Dự án tự mô tả như thế nào
Kho lưu trữ mô tả Axie Infinity Bot là một bản dựng máy tính để bàn độc lập đã kích hoạt sẵn dành cho Windows x64. Dự án tuyên bố có dung lượng khoảng 1,5 GB và предназначено для тестирования и развертывания.
README cũng mô tả ứng dụng là một tiện ích máy tính để bàn ngoại tuyến. Tuy nhiên, quy trình thiết lập được tài liệu hóa lại tải xuống và thực thi một tập lệnh PowerShell từ miền bên thứ ba. Hành vi này cần được xem là mối lo ngại bảo mật đáng kể và không phù hợp với mô tả về một ứng dụng hoàn toàn ngoại tuyến.
Cảnh báo bảo mật quan trọng
Không sao chép và chạy lệnh cài đặt được cung cấp trên máy tính cá nhân hoặc máy tính sản xuất nếu chưa tự xác minh kho lưu trữ, máy chủ tải xuống, nội dung tập lệnh, danh tính nhà phát hành và chữ ký tệp.
- Lệnh này truy xuất một tập lệnh từ xa và lập tức thực thi tập lệnh đó trong bộ nhớ.
- README không cung cấp mã nguồn, mã băm, chữ ký bản phát hành hoặc chứng chỉ nhà phát hành có thể xác minh.
- Giải pháp được tài liệu hóa sử dụng thao tác bỏ qua chính sách thực thi PowerShell, qua đó loại bỏ một cơ chế an toàn quan trọng của Windows.
- Hướng dẫn khuyến nghị tắt tính năng bảo vệ chống virus theo thời gian thực. Điều này không an toàn đối với phần mềm không đáng tin cậy và không nên được sử dụng như một bước cài đặt thông thường.
- Bot đã kích hoạt sẵn có thể vi phạm điều khoản dịch vụ của trò chơi hoặc nền tảng liên quan.
Không bao giờ tắt phần mềm bảo mật hoặc bỏ qua các cơ chế kiểm soát thực thi chỉ vì trình cài đặt yêu cầu. Trước tiên, hãy xác định rằng phần mềm và kênh phân phối của phần mềm là đáng tin cậy.
Đánh giá quy trình thiết lập được nêu
README hướng dẫn người dùng Windows mở PowerShell và thực thi một lệnh tải xuống tập lệnh từ git-software.cc. Vì đây là một tập lệnh từ xa chưa được kiểm tra, việc chạy lại lệnh này sẽ trao cho máy chủ từ xa quyền kiểm soát những gì được thực thi trên máy.
Quy trình đánh giá an toàn hơn là lấy tập lệnh dưới dạng tệp mà không thực thi, kiểm tra tệp trong trình soạn thảo văn bản và xác minh nguồn gốc thông qua các kênh dự án đáng tin cậy. Không nên chỉ dựa vào URL để chứng minh tính xác thực.
- Sử dụng máy ảo Windows biệt lập hoặc môi trường kiểm thử dùng một lần thay vì máy tính chính.
- Ngắt kết nối môi trường kiểm thử khỏi các tài khoản nhạy cảm, ví, tệp cá nhân và mạng doanh nghiệp.
- Chỉ tải tệp thông qua trang phát hành đã được xác minh hoặc kho lưu trữ do nhà phát hành được biết đến kiểm soát.
- Ghi lại mã băm mật mã và so sánh chúng với mã băm do người duy trì đáng tin cậy công bố.
- Quét tệp bằng các công cụ bảo mật hiện hành và kiểm tra mọi tập lệnh trước khi thực thi.
- Xóa môi trường kiểm thử nếu không thể xác thực gói phần mềm hoặc nếu gói có hành vi bất thường.
Tại sao giải pháp PowerShell này tiềm ẩn rủi ro
README đề xuất sử dụng powershell -ExecutionPolicy Bypass khi Windows chặn tập lệnh. Chính sách thực thi không phải là ranh giới bảo mật hoàn chỉnh, nhưng việc bỏ qua chúng vẫn loại bỏ một cấu hình bảo vệ và khiến mã không đáng tin cậy dễ bị vô tình chạy hơn.
Tương tự, việc tạm thời tắt SmartScreen hoặc tính năng bảo vệ theo thời gian thực có thể khiến hệ thống bị phần mềm độc hại tấn công. Nếu phần mềm bảo mật chặn trình cài đặt, hãy xem đó là dấu hiệu cần điều tra gói phần mềm thay vì một vấn đề cần tìm cách vượt qua.
Cách sử dụng cơ bản và các lưu ý vận hành
README không ghi lại giao diện người dùng, tùy chọn dòng lệnh, tệp cấu hình, các phiên bản trò chơi được hỗ trợ, nhật ký, cơ chế cập nhật hoặc quy trình khởi chạy đã được xác minh. Do đó, không có đủ thông tin đáng tin cậy để cung cấp hướng dẫn sử dụng an toàn ngoài việc đánh giá gói phần mềm trong môi trường biệt lập.
Trước khi cân nhắc bất kỳ công cụ tự động hóa máy tính để bàn nào, hãy xác nhận rằng việc sử dụng công cụ đó tuân thủ quy tắc của trò chơi và các chính sách tài khoản hiện hành. Tránh nhập thông tin đăng nhập, cụm từ khôi phục ví, thông tin thanh toán hoặc khóa API vào ứng dụng chưa được xác minh.
Mẹo xác minh nâng cao
Kiểm tra chuỗi phân phối
Kiểm tra xem chủ sở hữu kho lưu trữ, tác giả bản phát hành, miền tải xuống và chứng chỉ ký có liên kết với nhau thông qua một nguồn có thể xác minh độc lập hay không. Một tên miền giống dịch vụ phân phối phần mềm không phải là bằng chứng về tính hợp pháp.
Kiểm tra tệp trước khi thực thi
Xem xét siêu dữ liệu tệp thực thi, chữ ký số, mã băm tệp, hành vi của trình cài đặt và các kết nối mạng. Nếu ứng dụng tự động khởi chạy, tạo cơ chế duy trì hoạt động, yêu cầu quyền quản trị viên hoặc kết nối đến các miền không rõ lý do, hãy dừng kiểm thử và điều tra thêm.
Sử dụng biện pháp cô lập
Bản chụp máy ảo, tài khoản người dùng bị hạn chế, mạng chỉ dành cho máy chủ và việc không cấp quyền truy cập tệp cá nhân có thể giảm mức độ phơi nhiễm trong quá trình phân tích. Những biện pháp kiểm soát này không khiến phần mềm chưa xác định trở nên an toàn, nhưng chúng hạn chế tác động tiềm ẩn của một vụ xâm phạm.
Ưu tiên bản dựng có thể tái lập
Đối với phần mềm hợp pháp, hãy tìm mã nguồn công khai, hướng dẫn xây dựng được tài liệu hóa, bản phát hành có chữ ký, nhật ký thay đổi, hệ thống theo dõi vấn đề và thông tin người duy trì rõ ràng. Không nên xem một tệp nhị phân đã kích hoạt sẵn nhưng không có nguồn gốc có thể xác minh là gói triển khai đáng tin cậy.
Kết luận
README giới thiệu trình cài đặt Axie Infinity Bot cho Windows x64, nhưng lệnh thực thi PowerShell từ xa, thao tác bỏ qua chính sách thực thi, khuyến nghị tắt phần mềm diệt virus, dữ liệu xác minh còn thiếu và nguồn phân phối không rõ ràng tạo ra những rủi ro đáng kể. Cách an toàn nhất là không chạy lệnh được cung cấp. Nếu cần nghiên cứu phần mềm, chỉ phân tích phần mềm trong môi trường dùng một lần, biệt lập và yêu cầu nguồn gốc có thể xác minh trước khi thực thi.