حزمة أدوات Miasma / Shai-Hulud

أدوات تحليل حوادث + كشف/معالجة لدودة Miasma (نسخة Mini Shai-Hulud) التي تحقن حمولات التشغيل التلقائي في إعدادات وكلاء الذكاء الاصطناعي / بيئات التطوير المتكاملة (IDE) ومستودعات npm/GitHub.

⚠️ إخلاء مسؤولية — لا يوجد ضمان. هذه حزمة أدوات دفاعية مجتمعية مقدمة "كما هي"، دون أي ضمان من أي نوع (انظر LICENSE). الماسح الضوئي وقواعد YARA هي للقراءة فقط، لكن purge-history.sh يعيد كتابة تاريخ git وخطافات .claude/ تنقل الملفات إلى الحجر الصحي — وكلاهما يمكن أن يغيّر مستودعًا. اعمل نسخة احتياطية أولاً، وراجع ما تقوم به كل أداة، وقم بتشغيلها على مسؤوليتك الخاصة. الفحص النظيف ليس ضمانًا للسلامة: المؤشرات تتطور وتظهر نسخ متحورة جديدة. استخدمها على الأنظمة والحسابات المصرح لك بفحصها. وجدت ثغرة أو خطأ؟ انظر SECURITY.md وCONTRIBUTING.md.

المحتويات

المتطلبات الأساسية

تثبيت YARA (Windows): winget install VirusTotal.YARA — أو choco install yara / scoop install yara. على Linux/macOS: apt install yara / brew install yara. تحقق باستخدام yara --version.

الاستخدام السريع

ملاحظة: -Mode Local يفحص $env:USERPROFILE فقط افتراضيًا. مرّر -CodeRoots لتغطية مستودعات أخرى، مثل -CodeRoots E:\Sources,D:\work.

# فحص الجهاز المحلي + المستودعات المحلية (+ CVE-2026-35603 ProgramData)
pwsh -File Scan-Miasma.ps1 -Mode Local
pwsh -File Scan-Miasma.ps1 -Mode Local -CodeRoots E:\Sources,D:\work

# فحص مستودعات GitHub البعيدة (سجّل الدخول على الحساب الهدف أولاً للمستودعات/الأسرار الخاصة)
gh auth login
pwsh -File Scan-Miasma.ps1 -Mode Remote -Owners your-org,your-user -OutReport report.md

# كل شيء + JSON + تقرير Markdown
pwsh -File Scan-Miasma.ps1 -OutJson findings.json -OutReport report.md

رمز الخروج 1 إذا وُجدت أي نتيجة مصابة (مناسب لـ CI).

# تطهير تاريخ مستودع مصاب (راجع PATHS في البرنامج النصي أولاً)
./purge-history.sh /path/to/repo
# ثم، بعد مراجعة التحقق:
git push origin --force --all && git push origin --force --tags

# فحص YARA
yara -r setup-js.yar /path/to/scan

# Linux/macOS: الفحص المحلي (نسخة bash — الافتراضي هو $HOME؛ مرّر الجذور لتوسيع النطاق)
./scan-miasma.sh
./scan-miasma.sh ~/src /opt/work

# إزالة تشفير ثابتة لبرنامج حاقن ملتقط (للقراءة فقط — لا يشغّله أبدًا)
pwsh -File Expand-MiasmaPayload.ps1 -Path .github/setup.js   # يكتب الطبقات + iocs.txt إلى <Path>.deob/
pwsh -File Expand-MiasmaPayload.ps1 -SelfTest                # التحقق من محرك فك الترميز/فك التشفير

أداة إزالة التشفير تفك طبقة تغليف p,a,c,k,e,d، وتفك ترميز طبقة رموز الأحرف، وتكتشف تلقائيًا وتعكس إزاحة Caesar (يمكن تجاوزها بـ -Shift)، ثم تفك تشفير كل كتلة AES-128-GCM مدمجة (_b أداة الإقلاع، _p أداة السرقة) وتفحص الشيفرة المستردة بحثًا عن عناوين URL وعناوين IP وحسابات الإسقاط الميت.

# بعد الاستئصال: إنشاء قائمة تدوير أسرار ذات أولوية (لا تلغي شيئًا)
pwsh -File Invoke-MiasmaRotation.ps1                       # يكتشف بيانات الاعتماد القابلة للوصول هنا
pwsh -File Invoke-MiasmaRotation.ps1 -OutReport rotation.md

حارس CI (رفض البناء إذا وُجد البرنامج الحاقن/المُشغِّل)

استخدم الإجراء المركب المرفق كـخطوة أولى في أي سير عمل:

# في مستودع آخر (ثبّت على علامة/SHA لسلامة سلسلة التوريد):
- uses: actions/checkout@v4
- uses: jchable/miasma-toolkit/.github/actions/miasma-guard@main
  # with:
  #   full-scan: 'true'   # تشغيل Scan-Miasma.ps1 -Mode Local أيضًا (يتطلب pwsh)

تشغّل هذه الحزمة الحارس نفسه على نفسها عبر .github/workflows/miasma-ci.yml (بالإشارة إلى الإجراء بمسار نسبي). الحارس مستقل عن الموجة ومقيّد بملفات إعدادات المُشغِّل الخاصة بالدودة، لذا لا يُنتج نتائج إيجابية خاطئة أبدًا على المستندات التي تذكر سلسلة المؤشرات فقط.

خطافات Claude Code (.claude/)

حماية فورية للأجهزة التي تشغّل Claude Code في هذا المستودع. تعيد الخطافات استخدام iocs.psd1 (بدون مؤشرات مكررة) وهي مربوطة في .claude/settings.json:

• الحجر الصحي قابل للعكس: الملفات المصابة تُنقل إلى .miasma-quarantine/<timestamp>/… (متجاهلة بواسطة git) وتُسجَّل في .miasma-quarantine/quarantine.log — يمكن الاستعادة باستخدام Move-Item. لا يتم حذف أي شيء نهائيًا.
• الاستثناء الذاتي (Test-MiasmaExcluded في Miasma.Common.ps1): ملفات الحزمة نفسها تحتوي بشكل مشروع على سلاسل مؤشرات (iocs.psd1, Scan-Miasma.ps1, scan-miasma.sh, Expand-MiasmaPayload.ps1, Invoke-MiasmaRotation.ps1, purge-history.sh, setup-js.yar, content/, , , ) ولا يتم حظرها أو عزلها أبدًا.

نموذج الخطورة (Scan-Miasma.ps1)

• مُصاب — DROPPER, INJECT, FORGED, BADDEP, WORKFLOW, RUNNER, PAYLOAD, BUN-DROP, PROGRAMDATA
• مراجعة — NPM-AUDIT, SECRETS (جرد التدوير), SIGNATURE, PERSIST, PROGRAMDATA-CFG

أخطاء معروفة تم إصلاحها بالفعل (ضعها في الاعتبار عند إعادة العمل)

• gh api <404> --jq يُخرج نص الخطأ إلى stdout ← لا تثق أبدًا في صحة المخرجات؛ تحقق من $LASTEXITCODE + تحقق من الصيغة (حجم رقمي، اسم فرع دقيق).
• يحتفظ GitHub بـإعادة توجيه master←main بعد إعادة التسمية ← branches/master يعيد 200؛ اقبل الفرع فقط إذا كان الاسم المُعاد == الاسم المطلوب.
• يجب أن يبقى npm audit مع --package-lock-only (بدون npm install, بدون تنفيذ سكربتات).

TODO / قائمة إعادة العمل المعلقة

قائمة الأعمال الأصلية (نسخة bash، شارات الخطورة، إزالة تشفير طبقة التغليف، مساعد التدوير) منجزة. أفكار مستقبلية:

1. scan-miasma.sh: إضافة وضع GitHub البعيد (حاليًا للفحص المحلي فقط).
2. أداة إزالة التشفير: التعامل مع ROT-4/ROT-9 متعدد البايت والنسخ غير AES-128-GCM إذا لوحظت.
3. مساعد التدوير: وضع --revoke اختياري (مقيّد، مع تأكيد) لـ gh/npm/aws.

المراجع

• الروبوت الذي لم يكن أبدًا — icflorescu (dev.to)
• دودة Miasma: حقن إعدادات وكيل ترميز الذكاء الاصطناعي — safedep.io
• CVE-2026-35603: تصعيد صلاحيات أدوات الترميز بالذكاء الاصطناعي — Cymulate