Shai-Hulud gjør editorinnstillinger til en del av sikkerhetskontrollen
JFrog beskriver skadelige hooks og editoroppgaver i augustkampanjen. Gjennomgå kjørbare prosjektinnstillinger sammen med avhengighetene.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
Et kodearkiv kan inneholde instrukser som kjøres gjennom editoren eller kodeassistenten, i tillegg til programmet dere bevisst bygger. JFrogs analyse av Shai-Hulud-kampanjen i august beskriver skadelig prosjektkonfigurasjon, blant annet editoroppgaver og Claude Code-hooks, i tillegg til kjøring ved pakkeinstallasjon.
Hva som kjører, avhenger av verktøy, versjon og tillitsinnstillinger. At et kodearkiv er klonet, beviser ikke alene at en skadelig kommando er utført. Undersøk hva verktøyene fikk lov til å kjøre etterpå.
Les det som starter automatisk
Ta med prosjektoppgaver, hooks og oppstartskonfigurasjon i kodegjennomgangen. Et kjent filnavn for innstillinger bør ikke frita kommandoer eller nedlastede skript fra vurdering.
Vi anbefaler å undersøke ukjente prosjekter i et begrenset oppsett før automatikken aktiveres. Gi dette oppsettet færrest mulig tilganger. En editor som skal åpne ukjent kode, bør ikke uten videre arve rett til å publisere pakker eller nå produksjon.
I byggeløpet bør dere vite hvilke installasjonstrinn som kan kjøre pakkeskript, og hvilke påloggingsdata som er tilgjengelige da. En kompromittert avhengighet blir mer alvorlig når bygget også har vide publiseringsrettigheter.
Undersøk mulig eksponering
Hvis prosjektet brukte en berørt pakke eller konfigurasjon, følg indikatorene og rådene i forskningen og relevante sikkerhetsvarsler. Finn ut hva som kjørte, på hvilke maskiner, og hvilke tilganger som var tilgjengelige.
Det er ikke nok å slette filen hvis en nøkkel kan ha blitt kopiert. Trekk tilbake berørte tilganger, undersøk videre bruk og bygg kompromitterte kjøremiljøer på nytt der hendelsesvurderingen tilsier det.
Skill mellom funnene. En oppføring i en låsefil, et kjørt skript og en nøkkel brukt andre steder er ikke det samme.
Kampanjen gir grunn til å se utover avhengighetslisten. Konfigurasjonen som bestemmer hva utviklerverktøyet kjører, fortjener samme oppmerksomhet som koden det brukes til å lage.
