audit node modules with yara

Audit des modules de nœud avec les règles YARA

(Nouvelles règles, commentaires, PRS sont très appréciés)

Tableau de contenu

• But
• Exigences logicielles
• Comment utiliser
• Intégration CI / CD
• Ajout de nouvelles règles de Yara

But

• Le but de cet outil est d'exécuter un ensemble donné de règles YARA dans le dossier node_module donné.

• Avec cette approche, nous pouvons définir les règles YARA pour identifier les scripts suspects qui sont injectés dans des packages de nœuds.

• Principalement inspiré par ces articles.

  • Packages malveillants dans NPM. Voici quoi faire
  • Les packages NPM malveillants ciblent Amazon, Slack avec de nouvelles attaques de dépendance
  • Packages NPM malveillants de chasse

• Ce package peut être ajouté au pipeline CI/CD comme mentionné ci-dessous (intégration CI / CD).

Exigences logicielles

• Docker
• Docker
• Makefile

Comment utiliser

1. Cloner ce repo

git clone https://github.com/rpgeeganage/audit-node-modules-with-yara.git

2. Exécuter l'opération d'audit

make NODE_MODULE_FOLDER_TO_AUDIT= < path to node_module > run

Par exemple:

make NODE_MODULE_FOLDER_TO_AUDIT=../restful4up/node_modules run

Rapport

Le rapport est disponible dans artifacts/output.json .

Un exemple de rapport ressemble à ce qui suit

[
 {
  "rule" : " evil_package_1 " ,
  "string_information" : [
   " 0x6:$name: " name " : " nodecaffe " , " ,
   " 0x1f:$version: " version " : " 0.0.1 " "
  ]
 },
 {
  "rule" : " evil_package_2 " ,
  "string_information" : [
   " 0x6:$name: " name " : " sqlserver " , " ,
   " 0x1f:$version: " version " : " 4.0.5 " "
  ]
 },
 {
  "rule" : " evil_package_3 " ,
  "string_information" : [
   " 0x1d:$scripts: " scripts " : " ,
   " 0x39:$install: " mkdir -p ~/Desktop/sploit && touch ~/Desktop/sploit/haxx " "
  ]
 }
]

Intégration CI / CD

Nous pouvons utiliser cet outil avec CI/CD comme mentionné ci-dessous.

 #! /bin/bash
make NODE_MODULE_FOLDER_TO_AUDIT=../restful4up/node_modules run

suspicious_file_count= $( jq length artifacts/output.json )

exit $suspicious_file_count 

Ajout de nouvelles règles de Yara

Lorsque nous devons ajouter de nouvelles règles YARA , elles doivent être ajoutées au dossier yara_rules avec extension .yara .

(Les règles existantes sont créées sur la base de cet article. Ils pourraient être obsolètes)

Exemple de règle Yara

Créons une règle pour ce possible package malveillant.

Une règle possible est comme ci-dessous.

rule evil
{
    meta:
        name = "[email protected]"

    strings:
        $ scripts = /"scripts":/
        $ inst all = /"mkdir -p ~/Desktop/sploit && touch ~/Desktop/sploit/haxx"/

    condition:
        all of them
}

Sauvez cette règle dans le dossier yara_rules comme evil.yara , et bon à y aller