O se osofaʻiga lona lua i luga o afifi i totonu o le fale teu oloa NPM ua maua, e faʻaaoga ai se suiga o le worm Shai-Hulud e faʻapipiʻiina e le tagata lava ia e faʻapipiʻi ai mea leaga i totonu o faʻalagolago. O le osofaʻiga na mafua ai le lolomiina o faʻasalalauga leaga o 605 afifi, faʻatasi ma le silia ma le 100 miliona downloads.
Ina ia faia le osofaʻiga, na faʻaaogaina e le au osofaʻi le phishing e faʻalavelave ai faʻamaoniga a le tausi tala o se afifi lauiloa na faʻaaogaina e faʻalagolago i le tele o isi afifi. I le faʻaaogaina o le tala faoa, na faʻasalalau ai e le au osofaʻi se faʻasalalauga afifi o loʻo i ai le code lea na faʻagaoioia ai le anufe ina ua faʻapipiʻi le afifi na aʻafia e avea o se faʻalagolago. O le taimi lava e faʻalauiloa ai, e suʻe e le anufe le siʻosiʻomaga o loʻo iai nei mo faʻamaoniga, download ma faʻaogaina le aoga TruffleHog.
Afai e iloa se fa'ailoga feso'ota'iga NPM directory, e otometi lava ona fa'asalalau e le anufe ni fa'asalalauga leaga fou mo afifi na atia'e i le si'osi'omaga o lo'o iai nei. O lenei filifili-e afaina ai le laau faalagolago atoa. I le faʻaopoopoga i le NPM faʻailoga, o loʻo teuina e anufe le avanoa i le GitHub ma le AWS, Azure, ma le GCP (Google Cloud Platform) tautua ao, faʻapea foʻi ma suiga o le siosiomaga ma isi faʻamatalaga maʻaleʻale e mafai ona iloa e le TruffleHog scanner.
O faʻamatalaga maʻaleʻale o loʻo maua i le faiga o loʻo tuʻuina i luga o GitHub e ala i le fatuina o faleoloa ma igoa faʻafuaseʻi (faʻataʻitaʻiga, "qzx15djl71alh6p80h") ma le fuaitau "Sha1-Hulud: Le Afio Mai Faalua" i le faʻamatalaga. O faʻamaumauga o loʻo faʻailogaina ma faʻapipiʻi i GitHub Actions logs. O le fale teu oloa na faia o loʻo i ai se faila JSON (faʻataʻitaʻiga, jsonactionsSecrets.json poʻo contents.json) o loʻo i ai se manoa o loʻo i ai faʻamatalaga faʻapipiʻi base64, fesuiaiga o le siosiomaga, ma faʻamaumauga puʻeina. Ina ia fa'afeso'ota'i fa'amatalaga i fafo mai faiga fa'aauau fa'aauau a le GitHub, e faia e le anufe se fa'ata'ita'i GitHub Actions e ta'ua ".github/workflows/formatter_123456789.yml" ma fa'atulaga se tagata tamo'e e igoa ia SHA1HULUD.
O eseesega mai se osofaʻiga tutusa ia Setema o loʻo faʻafefe i lalo i se isi auala e faʻaofi ai le code leaga i totonu o le afifi. O faʻasalalauga leaga na faia e le anufe o loʻo fai mai e lagolagoina le faʻavae Bun JavaScript. O le poloaiga "node setup_bun.js" ua faaopoopo i le vaega "muamua" o le faila package.json, lea e faʻamatalaina ai tusitusiga e taʻavale aʻo leʻi faʻapipiʻiina.
O le faila "setup_bun.js" o lo'o i ai le fa'ailoga e fa'atino ai le fa'ailoga "bun_environment.js", lea e iai le code a le anufe. Ina ia faʻasalalau, e suʻe e le anufe le code package, suia le faila package.json (faʻaopoopo le numera numera ma aofia ai se valaau i le setup_bun.js), faʻaopoopo le setup_bun.js ma bun_environment.js faila, toe faʻapipiʻi le afifi, ma faʻatino le "npm publish" poloaiga e faʻapipiʻi le faʻasalalauga fou.
O afifi lauiloa faʻafefe e aofia ai: @zapier/zapier-sdk (2.8 miliona download i le vaiaso), @posthog/core (2.8 miliona), posthog-node (1.5 miliona), @asyncapi/specs (1.4 miliona), ma @postman/tunnel-agent (1.2 miliona). O le osofaʻiga e talitonuina na amata i se maliega a le tagata e tausia afifi, @asyncapi/specs.
puna: opennet.ru
