CVE-2025-54313 IOC Scanner

CVE-2025-54313 (eslint-config-prettier आपूर्ति श्रृंखला हमला) से संबंधित संक्रमण संकेतक (IOC) का पता लगाने के लिए क्रॉस-प्लेटफॉर्म स्कैनर।

18 जुलाई, 2025 को, कई लोकप्रिय npm पैकेज एक फिशिंग हमले के माध्यम से समझौता किए गए थे।

हमलावर ने रखरखावकर्ता के npm टोकन तक पहुँच प्राप्त की और प्लेटफ़ॉर्म-विशिष्ट मैलवेयर युक्त दुर्भावनापूर्ण संस्करण प्रकाशित किए।

प्रभावित पैकेज और संस्करण

पैकेज	समझौता किए गए संस्करण
eslint-config-prettier	8.10.1, 9.1.1, 10.1.6, 10.1.7
eslint-plugin-prettier	4.2.2, 4.2.3
synckit	0.11.9
@pkgr/core	0.2.8
napi-postinstall	0.3.1
is	3.3.1, 5.0.0

विंडोज संस्करण

1. PowerShell स्क्रिप्ट डाउनलोड करें:

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. स्क्रिप्ट को अनब्लॉक करें:

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. निष्पादन नीति सेट करें (यदि आवश्यक हो):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

लिनक्स संस्करण

1. bash स्क्रिप्ट डाउनलोड करें:

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. इसे निष्पादन योग्य बनाएं:

chmod +x CVE-2025-54313-Scanner.sh

3. बेहतर प्रदर्शन के लिए वैकल्पिक निर्भरताएँ स्थापित करें:

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

विंडोज (PowerShell)

त्वरित स्कैन (वर्तमान निर्देशिका)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

पूर्ण सिस्टम स्कैन

.\CVE-2025-54313-Scanner.ps1

विशिष्ट निर्देशिका स्कैन करें

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

विस्तृत आउटपुट के साथ

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

कस्टम रिपोर्ट पथ के साथ

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

लिनक्स/यूनिक्स (Bash)

त्वरित स्कैन (वर्तमान निर्देशिका)

./CVE-2025-54313-Scanner.sh -q

पूर्ण सिस्टम स्कैन

sudo ./CVE-2025-54313-Scanner.sh

विशिष्ट निर्देशिका स्कैन करें

./CVE-2025-54313-Scanner.sh --path /home/user/projects

विस्तृत आउटपुट के साथ

./CVE-2025-54313-Scanner.sh -q -d

कस्टम रिपोर्ट पथ के साथ

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

सहायता दिखाएँ

./CVE-2025-54313-Scanner.sh --help

ज्ञात IOC

1. मैलवेयर फ़ाइलें

   • विंडोज: node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • लिनक्स: node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • संदिग्ध कोड पैटर्न वाली install.js फ़ाइलें
   • ज्ञात SHA256 हैश:
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (node-gyp.dll/पहला चरण)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (दूसरा चरण Scavenger)
     • 32d0dbdfef0e5520ba96a2673244267e204b94a49716ea13bf635fa9af6f66bf (install.js)

2. कोड पैटर्न

   • फ़ंक्शन logDiskSpace()
   • विंडोज/लिनक्स के लिए प्लेटफ़ॉर्म जाँच
   • चाइल्ड प्रक्रिया स्पॉनिंग
   • अस्पष्ट कमांड निष्पादन
   • rundll32/exec कॉल

3. नेटवर्क संकेतक

   • C2 URL: firebase.su, dieorsuffer.com, smartscreen-api.com
   • XOR कुंजी "FuckOff"
   • संचार पैटर्न

4. व्यवहारिक IOC

   • package.json में पोस्ट-इंस्टॉल स्क्रिप्ट
   • सिस्टम अस्थायी निर्देशिकाओं में अस्थायी फ़ाइलें
   • .npmrc फ़ाइलें (टोकन निष्कासन के लिए)

प्लेटफ़ॉर्म-विशिष्ट स्थान

विंडोज

• अस्थायी निर्देशिका: %TEMP%
• NPM कॉन्फ़िग: %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• स्कैन पथ डिफ़ॉल्ट: C:\

लिनक्स

• अस्थायी निर्देशिकाएँ: /tmp, /var/tmp, $TMPDIR
• NPM कॉन्फ़िग: ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• स्कैन पथ डिफ़ॉल्ट: /

नए IOC मिले हैं या सुधार के सुझाव हैं?

1. इस रिपॉजिटरी को फोर्क करें
2. एक फीचर ब्रांच बनाएं
3. अपने बदलाव कमिट करें
4. ब्रांच पर पुश करें
5. एक पुल रिक्वेस्ट खोलें

नए IOC की रिपोर्ट करना

कृपया शामिल करें:

• फ़ाइल हैश (SHA256)
• फ़ाइल पथ और नाम
• संदिग्ध कोड पैटर्न
• प्लेटफ़ॉर्म जानकारी (विंडोज/लिनक्स)

📚 आगे पढ़ने के लिए

• Endor Labs ब्लॉग पोस्ट
• GitHub Issue #339
• NVD प्रविष्टि
• Snyk भेद्यता डेटाबेस

🔍 त्वरित कमांड संदर्भ

विंडोज PowerShell

# वर्तमान निर्देशिका का त्वरित स्कैन
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# विस्तृत आउटपुट के साथ पूर्ण सिस्टम स्कैन
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# विशिष्ट पथ स्कैन करें
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

लिनक्स Bash

# वर्तमान निर्देशिका का त्वरित स्कैन
./CVE-2025-54313-Scanner.sh -q

# विस्तृत आउटपुट के साथ पूर्ण सिस्टम स्कैन  
sudo ./CVE-2025-54313-Scanner.sh -d

# विशिष्ट पथ स्कैन करें
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# सभी विकल्प दिखाएँ
./CVE-2025-54313-Scanner.sh --help