audit node modules with yara

Audit Node Modul dengan Aturan Yara

(Aturan baru, umpan balik, PR sangat dihargai)

Tabel konten

• Tujuan
• Persyaratan perangkat lunak
• Cara menggunakan
• Integrasi CI/CD
• Menambahkan aturan baru Yara

Tujuan

• Tujuan dari alat ini adalah untuk menjalankan set aturan YARA yang diberikan terhadap folder node_module yang diberikan.

• Dengan pendekatan ini, kita dapat mendefinisikan aturan YARA untuk mengidentifikasi skrip mencurigakan yang disuntikkan ke dalam paket simpul.

• Terutama terinspirasi oleh artikel -artikel ini.

  • Paket jahat di NPM. Inilah yang harus dilakukan
  • Paket NPM berbahaya menargetkan Amazon, kendur dengan serangan ketergantungan baru
  • Memburu paket NPM berbahaya

• Paket ini dapat ditambahkan ke pipa CI/CD seperti yang disebutkan di bawah ini (integrasi CI/CD).

Persyaratan perangkat lunak

• Buruh pelabuhan
• Docker menyusun
• Makefile

Cara menggunakan

1. Klone repo ini

git clone https://github.com/rpgeeganage/audit-node-modules-with-yara.git

2. Jalankan operasi audit

make NODE_MODULE_FOLDER_TO_AUDIT= < path to node_module > run

misalnya:

make NODE_MODULE_FOLDER_TO_AUDIT=../restful4up/node_modules run

Laporan

Laporan ini tersedia dalam artifacts/output.json .

Laporan sampel terlihat sebagai berikut

[
 {
  "rule" : " evil_package_1 " ,
  "string_information" : [
   " 0x6:$name: " name " : " nodecaffe " , " ,
   " 0x1f:$version: " version " : " 0.0.1 " "
  ]
 },
 {
  "rule" : " evil_package_2 " ,
  "string_information" : [
   " 0x6:$name: " name " : " sqlserver " , " ,
   " 0x1f:$version: " version " : " 4.0.5 " "
  ]
 },
 {
  "rule" : " evil_package_3 " ,
  "string_information" : [
   " 0x1d:$scripts: " scripts " : " ,
   " 0x39:$install: " mkdir -p ~/Desktop/sploit && touch ~/Desktop/sploit/haxx " "
  ]
 }
]

Integrasi CI/CD

Kami dapat menggunakan alat ini dengan CI/CD seperti yang disebutkan di bawah ini.

 #! /bin/bash
make NODE_MODULE_FOLDER_TO_AUDIT=../restful4up/node_modules run

suspicious_file_count= $( jq length artifacts/output.json )

exit $suspicious_file_count 

Menambahkan aturan baru Yara

Ketika kita perlu menambahkan aturan YARA baru, mereka harus ditambahkan ke folder yara_rules dengan ekstensi .yara .

(Aturan yang ada dibuat berdasarkan artikel ini. Mereka mungkin sudah ketinggalan zaman)

Contoh aturan yara

Mari kita buat aturan untuk paket jahat yang mungkin ini.

Aturan yang mungkin adalah seperti di bawah ini.

rule evil
{
    meta:
        name = "[email protected]"

    strings:
        $ scripts = /"scripts":/
        $ inst all = /"mkdir -p ~/Desktop/sploit && touch ~/Desktop/sploit/haxx"/

    condition:
        all of them
}

Simpan aturan ini di folder yara_rules sebagai evil.yara , dan bagus untuk pergi