Scanner de IOCs CVE-2025-54313

Scanners multiplataforma para detectar Indicadores de Comprometimento (IOCs) relacionados ao ataque à cadeia de suprimentos do eslint-config-prettier (CVE-2025-54313).

Em 18 de julho de 2025, vários pacotes npm populares foram comprometidos por meio de um ataque de phishing.

O atacante obteve acesso aos tokens npm do mantenedor e publicou versões maliciosas contendo malware específico para cada plataforma.

Pacotes e Versões Afetados

Versão para Windows

1. Baixe o script PowerShell:

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. Desbloqueie o script:

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. Defina a política de execução (se necessário):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Versão para Linux

1. Baixe o script bash:

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. Torne-o executável:

chmod +x CVE-2025-54313-Scanner.sh

3. Instale dependências opcionais para melhor desempenho:

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

Windows (PowerShell)

Verificação Rápida (diretório atual)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

Verificação Completa do Sistema

.\CVE-2025-54313-Scanner.ps1

Verificar Diretório Específico

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

Com Saída Detalhada

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

Com Caminho de Relatório Personalizado

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

Linux/Unix (Bash)

Verificação Rápida (diretório atual)

./CVE-2025-54313-Scanner.sh -q

Verificação Completa do Sistema

sudo ./CVE-2025-54313-Scanner.sh

Verificar Diretório Específico

./CVE-2025-54313-Scanner.sh --path /home/user/projects

Com Saída Detalhada

./CVE-2025-54313-Scanner.sh -q -d

Com Caminho de Relatório Personalizado

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

Exibir Ajuda

./CVE-2025-54313-Scanner.sh --help

IOCs Conhecidos

1. Arquivos de Malware

   • Windows: node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • Linux: node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • Arquivos install.js com padrões de código suspeitos
   • Hashes SHA256 conhecidos:
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (node-gyp.dll/1º estágio)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (2º estágio Scavenger)

Locais Específicos por Plataforma

Windows

• Diretório Temporário: %TEMP%
• Configuração do NPM: %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• Caminho de Verificação Padrão: C:\

Linux

• Diretórios Temporários: /tmp, /var/tmp, $TMPDIR
• Configuração do NPM: ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• Caminho de Verificação Padrão: /

Encontrou novos IOCs ou tem sugestões de melhoria?

1. Faça um fork deste repositório
2. Crie um branch de funcionalidade
3. Faça commit das suas alterações
4. Faça push para o branch
5. Abra um Pull Request

Reportando Novos IOCs

Inclua:

• Hashes de arquivos (SHA256)
• Caminhos e nomes de arquivos
• Padrões de código suspeitos
• Informações da plataforma (Windows/Linux)

📚 Leitura Complementar

• Post do Blog da Endor Labs
• Issue #339 do GitHub
• Entrada no NVD
• Banco de Dados de Vulnerabilidades da Snyk

🔍 Referência Rápida de Comandos

Windows PowerShell

# Quick scan current directory
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# Full system scan with detailed output
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# Scan specific path
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

Linux Bash

# Quick scan current directory
./CVE-2025-54313-Scanner.sh -q

# Full system scan with detailed output  
sudo ./CVE-2025-54313-Scanner.sh -d

# Scan specific path
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# Show all options
./CVE-2025-54313-Scanner.sh --help