agentic-ioc-scanner

エージェンティックAIコーディングツール向けIOCスキャナー — Mini Shai-Hulud、Gemini CLI RCE、Cursor CVE-2026-26268、DPRK PromptMinkを検出します。

エージェンティックAIコーディングアシスタント（Claude Code、Gemini CLI、Cursor）とそれらがリポジトリに取り込む依存関係の侵害を検出するキットです。フックインジェクション、RCE設定、悪意のある依存関係、gitフックのバックドア、CIワークフローの改ざんにわたる11のチェックを実施します。IOCリストは外部化されており、新しい指標を追加するためにコードの変更は不要です。

関連ブログ記事: When the Tool Fights Back.

含まれるもの

1. IOCスキャナー（scanner/ais.sh）

11のチェックがあり、各チェックにはセクションヘッダーの下にWhat:（目的）とFix:（修復）がインラインで表示され、レポートが自己説明的になります。IOCリストはscanner/iocs.txtにあります（バージョン管理されています；IOC_FILE=/path/to/iocs.txtで上書き可能）。

使用方法:

bash scanner/ais.sh
# Enter your project folder when prompted

# Custom IOC list:
IOC_FILE=./my-iocs.txt bash scanner/ais.sh

# Custom report path (default: ./agentic-ioc-scan-YYYYMMDD-HHMMSS.log):
REPORT_FILE=/var/log/agentic-scan.log bash scanner/ais.sh

出力

• 検出結果はターミナル（色付き）およびプレーンテキストレポートファイル（デフォルトではagentic-ioc-scan-YYYYMMDD-HHMMSS.log、tee → sedでANSIストリップ）に出力されます。
• 重大度タグ: [CRITICAL]（直ちに対処）、[WARNING]（悪意の可能性あり — 確認）、[REVIEW]（正当な使用の可能性あり — 確認）、[OK]（クリーン）。
• ファイルコンテンツの検出結果には、インジケータが見つかった行番号が含まれます（path:line形式）。行番号を表示するセクション: §1フック、§2 Bunシグネチャ、§3難読化シグナル、§5 preinstallキー、§7 Geminiメタ文字、§8 AGENTS.md gitフック参照、§9疑わしいフックコンテンツ。
• §11ワームリモート検出では、問題のある**.git/config行**と一致するリモートURLも報告されるため、削除が必要なエントリに直接ジャンプできます。
• core.hooksPathリダイレクト（§9）は、リポジトリの.git/configへの絶対パスを報告するため、再割り当ての監査が可能です。
• ワークツリー対応: .gitがファイルの場合（gitdir: …を含む）、検査前に実際のgitディレクトリが解決されます。

サンプル検出結果

[CRITICAL] Repo points to known worm exfil name
           Repo:   /home/dev/projects/myrepo
           Config: /home/dev/projects/myrepo/.git/config:9
           URL:    https://github.com/dhawaldesai/A-Mini-Shai-Hulud-has-Appeared

[CRITICAL] Malicious hook: /home/dev/projects/myrepo/.claude/settings.json:3
[CRITICAL] Suspicious git post-checkout hook: /home/dev/projects/myrepo/.git/hooks/post-checkout:2

IOCの更新

scanner/iocs.txtを編集し、# version:ヘッダーを更新します。形式はTYPE|VALUE|NOTESです。サポートされているタイプ:

新しいIOCが出現してもコード変更は不要です — スキャナーは起動時にそれらを読み込み、バナーにロードされたバージョンを表示します。

依存関係

必須: bash、find、grep、awk、sed、git。オプション: jq（§1に推奨 — ない場合はgrepヒューリスティックにフォールバック）、npm（§10のグローバルパッケージチェックに必須；利用不可の場合はセクションが静かにスキップされます）。

2. 影響を受けるパッケージバージョンスキャナー（scanner/pkg_version_check.sh）

IOCスキャナーのコンパニオンです。影響を受けるpackage,versionペアのCSV（例: ~/Downloads/Mini Shai-Hulud - Sheet1.csvにあるMini Shai-Hulud IOCフィード — 633のnpmパッケージ/バージョンペア）を読み込み、それらが次の場所に現れるかどうかをチェックします:

1. ユーザー指定のローカルプロジェクトディレクトリ — package.json、package-lock.json、yarn.lock、pnpm-lock.yaml、およびインストール済みのnode_modules/<pkg>/package.jsonをスキャンします。CSVにスコープなしの名前が含まれている場合、PyPIマニフェスト（requirements.txt、poetry.lock、Pipfile.lock）もチェックされます。
2. ユーザーのGitHubリポジトリ — gh CLI経由: ロックファイルタイプ全体のコード検索、その後依存関係グラフSBOM API（/repos/{owner}/{repo}/dependency-graph/sbom）による正確なバージョン検証。

重大度モデル: ロックファイル、node_modules/、またはSBOM内での正確なpkg@version一致 → [CRITICAL]。影響を受けるバージョンを含む可能性のある範囲指定子（^1.2.3、~1.2.3、>=…） → [REVIEW]。バージョン確認なしのパッケージ名一致 → [REVIEW]。出力はターミナルおよび./shai-hulud-pkg-scan-YYYYMMDD-HHMMSS.log（ANSIストリップ）にストリームされ、最後に重大度内訳のサマリーが表示されます。

使用方法:

# Interactive — prompts for project directory
bash scanner/pkg_version_check.sh

# Fully scripted (env-var overrides)
PROJECT_DIR=/path/to/project \
  IOC_CSV="$HOME/Downloads/Mini Shai-Hulud - Sheet1.csv" \
  REPORT_FILE=/var/log/pkg-scan.log \
  bash scanner/pkg_version_check.sh --skip-node-modules

CSV形式: col1 = パッケージ名（@scope/pkgのようなスコープ名もサポート）、col2 = 正確な影響を受けるバージョン。ヘッダー行は自動検出されスキップされます。パスはIOC_CSV=…で上書き可能。

依存関係: bash、find、grep、awk、sed。オプション: jq（node_modules/<pkg>/package.jsonの解析精度を向上）、gh（GitHubフェーズに必須 — なしまたは認証されていない場合は明確なメッセージとともにスキップ）。

既知の制限:

• GitHubコード検索は384KBを超えるロックファイルを見逃し、デフォルトブランチのみをインデックス化 — SBOMパスが権威あるチェックです。
• GitHubフェーズはレート制限の対象（認証済みで10 req/min）；約7秒あたり5パッケージに抑制されるため、633行のCSV全体ではGitHubに対して約22分かかります。最初にローカルスキャンを実行し、GitHubフェーズは別に実行してください。
• ロックファイルの解析はgrepベースで、完全には解析されません — 深くネストされたり珍しい書式の場合、偽陰性を生じる可能性があります。最も価値のあるフォローアップはjqベースのロックファイル解析です。
• SBOM APIはリポジトリの依存関係グラフが有効化されインデックス化されている必要があります；これがないリポジトリは[REVIEW]にフォールバックします。

3. Claude Codeセキュリティポリシー（claude-code-policy/）

Claude Codeの予防層であり、上記の検出層を補完します。

• プロジェクトレベルのフックの実行をブロック（allowManagedHooksOnly）
• .claude/settings.jsonへの書き込みをブロック
• 既知のドロッパーパターンの実行をブロック
• エージェントツール使用からのcurl、wget、bunコマンドをブロック

インストール:

# Copy managed settings (cannot be overridden by projects)
cp claude-code-policy/managed-settings.json ~/.claude/managed-settings.json

# Copy the PreToolUse hook
mkdir -p ~/.claude/hooks
cp claude-code-policy/hooks/block_shai_hulud.py ~/.claude/hooks/
chmod +x ~/.claude/hooks/block_shai_hulud.py

ロードマップ / 既知のギャップ

• §10と同等のPyPIグローバルスキャン（現在はnpm ls -gのみ配線済み）。
• 許可リストにない作成者からの.claude/settings.json、.vscode/tasks.json、または.gemini/ファイルを追加するプッシュを拒否するサーバーサイドpre-receiveフック。
• GitHubプッシュプロテクション/Advanced Securityとのオプション統合。

参考文献

• When the Tool Fights Back — 関連分析
• Sophos: SAP npmパッケージに対するMini Shai-Huludサプライチェーン攻撃
• Mend.io: Shai-HuludがSAPを直撃 — サプライチェーンワームがClaude Codeを武器化
• Wiz: SAP npmにおけるMini Shai-Huludサプライチェーン
• Novee Security: Google Gemini CLI RCE — CVSS 10.0勧告
• The Hacker News: GoogleがCVSS 10のGemini CLI CI/CD RCEを修正（Cursor CVE-2026-26268もカバー）
• ReversingLabs: PromptMink — Claudeを介してコードベースに挿入されたDPRKマルウェア
• Endor Labs: Mini Shai-Huludの再来 — @antvエコシステム攻撃における偽のSigstoreバッジを伴う42の悪意のあるnpmパッケージ

コントリビューション

IssueおよびPRを歓迎します — 特に新しいIOCの提出（scanner/iocs.txtに追加しバージョンヘッダーを更新）、追加のプラットフォーム固有スキャンルート、および隣接するエージェンティックツール（Continue、Cody、Codex CLI、Aider）向けの検出パターン。

ライセンス

MIT