كيف تبقى إضافة محرر شفرة خبيثة خارج مجلد تثبيتها

إضافات محرر الشفرة برامج قابلة للتنفيذ وليست ملفات ساكنة. وقد تستطيع، بحسب المحرر والصلاحيات، قراءة ملفات المشروع وتشغيل العمليات والوصول إلى أدوات المطور.

لماذا قد لا يكفي حذف الإضافة؟

تستطيع الإضافة الخبيثة كتابة ملفات خارج مجلد تثبيتها، مثل مفاتيح تفويض SSH والمهام المجدولة ووكلاء بدء التشغيل والبرامج النصية. ولا يؤدي حذف الحزمة تلقائيا إلى إزالة هذه الآثار.

كيف يعمل الوصول العكسي؟

قد تنشئ البرمجية الخبيثة نفق SSH صادرا إلى خادم يسيطر عليه المهاجم. ويمكن للحركة الصادرة تجاوز ضوابط تمنع الاتصال المباشر الوارد، بينما يسمح المفتاح المزروع بالوصول إذا كانت خدمة SSH المحلية متاحة.

ما الذي يتطلبه التحقيق؟

ينبغي حفظ الأدلة وفحص إصدارات الإضافات وعناصر بدء التشغيل ومراجعة العمليات وحركة الشبكة، ثم إزالة الآثار الخبيثة المؤكدة وتدوير الاعتمادات المتعرضة من جهاز موثوق.