ماسح مؤشرات الاختراق CVE-2025-54313

ماسحات متعددة المنصات لاكتشاف مؤشرات الاختراق (IOCs) المتعلقة بهجوم سلسلة التوريد eslint-config-prettier (CVE-2025-54313).

في 18 يوليو 2025، تم اختراق العديد من حزم npm الشائعة من خلال هجوم تصيد.

تمكن المهاجم من الوصول إلى رموز npm الخاصة بالمطور ونشر إصدارات خبيثة تحتوي على برمجيات ضارة خاصة بكل منصة.

الحزم والإصدارات المتأثرة

إصدار ويندوز

1. قم بتنزيل النص البرمجي لـ PowerShell:

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. قم بإلغاء حظر النص البرمجي:

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. قم بتعيين سياسة التنفيذ (إذا لزم الأمر):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

إصدار لينكس

1. قم بتنزيل النص البرمجي لـ bash:

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. اجعله قابلاً للتنفيذ:

chmod +x CVE-2025-54313-Scanner.sh

3. قم بتثبيت التبعيات الاختيارية لأداء أفضل:

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

ويندوز (PowerShell)

فحص سريع (الدليل الحالي)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

فحص كامل للنظام

.\CVE-2025-54313-Scanner.ps1

فحص دليل محدد

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

مع إخراج مفصل

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

مع مسار تقرير مخصص

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

لينكس/يونكس (Bash)

فحص سريع (الدليل الحالي)

./CVE-2025-54313-Scanner.sh -q

فحص كامل للنظام

sudo ./CVE-2025-54313-Scanner.sh

فحص دليل محدد

./CVE-2025-54313-Scanner.sh --path /home/user/projects

مع إخراج مفصل

./CVE-2025-54313-Scanner.sh -q -d

مع مسار تقرير مخصص

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

إظهار المساعدة

./CVE-2025-54313-Scanner.sh --help

مؤشرات الاختراق المعروفة

1. ملفات البرمجيات الخبيثة

   • Windows: node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • Linux: node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • ملفات install.js ذات أنماط تعليمات برمجية مشبوهة
   • بصمات SHA256 المعروفة:
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (المرحلة الأولى node-gyp.dll)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (المرحلة الثانية Scavenger)

المواقع الخاصة بالمنصة

Windows

• دليل Temp: %TEMP%
• إعدادات NPM: %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• مسار الفحص الافتراضي: C:\

Linux

• أدلة Temp: /tmp, /var/tmp, $TMPDIR
• إعدادات NPM: ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• مسار الفحص الافتراضي: /

هل وجدت مؤشرات اختراق جديدة أو لديك اقتراحات للتحسين؟

1. قم بعمل Fork لهذا المستودع
2. أنشئ فرع ميزة
3. قم بعمل Commit لتغييراتك
4. ادفع إلى الفرع
5. افتح طلب سحب (Pull Request)

الإبلاغ عن مؤشرات اختراق جديدة

يرجى تضمين:

• بصمات الملفات (SHA256)
• مسارات وأسماء الملفات
• أنماط تعليمات برمجية مشبوهة
• معلومات المنصة (ويندوز/لينكس)

📚 قراءات إضافية

• Endor Labs Blog Post
• GitHub Issue #339
• NVD Entry
• Snyk Vulnerability Database

🔍 مرجع الأوامر السريعة

Windows PowerShell

# Quick scan current directory
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# Full system scan with detailed output
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# Scan specific path
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

Linux Bash

# Quick scan current directory
./CVE-2025-54313-Scanner.sh -q

# Full system scan with detailed output  
sudo ./CVE-2025-54313-Scanner.sh -d

# Scan specific path
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# Show all options
./CVE-2025-54313-Scanner.sh --help