Сканер IOC CVE-2025-54313

Кроссплатформенные сканеры для обнаружения индикаторов компрометации (IOC), связанных с атакой на цепочку поставок eslint-config-prettier (CVE-2025-54313).

18 июля 2025 года несколько популярных npm-пакетов были скомпрометированы в результате фишинговой атаки.

Злоумышленник получил доступ к npm-токенам мейнтейнера и опубликовал вредоносные версии, содержащие платформозависимое вредоносное ПО.

Затронутые пакеты и версии

Версия для Windows

1. Скачайте PowerShell-скрипт:

Invoke-WebRequest -Uri "https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.ps1" -OutFile "CVE-2025-54313-Scanner.ps1"

2. Разблокируйте скрипт:

Unblock-File -Path ".\CVE-2025-54313-Scanner.ps1"

3. Установите политику выполнения (при необходимости):

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Версия для Linux

1. Скачайте bash-скрипт:

curl -O https://raw.githubusercontent.com/scavenger_scanner/CVE-2025-54313-Scanner.sh

2. Сделайте его исполняемым:

chmod +x CVE-2025-54313-Scanner.sh

3. Установите дополнительные зависимости для повышения производительности:

# Debian/Ubuntu
sudo apt-get install jq

# RHEL/CentOS/Fedora
sudo yum install jq

# macOS
brew install jq

Windows (PowerShell)

Быстрое сканирование (текущий каталог)

.\CVE-2025-54313-Scanner.ps1 -QuickScan

Полное сканирование системы

.\CVE-2025-54313-Scanner.ps1

Сканирование указанного каталога

.\CVE-2025-54313-Scanner.ps1 -ScanPath "D:\Projects"

С подробным выводом

.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

С собственным путём для отчёта

.\CVE-2025-54313-Scanner.ps1 -ReportPath "C:\Security\CVE-Report.txt"

Linux/Unix (Bash)

Быстрое сканирование (текущий каталог)

./CVE-2025-54313-Scanner.sh -q

Полное сканирование системы

sudo ./CVE-2025-54313-Scanner.sh

Сканирование указанного каталога

./CVE-2025-54313-Scanner.sh --path /home/user/projects

С подробным выводом

./CVE-2025-54313-Scanner.sh -q -d

С собственным путём для отчёта

./CVE-2025-54313-Scanner.sh --report /tmp/cve-report.txt

Показать справку

./CVE-2025-54313-Scanner.sh --help

Известные IOC

1. Вредоносные файлы

   • Windows: node-gyp.dll, loader.dll, version.dll, umpdc.dll, profapi.dll
   • Linux: node-gyp.so, loader.so, version.so, libumpdc.so, libprofapi.so
   • файлы install.js с подозрительными фрагментами кода
   • Известные SHA256-хэши:
     • c68e42f416f482d43653f36cd14384270b54b68d6496a8e34ce887687de5b441 (node-gyp.dll/1-й этап)
     • 5bed39728e404838ecd679df65048abcb443f8c7a9484702a2ded60104b8c4a9 (2-й этап Scavenger)

Расположение по платформам

Windows

• Временный каталог: %TEMP%
• Конфигурация NPM: %USERPROFILE%\.npmrc, %APPDATA%\npm\.npmrc
• Путь сканирования по умолчанию: C:\

Linux

• Временные каталоги: /tmp, /var/tmp, $TMPDIR
• Конфигурация NPM: ~/.npmrc, ~/.config/npm/.npmrc, /usr/local/etc/npmrc, /etc/npmrc
• Путь сканирования по умолчанию: /

Нашли новые IOC или есть предложения по улучшению?

1. Сделайте форк этого репозитория
2. Создайте ветку функции (feature branch)
3. Зафиксируйте свои изменения
4. Отправьте изменения в ветку
5. Откройте Pull Request

Сообщение о новых IOC

Пожалуйста, укажите:

• Хэши файлов (SHA256)
• Пути и имена файлов
• Подозрительные паттерны кода
• Информация о платформе (Windows/Linux)

📚 Дополнительные материалы

• Запись в блоге Endor Labs
• Проблема GitHub #339
• Запись в NVD
• База данных уязвимостей Snyk

🔍 Краткий справочник команд

Windows PowerShell

# Quick scan current directory
.\CVE-2025-54313-Scanner.ps1 -QuickScan

# Full system scan with detailed output
.\CVE-2025-54313-Scanner.ps1 -DetailedOutput

# Scan specific path
.\CVE-2025-54313-Scanner.ps1 -ScanPath "C:\Users\John\Projects"

Linux Bash

# Quick scan current directory
./CVE-2025-54313-Scanner.sh -q

# Full system scan with detailed output  
sudo ./CVE-2025-54313-Scanner.sh -d

# Scan specific path
./CVE-2025-54313-Scanner.sh -p /home/john/projects

# Show all options
./CVE-2025-54313-Scanner.sh --help