muad-dib

التثبيت | الاستخدام | الميزات | VS Code | CI/CD

النسخة الفرنسية

لماذا MUAD'DIB؟

هجمات سلسلة التوريد لـ npm و PyPI تتفاقم. اخترق Shai-Hulud أكثر من 25 ألف مستودع في 2025. الأدوات الحالية تكتشف التهديدات ولكن لا تساعدك على الاستجابة.

يجمع MUAD'DIB بين 22 ماسحًا متوازيًا (277 قاعدة كشف)، محرك إزالة التعتيم، تحليل تدفق البيانات بين الوحدات، التسجيل المركب (21 قاعدة مركبة)، و صندوق رمل gVisor/Docker لكشف التهديدات المعروفة والأنماط السلوكية المشبوهة في حزم npm و PyPI. يوجد مصنف XGBoost في قاعدة الكود ولكنه غير نشط حاليًا (انظر التقييم).

الموقع

MUAD'DIB هو ماسح سلسلة توريد مجاني، مفتوح، وقابل للتدقيق بالكامل لـ npm و PyPI. يكتشف التهديدات المعروفة (أكثر من 225,000 مؤشر IOC)، تنفيذ الأوامر وقت التثبيت (RCE)، تدفقات سرقة بيانات الاعتماد ثم تسريبها، الحمولات المُعمّاة، وغيرها من الأنماط السلوكية المشبوهة — محليًا، دون أي تتبع عن بعد.

مرخص بموجب AGPL-3.0؛ يتوفر ترخيص تجاري للمؤسسات التي تحتاج إلى تضمينه في منتج مملوك أو تشغيله كخدمة مستضافة مغلقة (انظر الترخيص).

إنه لا يحاول عمدًا فعل كل شيء — انظر النطاق لمعرفة ما يكتشفه بالضبط وما لا يكتشفه.

النطاق

يكتشف (npm & PyPI): الحزم المعروفة بالخبيثة (تطابق اسم + SHA256 IOC)، الانتحال الكتابي (typosquats)، تنفيذ الأوامر وقت التثبيت (خطافات دورة الحياة preinstall/postinstall، curl | sh، وقت استيراد Python، binding.gyp)، قراءة بيانات الاعتماد ثم تسريبها عبر الشبكة (داخل ملف وعبر ملفات)، الحمولات المُعمّاة / عالية الإنتروبيا / محمل الواجهة (stub-loader)، مُسقطات الملفات الثنائية (chmod +x + exec/spawn)، وعلامات التهرب من التحليل.

خارج النطاق: هجمات المتصفح فقط (DOM/window، بدون واجهة Node.js API)، محتوى الملفات الثنائية الأصلية / WASM (لا تحليل ثنائي)، الحزم غير المعروفة ذات الصِفر يوم (خلاصة IOC تفاعلية)، والنظم البيئية غير npm/PyPI (RubyGems، Maven، Go). يعتبر التحديد الدقيق لصندوق الرمل المضاد والحمولات البعيدة متعددة المراحل من مخاطر النتائج السلبية الكاذبة المعروفة. التفاصيل الكاملة: نموذج التهديد.

لا تتبع عن بعد. الكود ونتائج المسح لا تغادر جهازك أبدًا — MUAD'DIB فقط ينزّل خلاصات معلومات التهديد (muaddib update) وللتسجيل، يقرأ بيانات وصفية من سجل npm العام. تنبيهات Webhook اختيارية.

التثبيت

npm (موصى به)

npm install -g muaddib-scanner

من المصدر

git clone https://github.com/DNSZLSK/muad-dib
cd muad-dib
npm install
npm link

الاستخدام

مسح أساسي

muaddib scan .
muaddib scan /path/to/project

يمسح كلاً من تبعيات npm (package.json, node_modules) و Python (requirements.txt, setup.py, pyproject.toml).

الوضع التفاعلي

muaddib

التثبيت الآمن

muaddib install <package>
muaddib install lodash axios --save-dev
muaddib install suspicious-pkg --force    # التثبيت القسري رغم التهديدات

يمسح الحزم بحثًا عن التهديدات قبل التثبيت. يمنع الحزم الخبيثة المعروفة.

درجة المخاطرة

كل مسح يعرض درجة مخاطرة من 0 إلى 100:

[SCORE] 58/100 [***********---------] HIGH

وضع الشرح

muaddib scan . --explain

يعرض معرف القاعدة، تقنية MITRE ATT&CK، المراجع، وسيناريو الاستجابة لكل كشف.

التصدير

muaddib scan . --json > results.json     # JSON
muaddib scan . --html report.html        # HTML
muaddib scan . --sarif results.sarif     # SARIF (أمان GitHub)

عتبة الشدة

muaddib scan . --fail-on critical  # الفشل فقط عند CRITICAL
muaddib scan . --fail-on high      # الفشل عند HIGH و CRITICAL (الافتراضي)

وضع الشك (البارانويا)

muaddib scan . --paranoid

كشف فائق الصرامة مع تحمل أقل. يكتشف أي وصول إلى الشبكة، تنفيذ عمليات فرعية، تقييم كود ديناميكي، والوصول إلى الملفات الحساسة.

تنبيهات Webhook

muaddib scan . --webhook "https://discord.com/api/webhooks/..."

تصفية صارمة (v2.1.2): تنبيهات فقط لتطابقات IOC، تهديدات مؤكدة بصندوق الرمل، أو تسريب رمز الكناري (canary token). فرز أولوية (v2.10.21): P1 (أحمر، IOC/صندوق رمل/كناري)، P2 (برتقالي، درجة عالية/مركبات)، P3 (أصفر، الباقي).

كشف الشذوذ السلوكي (v2.0)

muaddib scan . --temporal-full     # جميع الميزات الزمنية الأربعة
muaddib scan . --temporal          # كشف البرامج النصية المفاجئة لدورة الحياة
muaddib scan . --temporal-ast      # فرق AST بين الإصدارات
muaddib scan . --temporal-publish  # شذوذ تردد النشر
muaddib scan . --temporal-maintainer # كشف تغيير المشرف

يكتشف هجمات سلسلة التوريد قبل ظهورها في قواعد بيانات IOC من خلال تحليل التغييرات بين إصدارات الحزم. انظر منهجية التقييم للتفاصيل.

صندوق رمل Docker

muaddib sandbox <package-name>
muaddib sandbox <package-name> --strict

تحليل ديناميكي في حاوية Docker معزولة: strace, tcpdump, فرق نظام الملفات، رموز الكناري، بيئة مدركة لـ CI، وتحميل مسبق (preload) للقرود لاكتشاف القنابل الزمنية (تشغيل متعدد عند انزياحات [0h, 72h, 7d]).

أوامر أخرى

muaddib watch .                    # مراقبة في الوقت الفعلي
muaddib daemon                     # وضع الخفي (مسح تلقائي لـ npm install)
muaddib update                     # تحديث IOCs (سريع، ~5 ثوانٍ)
muaddib scrape                     # تحديث كامل لـ IOC (~5 دقائق)
muaddib diff HEAD~1                # مقارنة التهديدات مع الالتزام السابق
muaddib init-hooks                 # خطافات ما قبل الالتزام (husky/pre-commit/git)
muaddib scan . --breakdown         # تحليل قابل للشرح للدرجة
muaddib replay                     # التحقق من الحقيقة الأساسية (90/94 TPR@3, v2.11.48)

الميزات

22 ماسحًا متوازيًا

277 قاعدة كشف

جميع القواعد (272 قاعده أساسية + 5 قاعده بارانويا) مرتبطة بتقنيات MITRE ATT&CK. انظر SECURITY.md للمرجع الكامل للقواعد.

الحملات المكتشفة

VS Code

إضافة VS Code تمسح تلقائيًا مشاريع npm الخاصة بك.

code --install-extension dnszlsk.muaddib-vscode

• MUAD'DIB: Scan Project - مسح المشروع بأكمله
• MUAD'DIB: Scan Current File - مسح الملف الحالي
• الإعدادات: muaddib.autoScan, muaddib.webhookUrl, muaddib.failLevel

انظر vscode-extension/README.md للتوثيق الكامل.

CI/CD

إجراءات GitHub (السوق)

name: Security Scan

on: [push, pull_request]

jobs:
  scan:
    runs-on: ubuntu-latest
    permissions:
      security-events: write
      contents: read
    steps:
      - uses: actions/checkout@v4
      - uses: DNSZLSK/muad-dib@v1
        with:
          path: '.'
          fail-on: 'high'
          sarif: 'results.sarif'

خطافات ما قبل الالتزام

muaddib init-hooks                        # كشف تلقائي (husky/pre-commit/git)
muaddib init-hooks --type husky           # فرض husky
muaddib init-hooks --mode diff            # حظر التهديدات الجديدة فقط

مع إطار pre-commit:

repos:
  - repo: https://github.com/DNSZLSK/muad-dib
    rev: v2.11.139
    hooks:
      - id: muaddib-scan

التقييم

آخر قياس v2.11.48 (2026-05-26)، قواعد فقط (المصنف ML غير نشط — انظر أدناه). الحقيقة الأساسية: 94 هجومًا حقيقيًا ضمن النطاق + 200 npm عشوائي + 124 PyPI + 107 عدائي/محتفظ به.

مصنف ML: غير نشط. يوجد نموذج XGBoost في src/ml/ ولكنه غير موصل أبدًا بـ muaddib scan، ويعمل في وضع LOG-ONLY في المراقبة منذ 2026-04-08 (النموذج المدرب انهار، في انتظار إعادة التدريب). جميع الأرقام أعلاه هي قواعد فقط.

البروتوكول الكامل، تاريخ كل مسار، تحذير PyPI cap-35، التغطية التشغيلية (بمصطلحات GHSA)، ومنهجية إعادة تدريب ML: منهجية التقييم.

المساهمة

إضافة IOCs

قم بتحرير ملفات YAML في iocs/:

- id: NEW-MALWARE-001
  name: "malicious-package"
  version: "*"
  severity: critical
  confidence: high
  source: community
  description: "وصف التهديد"
  references:
    - https://example.com/article
  mitre: T1195.002

التطوير

git clone https://github.com/DNSZLSK/muad-dib
cd muad-dib
npm install
npm test

الاختبار

• 4545 اختبارًا عبر 152 ملف اختبار معياري
• 56 اختبار تشويش - مدخلات مشوهة، ReDoS، يونيكود، ثنائي
• معيار Datadog 17K - 14,587 عينة برمجيات خبيثة مؤكدة (ضمن النطاق)
• التحقق من الحقيقة الأساسية - 96 هجومًا حقيقيًا (95.74% TPR@3, 88.30% TPR@20 — قياس كامل v2.11.48 على 94 ضمن النطاق)
• التحقق من النتائج الإيجابية الكاذبة (قياس v2.11.48) - 1.10% FPR للقواعد (6/545 ممسوحة)، 2.50% على 200 عشوائي، 9.68% على 124/132 PyPI (أول قياس صادق بعد إصلاح تنزيل Track-D). مصنف ML غير نشط حاليًا — انظر مقاييس التقييم → مصنف ML.

المجتمع

• Discord: https://discord.gg/y8zxSmue

التوثيق

• المدونة - مقالات تقنية حول كشف تهديدات سلسلة التوريد
• دفتر اليومية - يوميات التطوير (بالفرنسية)
• فهرس التوثيق - جميع الوثائق في مكان واحد
• منهجية التقييم - البروتوكول التجريبي، درجات الاحتفاظ
• نموذج التهديد - ما يكتشفه MUAD'DIB وما لا يكتشفه
• سياسة الأمان - مرجع قواعد الكشف (277 قاعدة)
• تدقيق الأمان - تقرير التحقق من الالتفاف
• تحليل FP - تحليل النتائج الإيجابية الكاذبة التاريخية

الترخيص

MUAD'DIB مرخص بموجب رخصة GNU Affero العامة الإصدار 3.0 فقط (AGPL-3.0-only) — انظر LICENSE و NOTICE.

أنت حر في استخدامها ودراستها وتعديلها وإعادة توزيعها — بما في ذلك عبر الشبكة — بشرط أن يتم إصدار الأعمال المشتقة والتعديلات المنشورة على الشبكة تحت نفس الرخصة.

الترخيص التجاري: لتضمين MUAD'DIB في منتج مملوك / مغلق المصدر، أو لتقديمه كخدمة مستضافة دون التزامات الإفصاح عن المصدر بموجب AGPL، يتوفر ترخيص تجاري منفصل. افتح مشكلة أو اتصل بالمؤلف (DNSZLSK).

حقوق النشر (C) 2026 DNSZLSK.

يجب أن يتدفق التوابل. يجب أن تموت الديدان.