Written with AI assistance from the source video. The video is the authority.
6:21Maximilian Schwarzmüller
Log in to leave a comment
No posts yet
ليس لديك وقت لتضيعه في البحث عبر جوجل حتى وقت متأخر من الليل بعد سماع أخبار الحوادث الأمنية. ففي مايو 2026، تم توزيع إضافة خبيثة لبرنامج فيجوال س튜디오 كود مما أدى إلى اختراق أجهزة المطورين وتسرب حوالي 3,800 مستودع شيفرة مصدرية داخل الشركة كما هي. في مثل هذه الحالة، إذا قمت بحذف الشيفرة المصدرية عشوائياً أو قمت بتهيئة الحاسوب المحمول، ستتطاير أدلة التحليل الجنائي ولن تتمكن حتى من معرفة السبب. دعنا نتحقق مما إذا تم اختراق النظام عبر البحث مباشرة في سجلات تشغيل مدير الحزم، والطوابع الزمنية لواجهة سطر الأوامر (CLI) العامة، وصلاحيات العمليات قيد التشغيل حالياً.
يترك مدير الحزم سجلات المعاملات في مجلد التخزين المؤقت للنظام أثناء عملية التثبيت. حيث يقوم npm بإخراج سجلات تصحيح الأخطاء في مجلد _logs داخل مسار npm config get cache، بينما يترك pnpm الملفات الأثرية في pnpm store path. نظراً لأن الحزم الخبيثة تقوم بتسريب متغيرات البيئة أو بيانات الاعتماد إلى الخارج من خلال النصوص البرمجية التي يتم تنفيذها لحظة التثبيت، يجب عليك أولاً فحص سجلات تنفيذ دورة الحياة.
الأمر التالي هو للبحث في سجلات آخر 14 يوماً لالتقاط أي إضافات غير مصرح بها للحزم أو تنفيذ نصوص برمجية خارجية. قم بتشغيل الطرفية (Terminal) واكتب الأمر التالي كما هو:
`bash
NPM_CACHE_DIR=$(npm config get cache)
find $NPM_CACHE_DIR/_logs/ -type f -mtime -14 -exec grep -Hn "lifecycle" {} +
`
تحقق من شاشة النتائج لمعرفة ما إذا كانت خطافات preinstall أو postinstall التي لم تقصدها قد عملت. ينتهي الأمر في 3 دقائق. إذا لم تكن هناك سجلات لاتصالات بروتوكول إنترنت (URL) خارجية غريبة، يمكنك التقاط أنفاسك مؤقتاً بشأن الخوف من التلوث المباشر على مستوى الحزم.
يزرع المهاجمون برمجيات خبيثة ثنائية في أدوات واجهة سطر الأوامر العامة (Global CLI) أو ذاكرة التخزين المؤقت لـ npx للاختباء داخل الحاسوب المحمول. قم باستخراج قائمة الحزم المثبتة عالمياً وقارن تواريخ إنشاء وتعديل ملفات مجلد الملفات الثنائية مع سجلات النظام للتحقق من سلامتها.
`bash
npm list -g --depth=0 --json
ls -lact $(npm config get prefix)/bin/
`
إذا تزامنت نقطة التعديل مع نطاق زمني خاطئ، استخرج قيمة التجزئة (Hash) وقارنها بالأمر أدناه.
`bash
shasum -a 256 $(npm config get prefix)/bin/
`
تنسيق نصوص تثبيت الحزم يعمل بصلاحيات حساب المطور نفسها. يجب عليك قطع عمليات الخادم الخلفي (Daemon) قيد التشغيل في الخلفية.
`bash
ps aux | grep -E "node|npm|pnpm|bun" | grep -v grep
lsof -i -P -n | grep -E "node|npm|pnpm"
`
إذا كانت العملية المشبوهة تتواصل مع خادم C2 خارجي، فلنقضِ عليها فوراً.
`bash
kill -9 [PID]
npm config set ignore-scripts true
`
النمط المتكرر لهجمات سلسلة الإمداد هو العبث بملفات الإعدادات لاختطاف السجل. يقوم المهاجمون بزرع عناوين خوادم مرآة خبيثة في ملف .npmrc داخل المشروع أو في الإعدادات العامة. نظراً لأنه يتم تغيير مسار عنوان التنزيل داخل ملف القفل (Lockfile) لتلقي حزم tarball خبيثة عند التثبيت الفعلي، يجب عليك فحص جميع قيم الإعدادات.
إجراء التحقق مما إذا كان هناك تجاوزات غير مصرح بها في الإعدادات المحلية والعامة هو كالتالي. أولاً، استخرج قائمة ربط الإعدادات.
`bash
npm config list
pnpm config list
`
بعد ذلك، تحقق مما إذا كان نطاق السجل الخاص بالشركة مضبوطاً بشكل صحيح.
`bash
npm config get @company:registry
`
ابحث مباشرة عما إذا كانت عناوين المرآة الخارجية مشفرة بقوة في ملفات إعدادات جذر المشروع ومجلد المستخدم الرئيسي.
`bash
grep -Rn "registry" ~/.npmrc ./.npmrc
`
من خلال هذه الخطوات الثلاث، يمكنك تحديد ما إذا تم تسجيل عنوان مرآة غريب في غضون 5 دقائق.
بما أن ملفي package-lock.json و pnpm-lock.yaml يسجلان عنوان المصدر لتنزيل التبعيات، يجب عليك فحص حالات التلوث باستخدام التعبيرات المنتظمة (Regex).
`bash
grep -E '"resolved": "https?://' package-lock.json | grep -vE 'registry.npmjs.org|registry.corp.example'
`
إذا كنت تستخدم pnpm، أدخل الأمر التالي.
`bash
grep -E 'resolution: {tarball:' pnpm-lock.yaml | grep -vE 'registry.npmjs.org|registry.corp.example'
`
إذا ظهر ملف قفل ملوث، يجب عليك حذف كل شيء وإعادة إنشائه.
`bash
rm -rf node_modules package-lock.json pnpm-lock.yaml
npm cache clean --force
pnpm store prune
npm config set registry https://registry.npmjs.org/
npm ci --ignore-scripts
`
من خلال تجاهل تنفيذ نصوص دورة الحياة وإعادة تكوين شجرة التبعيات في حالة ثابته، يمكنك تأمين بيئة بحالة نقية.
تقوم الملفات الثنائية الخبيثة بسرقة مخازن كلمات مرور المتصفح في بيئات لينكس وماك، وجمع مفاتيح AI API، ومفاتيح AWS Access، ومفاتيح SSH المضمنة في متغيرات البيئة بالكامل. يجب عليك فحص ما إذا تم كشف بيانات الاعتماد في بيئة الطرفية الآن فوراً.
`bash
ls -la ~/.ssh/
env | grep -E 'TOKEN|KEY|SECRET|AUTH|AWS|GITHUB|OPENAI|ANTHROPIC'
grep -E '(ghp_[A-Za-z0-9]{36}|AKIA[0-9A-Z]{16}|bearer)' ~/.zsh_history ~/.bash_history
`
إذا ظهر مفتاح مكشوف بنص صريح (Plaintext)، قم بإلغائه فوراً دون تسامح. تحقق أيضاً من نطاق الرموز المميزة المسجلة الدخول باستخدام GitHub CLI.
`bash
gh auth status
`
قم بالتخلص فوراً من الرموز المميزة الكلاسيكية (Classic Tokens) التي تحتوي على صلاحيات الوصول إلى جميع المستودعات. عند إعادة إنشاء رموز PAT، حدد مستودعات معينة فقط واقصر نطاق القراءة على الحد الأدنى.
لعزل المضيف المحلي وعمليات التطوير، يجب استخدام هيكل DevContainer. قم بإنشاء ملف .devcontainer/devcontainer.json في جذر المشروع واضبط الصورة كالتالي.
`json
{
"image": "mcr.microsoft.com/devcontainers/javascript-node:22",
"postCreateCommand": "npm ci --ignore-scripts"
}
`
عند تشغيل الحاوية بهذه الطريقة، يتم تشغيل تثبيت الحزم والبناء بمعزل تام عن بيانات الاعتماد الخاصة بنظام الحاسوب المحمول الأساسي، مما يتيح لك حظر مسارات تسرب أصول الشركة من المصدر.