CVE-2025-54313 IOC-Scanner

Plattformübergreifende Scanner zur Erkennung von Indikatoren einer Kompromittierung (IOCs) im Zusammenhang mit dem Supply-Chain-Angriff auf eslint-config-prettier (CVE-2025-54313).

Am 18. Juli 2025 wurden mehrere beliebte npm-Pakete durch einen Phishing-Angriff kompromittiert.

Der Angreifer erlangte Zugriff auf die npm-Tokens des Maintainers und veröffentlichte bösartige Versionen, die plattformspezifische Malware enthielten.

Betroffene Pakete und Versionen

Windows-Version

1. Laden Sie das PowerShell-Skript herunter:

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. Entsperren Sie das Skript:

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. Legen Sie die Ausführungsrichtlinie fest (falls erforderlich):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Linux-Version

1. Laden Sie das Bash-Skript herunter:

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. Machen Sie es ausführbar:

chmod +x CVE-2025-54313-Scanner.sh

3. Installieren Sie optionale Abhängigkeiten für eine bessere Leistung:

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

Windows (PowerShell)

Schnellscan (aktuelles Verzeichnis)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

Vollständiger Systemscan

.\CVE-2025-54313-Scanner.ps1

Bestimmtes Verzeichnis scannen

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

Mit detaillierter Ausgabe

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

Mit benutzerdefiniertem Berichtspfad

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

Linux/Unix (Bash)

Schnellscan (aktuelles Verzeichnis)

./CVE-2025-54313-Scanner.sh -q

Vollständiger Systemscan

sudo ./CVE-2025-54313-Scanner.sh

Bestimmtes Verzeichnis scannen

./CVE-2025-54313-Scanner.sh --path /home/user/projects

Mit detaillierter Ausgabe

./CVE-2025-54313-Scanner.sh -q -d

Mit benutzerdefiniertem Berichtspfad

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

Hilfe anzeigen

./CVE-2025-54313-Scanner.sh --help

Bekannte IOCs

1. Malware-Dateien

   • Windows: node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • Linux: node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • install.js-Dateien mit verdächtigen Code-Mustern
   • Bekannte SHA256-Hashes:
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (node-gyp.dll/1. Stufe)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (2. Stufe Scavenger)

Plattformspezifische Speicherorte

Windows

• Temp-Verzeichnis: %TEMP%
• NPM-Konfiguration: %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• Standard-Scanpfad: C:\

Linux

• Temp-Verzeichnisse: /tmp, /var/tmp, $TMPDIR
• NPM-Konfiguration: ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• Standard-Scanpfad: /

Haben Sie neue IOCs gefunden oder Verbesserungsvorschläge?

1. Forken Sie dieses Repository
2. Erstellen Sie einen Feature-Branch
3. Comitten Sie Ihre Änderungen
4. Pushen Sie auf den Branch
5. Öffnen Sie einen Pull-Request

Melden neuer IOCs

Bitte fügen Sie Folgendes bei:

• Datei-Hashes (SHA256)
• Dateipfade und -namen
• Verdächtige Code-Muster
• Plattforminformationen (Windows/Linux)

📚 Weiterführende Literatur

• Endor Labs Blogbeitrag
• GitHub Issue #339
• NVD-Eintrag
• Snyk-Schwachstellendatenbank

🔍 Kurzbefehlsreferenz

Windows PowerShell

# Quick scan current directory
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# Full system scan with detailed output
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# Scan specific path
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

Linux Bash

# Quick scan current directory
./CVE-2025-54313-Scanner.sh -q

# Full system scan with detailed output  
sudo ./CVE-2025-54313-Scanner.sh -d

# Scan specific path
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# Show all options
./CVE-2025-54313-Scanner.sh --help