cve-2025-55182-scanner

CVE-2025-55182 संकेतक स्कैनर

यह रिपॉजिटरी CVE-2025-55182 (React Server Components RCE) और Asleepace घटना रिपोर्ट में वर्णित विशिष्ट मल्टी-स्टेज मैलवेयर से संबंधित समझौता संकेतकों (IoCs) के लिए Python-आधारित स्कैनर प्रदान करती है। इसे Linux और macOS पर चलाने के लिए डिज़ाइन किया गया है और यह होस्ट-स्तर और एप्लिकेशन-स्तर की कलाकृतियों पर केंद्रित है जो समझौता की गई प्रणालियों पर दिखाई देने की संभावना है।

यह स्कैनर क्या जाँचता है

• फ़ाइलसिस्टम IoCs: घटना रिपोर्ट में वर्णित ज्ञात दुर्भावनापूर्ण पथ और बाइनरी (उदाहरण के लिए meshagent, fghgf, defunct, 0dd1429aws, systemd-daemon, sex.sh, temp kodoha*/xmrig, और संबंधित पेलोड/स्क्रिप्ट स्थान)।
• संदिग्ध प्रक्रियाएँ: वे प्रक्रियाएँ जिनकी कमांड लाइन में meshagent, nextjss, nginxx, fghgf, xmrig, systemd-daemon, या docker-daemon जैसे ज्ञात मैलवेयर पहचानकर्ता शामिल हैं।
• systemd सेवाएँ (Linux): nginxx.service, nextjss.service, system-daemon.service, और system-update-service.service जैसी संदिग्ध सेवाओं और यूनिट फ़ाइलों की उपस्थिति।
• Cron स्थिरता: सिस्टम और उपयोगकर्ता क्रॉनटैब में ऐसी प्रविष्टियाँ जो ज्ञात मैलवेयर घटकों को संदर्भित करती हैं (जैसे MeshAgent छिपाने वाला cron, XMRig माइनर, health/find/sex स्क्रिप्ट, या बाइंड-माउंट /proc स्टील्थ तकनीक)।
• JavaScript XOR इंजेक्शन: JavaScript/TypeScript फ़ाइलें जिनमें xorDecode( पैटर्न है, जिसका उपयोग node_modules और ecosystem.config.js में इंजेक्ट किए गए XOR-एन्कोडेड लोडर द्वारा किया जाता है, जैसा कि घटना रिपोर्ट में वर्णित है।

स्कैनर उपचार का प्रयास नहीं करता; यह केवल संदिग्ध निष्कर्षों की रिपोर्ट करता है और यदि कुछ भी संदिग्ध पाया जाता है तो गैर-शून्य निकास कोड लौटाता है।

आवश्यकताएँ

• Python: 3.8+ अनुशंसित
• OS: Linux या macOS

स्क्रिप्ट केवल Python मानक पुस्तकालय का उपयोग करती है; किसी बाहरी Python पैकेज की आवश्यकता नहीं है।

मूल उपयोग

• रिपॉजिटरी रूट से चलाएँ (डिफ़ॉल्ट, मानव-पठनीय आउटपुट):

python3 cve_2025_55182_scanner.py

• JS XOR इंजेक्शन IoCs के लिए किसी विशिष्ट प्रोजेक्ट या रूट निर्देशिका को स्कैन करें:

python3 cve_2025_55182_scanner.py --root /path/to/your/nextjs-or-react-project

• JSON आउटपुट उत्पन्न करें (स्वचालन या लॉग इन्जेशन के लिए):

python3 cve_2025_55182_scanner.py --json

• JavaScript XOR इंजेक्शन स्कैनिंग छोड़ें (केवल सिस्टम-स्तरीय जाँच):

python3 cve_2025_55182_scanner.py --skip-js-scan

• आवश्यकतानुसार फ़्लैग संयोजित करें:

python3 cve_2025_55182_scanner.py --root /var/www/app --json

निकास कोड

• 0: कोई संदिग्ध संकेतक नहीं मिला (सभी जाँचें पास)।
• 1: एक या अधिक संदिग्ध संकेतक मिले (कम से कम एक जाँच विफल)।

विशिष्ट कार्यप्रवाह

• त्वरित होस्ट ट्राइएज (Linux या macOS):

  • कमांड:
    • python3 cve_2025_55182_scanner.py
  • कब उपयोग करें:
    • जब आपको संदेह हो कि होस्ट CVE-2025-55182 के माध्यम से शोषित किया गया हो और आप प्रक्रियाओं, फ़ाइलसिस्टम, systemd और cron IoCs का त्वरित अवलोकन चाहते हैं।

• एप्लिकेशन-केंद्रित स्कैन (Next.js/React प्रोजेक्ट):

  • कमांड:
    • python3 cve_2025_55182_scanner.py --root /path/to/app
  • कब उपयोग करें:
    • जब आप सिस्टम-स्तरीय IoCs के अतिरिक्त दुर्भावनापूर्ण XOR-आधारित JavaScript इंजेक्शन (जैसे node_modules या एप्लिकेशन कोड में) की जाँच करना चाहते हैं।

• CI / स्वचालित वातावरण:

  • कमांड:
    • python3 cve_2025_55182_scanner.py --root . --json
  • कब उपयोग करें:
    • जब आपको डैशबोर्ड, लॉग या स्वचालित निर्णयों के लिए संरचित JSON आउटपुट की आवश्यकता हो।

विशेष धन्यवाद और संदर्भ

• घटना रिपोर्ट और IoCs:
  • इस स्कैनर की जाँच और समझौता संकेतक काफी हद तक Asleepace द्वारा विस्तृत सार्वजनिक घटना रिपोर्ट पर आधारित हैं:
  • https://asleepace.com/blog/malware-cve-2025-55182-exploitation-incident-report

Asleepace को विशेष धन्यवाद जिन्होंने CVE-2025-55182 शोषण और संबंधित मैलवेयर व्यवहारों का गहराई से दस्तावेजीकरण किया, जिसने इस केंद्रित स्कैनर का निर्माण संभव बनाया।