42 ta GitHub repositoriyasiga zararli testmetest kodi joylandi

JFrog xavfsizlik tadqiqotchilari testmetest kampaniyasi doirasida zararli kodni ishga tushirishga tayyorlangan 42 ta uchinchi tomon GitHub repositoriyalarini aniqladi. Hujumchilar yashirin npm-nashr qiluvchi yuklagichlarini hamda Claude Code, Cursor, Gemini CLI va VS Code uchun avtomatik ishga tushirish buyruqlarini joriy etishgan.

• Taxminan 13 MB hajmdagi yashirin yuklagichlar GitHub qidiruv tizimida ko'rinmaydi va Git daraxtlari hamda obyektlari API'si orqali topilgan.
• Zararli kod qaramliklar o'rnatilishidan oldin ham dasturlash muhiti konfiguratsiyalari orqali ishga tushishi mumkin.
• Tarqatilayotgan npm-chuvalchang maxfiy ma'lumotlarni o'g'irlaydi va GitHub Actions orqali zararli paketlarni avtomatik chop etadi.

Xavf ko'lami va zararlanish xususiyatlari

Bir necha kun oldin SafeDep kompaniyasi ushbu turdagi chuvalchang aniqlangani haqida xabar bergan edi, biroq o'shanda uning faolligi faqat hujumchining test akkauntlarida kuzatilgandi. JFrog topilmalari hujum ko'lami ancha kengligini ko'rsatmoqda. Dasturchilar va tashkilotlar repositoriyalaridagi vositalar konfiguratsiyasida .github/init.js faylini ishga tushirish sozlamalari kiritilgan bo'lib, Claude Code uchun sessiya boshlanishi, VS Code uchun esa papka ochilishi hodisasi ishlatilgan.

Zararli dasturiy ta'minot an'anaviy xavfsizlik tekshiruvlarini chetlab o'tishga mo'ljallangan. Masalan, package.json'da o'rnatish skripti bo'lmasa ham, binding.gyp yordamida yoki postinstall buyrug'i orqali ishga tushish variantlari mavjudligi aniqlandi. Bu esa kodni o'rnatish vaqtida xavfsizlikni kafolatlamasligini ko'rsatadi.

Npm ekotizimiga qilingan hujum mexanizmlari

O'nta turli xil qobiq ortida yagona npm-nashr qiluvchi dastur yashiringani ma'lum bo'ldi. U tokenlarni qidiradi va GitHub Actions orqali ishonchli npm nashr qilish mexanizmini suiiste'mol qiladi. Agar hujumchi ushbu jarayonni o'zgartira olsa, paket kelib chiqishini tekshirishning o'zi yetarli himoya bera olmaydi.

Shu sababli, dasturiy ta'minot ta'minot zanjirini himoya qilish uchun qaramliklarni tekshirish bilan birga ishlab chiqish muhiti va chiqarish jarayonidagi konfiguratsiya o'zgarishlarini ham qattiq nazorat qilish talab etiladi.

Xavfsizlik bo'yicha tavsiyalar

Mutaxassislar repositoriy fayllari daraxtini tekshirib, .github/init.js fayllari va shubhali o'zgarishlar bor-yo'qligini ko'zdan kechirishni tavsiya qilmoqdalar. Shuningdek, workflow tarixi va chore/ci-* turidagi tarmoqlarni diqqat bilan o'rganish muhim hisoblanadi.

Agar npm-chuvalchang topilsa, birinchi navbatda kompyuterni tarmoqdan uzib izolyatsiya qilish, tizimdagi yashirin mexanizmlarni yo'q qilish va shundan so'ng toza tizimdan turib barcha maxfiy kalitlarni o'zgartirish zarur.