agentic-ioc-scanner

एजेंटिक AI कोडिंग टूल्स के लिए IOC स्कैनर — Mini Shai-Hulud, Gemini CLI RCE, Cursor CVE-2026-26268 और DPRK PromptMink का पता लगाता है।

एक डिटेक्शन किट जो एजेंटिक AI कोडिंग सहायकों (Claude Code, Gemini CLI, Cursor) और आपके रिपॉजिटरी में वे जो निर्भरताएँ लाते हैं, उनके समझौते का पता लगाता है। ग्यारह जाँचें: hook injection, RCE कॉन्फ़िग, दुर्भावनापूर्ण निर्भरताएँ, git-hook बैकडोर, और CI वर्कफ़्लो टैम्परिंग। IOC सूची बाह्यीकृत है — नए संकेतक जोड़ने के लिए कोड में बदलाव की आवश्यकता नहीं है।

सहयोगी ब्लॉग पोस्ट: When the Tool Fights Back — सहयोगी विश्लेषण।

क्या शामिल है

1. IOC स्कैनर (scanner/ais.sh)

ग्यारह जाँचें, प्रत्येक में एक इनलाइन What: (उद्देश्य) और Fix: (सुधार) अनुभाग शीर्षक के नीचे मुद्रित होता है ताकि रिपोर्ट स्व-व्याख्यात्मक हो। IOC सूची scanner/iocs.txt में रहती है (संस्करणित; IOC_FILE=/path/to/iocs.txt से ओवरराइड करें)।

उपयोग:

bash scanner/ais.sh
# Enter your project folder when prompted

# Custom IOC list:
IOC_FILE=./my-iocs.txt bash scanner/ais.sh

# Custom report path (default: ./agentic-ioc-scan-YYYYMMDD-HHMMSS.log):
REPORT_FILE=/var/log/agentic-scan.log bash scanner/ais.sh

आउटपुट

• निष्कर्ष टर्मिनल (रंगीन) और एक सादा-टेक्स्ट रिपोर्ट फ़ाइल (डिफ़ॉल्ट रूप से agentic-ioc-scan-YYYYMMDD-HHMMSS.log, tee → sed के माध्यम से ANSI-हटाया गया) पर स्ट्रीम होते हैं।
• गंभीरता टैग: [CRITICAL] (अब कार्रवाई करें), [WARNING] (संभावित रूप से दुर्भावनापूर्ण — सत्यापित करें), [REVIEW] (वैध उपयोग संभव — पुष्टि करें), [OK] (स्वच्छ)।
• फ़ाइल-सामग्री निष्कर्षों में पंक्ति संख्या शामिल होती है जहाँ संकेतक मिला (path:line रूप)। पंक्ति संख्याएँ दिखाने वाले अनुभाग: §1 हुक, §2 Bun सिग्नेचर, §3 अस्पष्टता संकेत, §5 प्रीइंस्टॉल कुंजी, §7 Gemini मेटाकैर, §8 AGENTS.md git-hook संदर्भ, §9 संदिग्ध हुक सामग्री।
• §11 वर्म-रिमोट निष्कर्ष अतिरिक्त रूप से आपत्तिजनक .git/config पंक्ति और मेल खाने वाले रिमोट URL की रिपोर्ट करता है, ताकि आप सीधे उस प्रविष्टि पर जा सकें जिसे हटाने की आवश्यकता है।
• core.hooksPath पुनर्निर्देशन (§9) रिपॉजिटरी के .git/config का पूर्ण पथ रिपोर्ट करता है ताकि पुनर्मूल्यांकन ऑडिट करने योग्य हो।
• वर्कट्री-जागरूक: जब .git एक फ़ाइल है (जिसमें gitdir: … है), तो निरीक्षण से पहले वास्तविक git निर्देशिका हल हो जाती है।

नमूना निष्कर्ष

[CRITICAL] Repo points to known worm exfil name
           Repo:   /home/dev/projects/myrepo
           Config: /home/dev/projects/myrepo/.git/config:9
           URL:    https://github.com/dhawaldesai/A-Mini-Shai-Hulud-has-Appeared

[CRITICAL] Malicious hook: /home/dev/projects/myrepo/.claude/settings.json:3
[CRITICAL] Suspicious git post-checkout hook: /home/dev/projects/myrepo/.git/hooks/post-checkout:2

IOC अद्यतन करना

scanner/iocs.txt संपादित करें और # version: हेडर को बढ़ाएँ। प्रारूप है TYPE|VALUE|NOTES। समर्थित प्रकार:

जब नए IOC सामने आते हैं तो कोई कोड परिवर्तन आवश्यक नहीं है — स्कैनर स्टार्टअप पर उन्हें पढ़ता है और बैनर में लोड किए गए संस्करण को प्रिंट करता है।

निर्भरताएँ

आवश्यक: bash, find, grep, awk, sed, git। वैकल्पिक: jq (§1 के लिए पसंदीदा — अनुपस्थित होने पर grep ह्युरिस्टिक पर वापस आता है), npm (§10 वैश्विक पैकेज जाँच के लिए आवश्यक; अनुपलब्ध होने पर अनुभाग चुपचाप छोड़ दिया जाता है)।

2. प्रभावित-पैकेज संस्करण स्कैनर (scanner/pkg_version_check.sh)

IOC स्कैनर का सहयोगी। प्रभावित package,version जोड़ियों की CSV पढ़ता है (उदाहरण: ~/Downloads/Mini Shai-Hulud - Sheet1.csv पर Mini Shai-Hulud IOC फ़ीड — 633 npm पैकेज/संस्करण जोड़े) और जाँचता है कि क्या वे निम्नलिखित में दिखाई देते हैं:

1. उपयोगकर्ता-द्वारा प्रदत्त स्थानीय प्रोजेक्ट निर्देशिका — package.json, package-lock.json, yarn.lock, pnpm-lock.yaml, और स्थापित node_modules/<pkg>/package.json को स्कैन करता है। PyPI मैनिफ़ेस्ट (requirements.txt, poetry.lock, Pipfile.lock) भी जाँचे जाते हैं जब CSV में अनस्कोप्ड नाम होते हैं।
2. उपयोगकर्ता के GitHub रिपॉजिटरी — gh CLI के माध्यम से: लॉकफ़ाइल प्रकारों में कोड खोज, फिर निर्भरता-ग्राफ़ SBOM API (/repos/{owner}/{repo}/dependency-graph/sbom) के माध्यम से सटीक-संस्करण सत्यापन।

गंभीरता मॉडल: लॉकफ़ाइल, node_modules/, या SBOM में सटीक pkg@version मिलान → [CRITICAL]। रेंज स्पेसिफ़ायर (^1.2.3, ~1.2.3, >=…) जिसमें प्रभावित संस्करण शामिल हो सकता है → [REVIEW]। संस्करण पुष्टि के बिना पैकेज नाम मिलान → [REVIEW]। आउटपुट टर्मिनल और ./shai-hulud-pkg-scan-YYYYMMDD-HHMMSS.log (ANSI-हटाया गया) पर स्ट्रीम होता है, अंत में गंभीरता-विभाजन सारांश के साथ।

उपयोग:

# Interactive — prompts for project directory
bash scanner/pkg_version_check.sh

# Fully scripted (env-var overrides)
PROJECT_DIR=/path/to/project \
  IOC_CSV="$HOME/Downloads/Mini Shai-Hulud - Sheet1.csv" \
  REPORT_FILE=/var/log/pkg-scan.log \
  bash scanner/pkg_version_check.sh --skip-node-modules

CSV प्रारूप: col1 = पैकेज नाम (स्कोप्ड नाम जैसे @scope/pkg समर्थित), col2 = सटीक प्रभावित संस्करण। एक हेडर पंक्ति स्वचालित रूप से पहचानी जाती है और छोड़ी जाती है। पथ को IOC_CSV=… से ओवरराइड करें।

निर्भरताएँ: bash, find, grep, awk, sed। वैकल्पिक: jq (node_modules/<pkg>/package.json पार्सिंग सटीकता में सुधार करता है), gh (GitHub चरण के लिए आवश्यक — अनुपस्थित या अप्रमाणित होने पर स्पष्ट संदेश के साथ चरण छोड़ दिया जाता है)।

ज्ञात सीमाएँ:

• GitHub कोड खोज 384KB से बड़ी लॉकफ़ाइलों को छोड़ देती है और केवल डिफ़ॉल्ट शाखाओं को अनुक्रमित करती है — SBOM पथ आधिकारिक जाँच है।
• GitHub चरण दर-सीमा से बंधा है (प्रमाणित 10 अनुरोध/मिनट); लगभग 5 पैकेज प्रति 7 सेकंड पर थ्रॉटल किया जाता है, इसलिए GitHub के विरुद्ध पूर्ण 633-पंक्ति CSV में लगभग 22 मिनट लगते हैं। पहले स्थानीय स्कैन चलाएँ, GitHub चरण अलग से।
• लॉकफ़ाइल पार्सिंग grep-आधारित है, पूरी तरह से पार्स नहीं की गई — गहराई से नेस्टेड या असामान्य फ़ॉर्मेटिंग गलत नकारात्मक उत्पन्न कर सकती है। सबसे मूल्यवान अनुवर्ती कार्रवाई jq-आधारित लॉकफ़ाइल पार्सिंग है।
• SBOM API के लिए रिपॉजिटरी के निर्भरता ग्राफ़ को सक्षम और अनुक्रमित करने की आवश्यकता है; इसके बिना रिपॉजिटरी [REVIEW] पर वापस आ जाती है।

3. Claude Code सुरक्षा नीति (claude-code-policy/)

Claude Code के लिए रोकथाम परत, ऊपर दी गई पहचान परत की पूरक।

• प्रोजेक्ट-स्तरीय हुक को चलने से रोकता है (allowManagedHooksOnly)
• .claude/settings.json में लेखन को रोकता है
• ज्ञात ड्रॉपर पैटर्न के निष्पादन को रोकता है
• एजेंट टूल-उपयोग से curl, wget, और bun कमांड को रोकता है

स्थापना:

# Copy managed settings (cannot be overridden by projects)
cp claude-code-policy/managed-settings.json ~/.claude/managed-settings.json

# Copy the PreToolUse hook
mkdir -p ~/.claude/hooks
cp claude-code-policy/hooks/block_shai_hulud.py ~/.claude/hooks/
chmod +x ~/.claude/hooks/block_shai_hulud.py

रोडमैप / ज्ञात अंतराल

• PyPI वैश्विक स्कैन §10 के समतुल्य (वर्तमान में केवल npm ls -g जुड़ा है)।
• सर्वर-साइड pre-receive हुक गैर-अनुमत लेखकों से .claude/settings.json, .vscode/tasks.json, या .gemini/ फ़ाइलें जोड़ने वाले पुश को अस्वीकार करने के लिए।
• GitHub push-protection / Advanced Security के साथ वैकल्पिक एकीकरण।

संदर्भ

• When the Tool Fights Back — सहयोगी विश्लेषण
• Sophos: Mini Shai-Hulud supply chain attack on SAP npm packages
• Mend.io: Shai-Hulud strikes SAP — supply chain worm weaponizes Claude Code
• Wiz: Mini Shai-Hulud supply chain on SAP npm
• Novee Security: Google Gemini CLI RCE — CVSS 10.0 advisory
• The Hacker News: Google fixes CVSS 10 Gemini CLI CI/CD RCE (also covers Cursor CVE-2026-26268)
• ReversingLabs: PromptMink — DPRK malware inserted into codebase via Claude
• Endor Labs: Mini Shai-Hulud returns — 42 malicious npm packages with fake Sigstore badges in @antv ecosystem attack

योगदान

इश्यू और PR का स्वागत है — विशेष रूप से नए IOC सबमिशन (scanner/iocs.txt में जोड़ें और संस्करण हेडर बढ़ाएँ), अतिरिक्त प्लेटफ़ॉर्म-विशिष्ट स्कैन रूट, और आसन्न एजेंटिक टूल्स (Continue, Cody, Codex CLI, Aider) के लिए डिटेक्शन पैटर्न।

लाइसेंस

MIT