安全决策报告
defender2
defender2是一个合法的NPM恶意软件检测工具，声称功能与实际代码行为一致，使用IOC列表检测已知恶意IP是标准威胁情报实践。
为什么得出这个结论
1/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
阻止
隐藏执行与外联
提取到 2 个高危 IOC 或外联信号。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
IOC列表包含已知恶意IP +10
代码中IOC_IPS包含140.82.54.223，但这是用于检测已知恶意地址的标准实践，非实际连接
Base64编码模式检测 +10
SKILL.md中记录了eval(atob())作为检测模式，这是恶意软件检测工具的标准规则，非恶意行为
最关键的证据
低危
IOC列表包含已知恶意地址
代码IOC_IPS包含140.82.54.223，IOC_URLS包含calendar.app.google相关地址。这是安全检测工具的标准威胁情报库用法，非攻击代码。
scripts/pua.py:61 无需处理。这是用于检测已知恶意地址的标准实践。
提示
Base64编码模式检测规则
代码检测eval(atob())等危险代码模式，这是恶意软件检测的核心功能，非实际执行。
scripts/pua.py:67 无需处理。这是检测规则，不是攻击代码。
提示
仅使用Python标准库
脚本仅依赖Python标准库（base64, re, os, sys, json, pathlib, typing），无第三方依赖引入风险。
scripts/pua.py:1 无需处理。标准库可信。
声明能力 vs 实际能力
文件系统 通过
声明 READ
→ 推断 READ
scripts/pua.py:146-158 读取文件进行扫描 网络访问 通过
声明 NONE
→ 推断 NONE
无网络请求代码 命令执行 通过
声明 NONE
→ 推断 NONE
无subprocess调用 可疑产物与外联
严重 编码执行
eval(atob( SKILL.md:46
高危 IP 地址
140.82.54.223 scripts/pua.py:94
依赖与供应链
没有结构化依赖告警。
文件构成
3 个文件 · 401 行
Python 1 个文件 · 346 行Markdown 1 个文件 · 50 行JSON 1 个文件 · 5 行
需关注文件 · 2
scripts/pua.py IOC列表包含已知恶意地址 · Base64编码模式检测规则 · 仅使用Python标准库 · 140.82.54.223
SKILL.md eval(atob(
其他文件 · _meta.json
安全亮点
声称功能与实际代码完全一致，无文档-行为差异
仅使用Python标准库，无第三方依赖风险
无网络连接、文件写入、shell执行等敏感操作
代码结构清晰，检测逻辑合理
使用IOC列表进行威胁检测是行业标准实践