошол контейнерге кандай көлөм орнотуулары, чөйрө өзгөрмөлөрү жана розеткалар өткөнүнө көз каранды. Стандарттык DevContainer үлгүлөрү жана жергиликтүү docker-compose.yml орнотуулар көбүнчө хостуңузга автоматтык түрдө багытталат SSH_AUTH_SOCK (контейнердин ичиндеги кесепеттүү программага алыскы серверлерге туташуу же GitHub'ка түртүү үчүн хостуңуздун SSH ачкычтарын колдонууга уруксат берүү), bind-mount -/.aws, -/.gitconfig, же жумуш аймагыңыз .env файлдарды орнотуңуз же хосттун Docker розеткасын орнотуңуз (/var/run/docker.sock), ал бүт хост операциялык тутумуна заматта тамыр мүмкүнчүлүгүн берет. Сиздин текшерүү devcontainer.json жана докер текшерүү контейнердин ичинде кайсы хост ресурстары ачыкка чыкканын так көрүү үчүн орнотулган.

Мен орноткон пакет версиясында орнотуудан мурун жашыруун орнотуу скрипттери же бүдөмүк телеметрия бар-жогун кантип текшере алам?¶

Бейтааныш npm, PyPI, Go же Rust пакетин орнотуудан мурун аны текшериңиз Socket.dev же Deps.dev (Google Open Source Insights тарабынан)орнотуу скрипттери, тармак суроо-талаптары, файл тутумуна кирүү үчүн ар бир версияны статикалык жактан талдайт,eval() башаламандык жана тейлөөчү өзгөрүүлөр. Сиз чуркай аласыз npm көрүү <пакет> скрипттери пакетти жүктөөсүз же аткарбастан анын өмүр циклинин скрипттерин текшерүү үчүн терминалыңызда.

Булактар текшерилди¶

• Киберкоопсуздук жана инфраструктуралык коопсуздук агенттиги (CISA) & Улуттук коопсуздук агенттиги (NSA) (Америка Кошмо Штаттары): Программалык камсыздоо чынжырын коргоо: Иштеп чыгуучулар үчүн сунушталган практикалар жана бузулган көз карандылыктарга жооп берүү.
• GitHub коопсуздук лабораториясы жана npm коопсуздук кеңештери: * Бузулган npm пакеттерине жооп берүү, зыяндуу .vscode/tasks.json Репозиторий капкандары (Contagious Interview) жана GitHub Actions Workflow Secret Exfiltration Mitigations*.
• Python Packaging Authority (PyPA) & PyPI коопсуздугу: * Зыяндуу дөңгөлөк менен иштөө .pth Файлдар, setup.py Өзүм билемдик менен аткаруу жана ишенимдүү жарыялоо (OIDC) Ишке ашыруу боюнча керсетмелер*.
• Open Worldwide Application Security Project (OWASP): Software Supply Chain Security Cheat Sheet & CI/CD Security Top 10 Risks.
• Улуттук кибер коопсуздук борбору (NCSC) (Улуу Британия): Иштеп чыгуучунун чөйрөсүн жана булутту башкаруу учактарын максаттуу эсептик маалыматтарды чогултууга каршы коргоо.

Тиешелүү гиддер¶

• Сеанс кукилерин уурдоо, маалымат уурдоочулар жана токендерди жокко чыгаруу
• Cryptocurrency капчыгы дренаж жана үрөн фразасы компромисс
• Зыяндуу браузер кеңейтүүлөрү, алмашуу буферин уурдоочулар жана жарнамалык программаларды жок кылуу
• Жасалма жумуш сунушу боюнча алдамчылыктар, жабдууларды текшерүү боюнча алдамчылык жана борттогу инсандык уурдоо
• Кесепеттүү программа, ransomware жана шпиондук программа инфекциясы
• Өлкөлөр боюнча шашылыш номерлер