agentic-ioc-scanner

Scanner de IOC para ferramentas de codificação de IA agentic — detecta Mini Shai-Hulud, Gemini CLI RCE, Cursor CVE-2026-26268 e DPRK PromptMink.

Uso:

Saída

• Os resultados são transmitidos para o terminal (coloridos) e para um ficheiro de relatório em texto simples (agentic-ioc-scan-YYYYMMDD-HHMMSS.log por predefinição, com ANSI removido via tee → sed).
• Etiquetas de gravidade: [CRITICAL] (agir agora), [WARNING] (provavelmente malicioso — verificar), [REVIEW] (uso legítimo possível — confirmar), [OK] (limpo).
• As descobertas de conteúdo de ficheiro incluem o número da linha onde o indicador foi encontrado (caminho:linha). Secções que mostram números de linha: §1 hook, §2 assinatura Bun, §3 sinal de ofuscação, §5 chave preinstall, §7 meta-carater Gemini, §8 referência AGENTS.md a git hook, §9 conteúdo suspeito de hook.
• A descoberta de remoto de worm §11 reporta adicionalmente a linha .git/config infratora mais o URL remoto correspondente, para que possa ir diretamente à entrada que precisa de ser removida.
• O redirecionamento core.hooksPath (§9) reporta o caminho absoluto para o .git/config do repositório para que a reatribuição seja auditável.
• Consciente de worktrees: quando um .git é um ficheiro (contendo gitdir: …), o diretório git real é resolvido antes da inspeção.

Exemplo de descoberta

Atualização de IOCs

Edite scanner/iocs.txt e aumente o cabeçalho # version:. O formato é TYPE|VALUE|NOTES. Tipos suportados:

Nenhuma alteração de código é necessária quando novos IOCs surgem — o scanner lê-os no arranque e imprime a versão carregada no banner.

Dependências

Necessário: bash, find, grep, awk, sed, git. Opcional: jq (preferido para §1 — recai para heurística grep se ausente), npm (necessário para §10 verificação de pacotes globais; a secção é ignorada silenciosamente se não estiver disponível).

2. Scanner de Versão de Pacote Afetado (scanner/pkg_version_check.sh)

Complementar ao scanner de IOC. Lê um CSV de pares package,version afetados (por exemplo, o feed IOC do Mini Shai-Hulud em ~/Downloads/Mini Shai-Hulud - Sheet1.csv — 633 pares de pacote/versão npm) e verifica se aparecem em:

1. Um diretório de projeto local fornecido pelo utilizador — verifica package.json, package-lock.json, yarn.lock, pnpm-lock.yaml e node_modules/<pkg>/package.json instalados. Manifestos PyPI (requirements.txt, poetry.lock, Pipfile.lock) também são verificados quando o CSV contém nomes sem âmbito.
2. Os repositórios GitHub do utilizador — via CLI gh: pesquisa de código em tipos de ficheiro de bloqueio, depois validação de versão exata através da API SBOM do grafo de dependências (/repos/{owner}/{repo}/dependency-graph/sbom).

Modelo de gravidade: correspondência exata pkg@versão num ficheiro de bloqueio, node_modules/ ou SBOM → [CRITICAL]. Especificador de intervalo (^1.2.3, ~1.2.3, >=…) que possa incluir a versão afetada → [REVIEW]. Correspondência de nome de pacote sem confirmação de versão → [REVIEW]. A saída é transmitida para o terminal e para ./shai-hulud-pkg-scan-YYYYMMDD-HHMMSS.log (com ANSI removido), com um resumo de distribuição de gravidade no final.

Uso:

Formato CSV: col1 = nome do pacote (nomes com âmbito como @scope/pkg suportados), col2 = versão afetada exata. Uma linha de cabeçalho é detetada automaticamente e ignorada. Substitua o caminho com IOC_CSV=….

Dependências: bash, find, grep, awk, sed. Opcional: jq (melhora a precisão da análise de node_modules/<pkg>/package.json), gh (necessário para a fase GitHub — a fase é ignorada com uma mensagem clara se ausente ou não autenticado).

Limitações conhecidas:

• A pesquisa de código GitHub ignora ficheiros de bloqueio >384KB e apenas indexa branches predefinidas — o caminho SBOM é a verificação autoritária.
• A fase GitHub está limitada por taxa (10 req/min autenticado); limitada a ~5 pacotes por 7s, pelo que um CSV completo de 633 linhas leva ~22 minutos contra o GitHub. Execute primeiro as verificações locais, a fase GitHub separadamente.
• A análise do ficheiro de bloqueio é baseada em grep, não totalmente analisada — formatação profundamente aninhada ou invulgar pode produzir falsos negativos. O seguimento de maior valor é a análise do ficheiro de bloqueio baseada em jq.
• A API SBOM requer que o grafo de dependências do repositório esteja ativado e indexado; repositórios sem ele recaem para [REVIEW].

3. Política de Segurança do Claude Code (claude-code-policy/)

Camada de prevenção para o Claude Code, complementando a camada de deteção acima.

• Bloqueia a execução de hooks ao nível do projeto (allowManagedHooksOnly)
• Bloqueia escritas em .claude/settings.json
• Bloqueia a execução de padrões conhecidos de droppers
• Bloqueia comandos curl, wget e bun do uso de ferramentas do agente

Instalação:

Roteiro / lacunas conhecidas

• Equivalente global PyPI ao §10 (atualmente apenas npm ls -g está ligado).
• Hook pre-receive do lado do servidor para rejeitar pushes que adicionem ficheiros .claude/settings.json, .vscode/tasks.json ou .gemini/ de autores não permitidos.
• Integração opcional com proteção de push GitHub / Advanced Security.

Referências

• When the Tool Fights Back — análise complementar
• Sophos: Ataque à cadeia de suprimentos Mini Shai-Hulud em pacotes npm SAP
• Mend.io: Shai-Hulud ataca SAP — worm de cadeia de suprimentos arma Claude Code
• Wiz: Cadeia de suprimentos Mini Shai-Hulud em npm SAP
• Novee Security: Google Gemini CLI RCE — aviso CVSS 10.0
• The Hacker News: Google corrige Gemini CLI CI/CD RCE CVSS 10 (também cobre Cursor CVE-2026-26268)
• ReversingLabs: PromptMink — malware DPRK inserido na base de código via Claude
• Endor Labs: Mini Shai-Hulud regressa — 42 pacotes npm maliciosos com falsos emblemas Sigstore no ataque ao ecossistema @antv

Contribuição

Issues e PRs bem-vindos — particularmente para novas submissões de IOC (adicionar a scanner/iocs.txt e aumentar o cabeçalho da versão), raízes de verificação adicionais específicas de plataforma e padrões de deteção para ferramentas agentivas adjacentes (Continue, Cody, Codex CLI, Aider).

Licença

MIT