Apiiro ابزار اسکن رایگان برای تشخیص ادغام کدهای مخرب را رونمایی کرد

محققان امنیتی شرکت Apiiro دو ابزار رایگان و متن‌باز برای تشخیص و مسدودسازی کدهای مخرب قبل از اضافه شدن به پروژه‌های نرم‌افزاری منتشر کرده‌اند تا از حملات زنجیره تأمین (supply chain attacks) جلوگیری کنند. این ابزارها شامل مجموعه قوانین جامعی برای Semgrep و Opengrep برای تشخیص الگوهای کد مخرب با حداقل نتایج مثبت کاذب و ابزار PRevent هستند که به GitHub متصل شده و کدهای مشکوک در درخواست‌های ادغام (pull requests) را شناسایی و هشدار می‌دهد.

بر اساس گفته‌های متان گیلادی، محقق امنیتی Apiiro، این ابزارها دارای نرخ تشخیص مثبت کاذب بسیار کم هستند که آنها را در عمل بسیار ارزشمند می‌سازد. دقت تشخیص مجموعه قوانین برای بسته‌های PyPI حدود ۹۴.۳ درصد و برای بسته‌های npm حدود ۸۸.۴ درصد است، در حالی که PRevent در ۹۱.۵ درصد موارد بررسی شده، درخواست‌های ادغام مخرب را با موفقیت شناسایی می‌کند. استراتژی تشخیص کد مخرب Apiiro بر اساس شناسایی “الگوهای ضد کد” (code anti-patterns) است که شامل روش‌های مختلف مبهم‌سازی، استفاده از توابع exec() و eval()، دانلود و اجرای محموله‌های راه دور و روش‌های سرقت داده‌های حساس کاربران می‌شود.