Scanner d'IOC CVE-2025-54313

Scanners multiplateformes pour détecter les indicateurs de compromission (IOC) liés à l'attaque de la chaîne d'approvisionnement eslint-config-prettier (CVE-2025-54313).

Le 18 juillet 2025, plusieurs paquets npm populaires ont été compromis lors d'une attaque de phishing.

L'attaquant a obtenu un accès aux jetons npm du mainteneur et a publié des versions malveillantes contenant des logiciels malveillants spécifiques à certaines plateformes.

Paquets et versions concernés

Version Windows

1. Téléchargez le script PowerShell :

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. Débloquez le script :

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. Définissez la stratégie d'exécution (si nécessaire) :

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Version Linux

1. Téléchargez le script bash :

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. Rendez-le exécutable :

chmod +x CVE-2025-54313-Scanner.sh

3. Installez les dépendances facultatives pour de meilleures performances :

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

Windows (PowerShell)

Analyse rapide (répertoire courant)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

Analyse complète du système

.\CVE-2025-54313-Scanner.ps1

Analyser un répertoire spécifique

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

Avec sortie détaillée

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

Avec chemin de rapport personnalisé

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

Linux/Unix (Bash)

Analyse rapide (répertoire courant)

./CVE-2025-54313-Scanner.sh -q

Analyse complète du système

sudo ./CVE-2025-54313-Scanner.sh

Analyser un répertoire spécifique

./CVE-2025-54313-Scanner.sh --path /home/user/projects

Avec sortie détaillée

./CVE-2025-54313-Scanner.sh -q -d

Avec chemin de rapport personnalisé

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

Afficher l'aide

./CVE-2025-54313-Scanner.sh --help

IOC connus

1. Fichiers malveillants

   • Windows : node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • Linux : node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • Fichiers install.js présentant des modèles de code suspects
   • Hachages SHA256 connus :
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (node-gyp.dll/étape 1)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (2e étape Scavenger)

Emplacements spécifiques aux plateformes

Windows

• Répertoire temporaire : %TEMP%
• Configuration NPM : %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• Chemin d'analyse par défaut : C:\

Linux

• Répertoires temporaires : /tmp, /var/tmp, $TMPDIR
• Configuration NPM : ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• Chemin d'analyse par défaut : /

Vous avez trouvé de nouveaux IOC ou des suggestions d'amélioration ?

1. Forkez ce dépôt
2. Créez une branche de fonctionnalité
3. Commitez vos modifications
4. Poussez sur la branche
5. Ouvrez une pull request

Signaler de nouveaux IOC

Veuillez inclure :

• Hachages de fichiers (SHA256)
• Chemins et noms de fichiers
• Modèles de code suspects
• Informations sur la plateforme (Windows/Linux)

📚 Lectures complémentaires

• Article de blog Endor Labs
• Issue GitHub #339
• Entrée NVD
• Base de données des vulnérabilités Snyk

🔍 Référence rapide des commandes

Windows PowerShell

# Quick scan current directory
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# Full system scan with detailed output
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# Scan specific path
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

Linux Bash

# Quick scan current directory
./CVE-2025-54313-Scanner.sh -q

# Full system scan with detailed output  
sudo ./CVE-2025-54313-Scanner.sh -d

# Scan specific path
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# Show all options
./CVE-2025-54313-Scanner.sh --help