Scanner CVE-2025-54313 - Rilevamento di Indicatori di Compromissione

Scanner multipiattaforma per rilevare gli Indicatori di Compromissione (IOC) correlati all'attacco alla supply chain di eslint-config-prettier (CVE-2025-54313).

Il 18 luglio 2025, diversi pacchetti npm popolari sono stati compromessi tramite un attacco di phishing.

L'attaccante ha ottenuto l'accesso ai token npm del manutentore e ha pubblicato versioni dannose contenenti malware specifico per piattaforma.

Pacchetti e Versioni Interessati

Pacchetto	Versioni Compromesse
eslint-config-prettier	8.10.1, 9.1.1, 10.1.6, 10.1.7
eslint-plugin-prettier	4.2.2, 4.2.3
synckit	0.11.9
@pkgr/core	0.2.8
napi-postinstall	0.3.1
is	3.3.1, 5.0.0

Versione Windows

1. Scaricare lo script PowerShell:

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. Sbloccare lo script:

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. Impostare i criteri di esecuzione (se necessario):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Versione Linux

1. Scaricare lo script bash:

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. Renderlo eseguibile:

chmod +x CVE-2025-54313-Scanner.sh

3. Installare le dipendenze opzionali per prestazioni migliori:

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

Windows (PowerShell)

Scansione Rapida (directory corrente)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

Scansione Completa del Sistema

.\CVE-2025-54313-Scanner.ps1

Scansione di una Directory Specifica

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

Con Output Dettagliato

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

Con Percorso Personalizzato per il Report

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

Linux/Unix (Bash)

Scansione Rapida (directory corrente)

./CVE-2025-54313-Scanner.sh -q

Scansione Completa del Sistema

sudo ./CVE-2025-54313-Scanner.sh

Scansione di una Directory Specifica

./CVE-2025-54313-Scanner.sh --path /home/user/projects

Con Output Dettagliato

./CVE-2025-54313-Scanner.sh -q -d

Con Percorso Personalizzato per il Report

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

Mostra Aiuto

./CVE-2025-54313-Scanner.sh --help

IOC Conosciuti

1. File Malware

   • Windows: node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • Linux: node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • File install.js con pattern di codice sospetti
   • Hash SHA256 conosciuti:
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (node-gyp.dll/1° stage)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (2° stage Scavenger)
     • 32d0dbdfef0e5520ba96a2673244267e204b94a49716ea13bf635fa9af6f66bf (install.js)

2. Pattern di Codice

   • Funzione logDiskSpace()
   • Controlli piattaforma per Windows/Linux
   • Avvio di processi figlio
   • Esecuzione di comandi offuscati
   • Chiamate rundll32/exec

3. Indicatori di Rete

   • URL C2: firebase.su, dieorsuffer.com, smartscreen-api.com
   • Chiave XOR "FuckOff"
   • Pattern di comunicazione

4. IOC Comportamentali

   • Script post-installazione in package.json
   • File temporanei nelle directory temporanee di sistema
   • File .npmrc (per l'esfiltrazione dei token)

Percorsi Specifici per Piattaforma

Windows

• Directory Temp: %TEMP%
• Configurazione NPM: %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• Percorso di Scansione Predefinito: C:\

Linux

• Directory Temp: /tmp, /var/tmp, $TMPDIR
• Configurazione NPM: ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• Percorso di Scansione Predefinito: /

Trovato nuovi IOC o hai suggerimenti per miglioramenti?

1. Forka questo repository
2. Crea un ramo (branch) di funzionalità
3. Esegui il commit delle tue modifiche
4. Carica il ramo
5. Apri una Pull Request

Segnalazione di Nuovi IOC

Includere:

• Hash dei file (SHA256)
• Percorsi e nomi dei file
• Pattern di codice sospetti
• Informazioni sulla piattaforma (Windows/Linux)

📚 Ulteriori Letture

• Post del Blog di Endor Labs
• Issue GitHub #339
• Voce NVD
• Database delle Vulnerabilità Snyk

🔍 Riferimento Rapido ai Comandi

Windows PowerShell

# Scansione rapida della directory corrente
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# Scansione completa del sistema con output dettagliato
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# Scansione di un percorso specifico
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

Linux Bash

# Scansione rapida della directory corrente
./CVE-2025-54313-Scanner.sh -q

# Scansione completa del sistema con output dettagliato  
sudo ./CVE-2025-54313-Scanner.sh -d

# Scansione di un percorso specifico
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# Mostra tutte le opzioni
./CVE-2025-54313-Scanner.sh --help