TL; DR
nolimit-agent የታተሙ እትሞቹ የnpm ጥቅል ነው - 1.0.299 እስከ 1.0.307ከ2026-06-26 እስከ 2026-06-29 ባሉት አራት ቀናት ውስጥ ተለቋል — እያንዳንዳቸው አንድ የተሟላ የፊሺንግ እና የጅምላ-ሜይል ማዕቀፍ በተደበቀ፣ ሙሉ በሙሉ በተደበቀ ማውጫ ውስጥ። በእያንዳንዱ ስሪት ውስጥ ዋናው ግቤት ወደ .ad/x0.jsበዶትፋይል ስም በተሰየመ አቃፊ ውስጥ ከ ~86 ፋይሎች አንዱ ሲሆን በግምት 4,200 የጃቫስክሪፕት-ኦብፉስካተር string-array blobs ይይዛል፤ የመጫኛ መንጠቆው እና የመግቢያ አቀማመጥ በመስመሩ ላይ ተመሳሳይ ናቸው።
ከድፍረቱ በስተጀርባ አንድ ቦታ ተቀምጧል የማይክሮሶፍት 365 OAuth የመሣሪያ-ኮድ ፍሰት (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) አንድ ኮድ አንዴ ከፀደቀ የተጎጂውን Outlook የገቢ መልእክት ሳጥን ያነባል እና እቃዎችን በማይክሮሶፍት ግራፍ ኤፒአይ በኩል ይልካል፤ በኦፕሬተር የቀረቡ የተቀባዮች ዝርዝሮች የሚመራ የጅምላ SMTP እና የኤስኤምኤስ መላኪያ ሞተር፤ የምርት ስም ማስመሰል የመልእክት አብነቶች፤ ክፍት-ማዞሪያ አገናኝ ግንባታ፤ እና በዲኤንኤስ-ኦቨር-ኤችቲቲፒኤስ፣ WHOIS እና የጂቲኤችቲ ኮድ ፍለጋ ላይ ቅኝት። የሩጫ ጊዜ የትራፊክ ቢኮኖች ወደ ኦፕሬተር መሠረተ ልማት በ api[.]nolimitent[.]xyz:4100.
ተጽዕኖ የደረሰበት፦ የጥቅሉን ማንኛውንም ስሪት የጫነ ማንኛውም ሰው፣ እና ማንኛውም የማይክሮሶፍት 365 የመልእክት ሳጥን ባለቤቱ በእሱ በኩል የቀረበ የመሣሪያ ኮድ የሚያጸድቀው። የቅርብ ጊዜ ስሪት፣ 1.0.307, የአሁኑ የቅርብ ጊዜ መለያ ሲሆን ተመሳሳይ የመሳሪያ-ኮድ የመልእክት ሳጥን አቅም አለው - ተንኮል አዘል ኮዱ በአንድ የኋላ ስሪት ብቻ የተወሰነ አይደለም።
ከባድነት ወሳኝየተጎዳ ሥነ-ምህዳር፡ ጥዋትመጀመሪያ መፈለግ ያለበት አንድ አመልካች፡ አስተናጋጁ api[.]nolimitent[.]xyz.
ጥቃቱ፡ እንዴት እንደሚሰራ
በተደበቀ የክፍያ ጭነት ላይ ያለ ምቹ ቅርፊት
ፓኬጁ ተራ ወለል ያቀርባል። package.json ያውጃል ሀ ድህረ-ጭነት መንጠቆ -
text postinstall: node scripts/postinstall.js - እና በምርመራ ላይ ስክሪፕቶች/postinstall.js ምንም ጉዳት የለውም፡ የዊንዶውስ ትዕዛዝ ሺም ይጭናል እና ይወጣል። መንጠቆው ባህሪው የሚኖርበት ቦታ አይደለም። ዋና ና የእንጀራ ወዘተ ማስቀመጫ በርሜል ሁለቱም መስኮች ወደ ያመለክታሉ .ad/፣ መሪ ነጥቡ ተራ እንዳይሆን የሚያደርግ ማውጫ ls ውጤቱ እና ይዘቱ በእኩል መጠን በማሽን የተደበቀ ነው። የማይንቀሳቀስ ስካነር ~4,293 የተቆጠረ የክፍያ ጭነት በኮድ የተከፋፈለ ነው .ad/ የሞዱል ስብስብ; ጃቫስክሪፕት-obfuscator የተገለጸ የልማት ጥገኝነት ሲሆን፣ ይህም ከተጣመሩ ፋይሎች የሕብረቁምፊ-አደራይ-ዙሪያ ቅርፅ ጋር የሚዛመድ ነው።
መከፋፈሉ መሰየም የሚገባው የመጀመሪያው ምልክት ነው፡ ገምጋሚው የሚያጣራው የመጫኛ መንጠቆ ንፁህ ሲሆን የአሠራር ኮዱ አንድ ማውጫ ብቻ ሲቀር፣ ተደብቆ እና ተደብቆ የሚገኝ ሲሆን የሚደርሰው የጥቅሉ ወደ ውጭ የተላከው የመግቢያ ነጥብ ሲሰራ ብቻ ነው።
የማይክሮሶፍት 365 የመሳሪያ ኮድ የመልእክት ሳጥን መዳረሻ
ሞጁሉ .ad/x12.js የማዕቀፉን በጣም ወሳኝ አቅም ይይዛል። የማይክሮሶፍት 365 OAuth 2.0 መሣሪያ ፈቃድ መስጫ ፈቃድን ያንቀሳቅሳል፡
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode የመሳሪያ-ኮድ ስጦታ ለግቤት-የተገደቡ መሳሪያዎች የተነደፈ ህጋዊ የማይክሮሶፍት ፍሰት ነው፡ አንድ አገልግሎት ኮድ ይጠይቃል፣ ተጠቃሚው ኮድ የሚያስገባውን ኮድ ይተይባል። microsoft.com/devicelogin«በሁለተኛ መሣሪያ ላይ» ላይ እና ያጸድቃል፣ እና የሚጠይቀው አገልግሎት ቶከኖችን ይቀበላል። የሚጠየቀው አገልግሎት የመልዕክት ሳጥኑ ባለቤት ካልሆነ በስተቀር የሌላ ሰው ንብረት ሲሆን፣ ማረጋገጫው ለሶስተኛ ወገን ቶከኑን ይሰጣል። ቶከኑ አንዴ ከተገኘ፣ .ad/x12.js የመልዕክት ሳጥኑን በቀጥታ በማይክሮሶፍት ግራፍ በኩል ያነባል፡
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients የ $select ፕሮጀክሽኖች የላኪ አድራሻዎችን ከገቢ መልእክት ሳጥን እና የተቀባዩን አድራሻዎች ከተላኩ ዕቃዎች ይጎትታሉ - የተጎጂውን ዘጋቢዎች ለማሳመር ጥሬ እቃ። ይህ በይለፍ ቃል መቅረጽ ሳይሆን በፈቃድ በመሃል ላይ ያለ ተቃዋሚ (AiTM) መዳረሻ ነው፡ በጥንታዊው አነጋገር ለፊሽ ምንም አይነት ማረጋገጫ የለም፣ የሚፀድቅ ኮድ ብቻ ነው።
የማስመሰል አብነቶች ያሉት የጅምላ ኢሜይል እና የኤስኤምኤስ ሞተር
በፖስታ ሳጥኑ መድረሻ ዙሪያ የፖስታ መልእክት ሰሪ አለ። ፓኬጁ ኦፕሬተርን ማስተካከል የሚችሉ የውሂብ ፋይሎችን ይልካል - የላኪ ዝርዝሮች (senders.txt, smtps.txt) እና የአብነት ፋይል (functions.txt) — የቦታ ያዥ አድራሻዎቹ ለማስመሰል እንደ የውክልና ወረቀት የተነበቡለት፡ security@apple.com, login-ማረጋገጫ፣ የOAuth-service፣ የክፍያ መጠየቂያ እና የመለያ ማሳወቂያ ላኪዎች በ yourdomain.com የቆመው ኦፕሬተሩ ይተካል። የኤስኤምኤስ ጎን ስልክ ይይዛልebook እና የጌትዌይ ውቅር። የፖስታ አስተላላፊው በኦፕሬተር የቀረቡ የተቀባዮች ዝርዝሮችን ይደግማል እና በተዋቀሩ የSMTP ሪሌይዎች ይልካል።
አገናኞችን መሬት ለማድረግ፣ .ad/xu.js ና .ad/xq.js የዩአርኤል አሻሚነትን የሚተነትን እና የጠቅታ ክትትልን የሚጠቀሙ ዩአርኤሎችን ይገንቡ። የማጭበርበር ቅጦች ከሚከተሉት በፊት የታመነ የሚመስል ባለስልጣን ያካትታሉ @ ስለዚህ የሚታየው ቅድመ ቅጥያ ከእውነተኛው አስተናጋጅ ይለያል፡
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? ማዕቀፉ ከዋና ዋና ሸማቾች እና ከዋና ዋና ሸማቾች ፋቪኮኖችንም ይቀበላል enterprise የፖስታ አቅራቢዎች - አሳማኝ የአቅራቢ-ብራንድ ጥያቄ ወይም የማረፊያ ገጽ ለማቅረብ የተለመደ ዘዴ።
የዒላማ እና የመሠረተ ልማት ቅኝት
ከመላክዎ በፊት በርካታ ሞጁሎች አውድ ይሰበስባሉ። .ad/x0.js በዲኤንኤስ-ኦቨር-ኤችቲቲፒኤስ (ዲኤንኤስ-ኦቨር-ኤችቲቲፒኤስ) ላይ ስሞችን ይፈታል (dns[.]google/resolve), .ad/xa.js WHOIS (ጥያቄዎች)api[.]whois[.]vu), እና .ad/x9.js የጂትሆብ ኮድ ፍለጋን ያሂዳል (api[.]github[.]com/search/code?q=) — የተጋለጠ የሜይል-ሰርቨር ውቅር እና የSMTP ምስክርነቶችን ከማግኘት ጋር የሚስማማ ንድፍ የዝውውር ዝርዝሩን ለመመገብ። .ad/xs.js የዌይባክ ማሽንን የሲዲኤክስ ኢንዴክስ ይጠይቃል።
ትዕዛዝ እና ቁጥጥር
በተደበቀው ስብስብ ላይ፣ .ad/x4.js የአሠሪውን የመጨረሻ ነጥብ ማጣቀሻዎች፡
text http://api[.]nolimitent[.]xyz:4100 አስተናጋጁ ያካፍላል ገደብ የለሽ የአታሚው የራሱ ስም ያለው የምርት ስም፣ እና : 4100 ወደብ የማዕቀፉ የጥሪ-ቤት ቻናል ነው። ይህ ለተከላካዮች በጣም ዘላቂ አመላካች ነው፡ ፓኬጅ፣ የገንቢ ጣቢያ ወይም የሚደርስ የግንባታ ወኪል api[.]nolimitent[.]xyz ይህንን ኮድ አስኬድቷል።
የስምምነት አመልካቾች
ከዚህ በታች ያሉት አመልካቾች አንድ ተከላካዩ ሊሠራባቸው የሚችላቸው ናቸው - መቆለፊያ ፋይልን grep ማድረግ፣ አስተናጋጅን ማገድ፣ ወይም የፍለጋ ፕሮክሲ እና የዲኤንኤስ ሎጎችን መፈለግ። የማይክሮሶፍት የመጨረሻ ነጥቦች የሚታዩት ማዕቀፉ እነሱን ስለሚበድል ነው፤ እነሱ እራሳቸው ተንኮል አዘል አይደሉም እና መታገድ የለባቸውም።
በክፍልፋይ የተቀረጹ የፋይል ሃሾች፡
- package/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- ጥቅል/ጥቅል.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
የማይክሮሶፍት 365 ተከራይ ምልክት ከዚህ ፓኬጅ ውጪ ማፈላለግ ተገቢ ነው፡- በተሳካ ሁኔታ የመሳሪያ-ኮድ መግቢያዎች እና የግራፍ ንባብ ወዲያውኑ ይከተላል የሜይል አቃፊዎች/ገቢ መልእክት ሳጥን ና የmailFolders/sentesበተለይም ተጠቃሚው ከማያውቀው ክፍለ ጊዜ።
ባለቤትነት እና የታየ ባህሪ
የሚታየው ነገር ከኋላው ካለው ሰው የተለየ ሆኖ ይቆያል።
የሚታዩ እውነታዎች፡ ፓኬጁ በእጀታው ስር ታትሟል nolimit-agent ያልተረጋገጠ የጂሜይል አድራሻ እና የተገናኘ የምንጭ ማከማቻ የሌለው፤ package.json "የላቀ የኢሜይል ላኪ" እንደሆነ ይገልጸዋል እና ከሚከተሉት ጋር መለያ ይሰጠዋል ቀይ-ቡድን ቁልፍ ቃል፤ የሩጫ ጊዜ ኮድ በተደበቀ፣ በተደበቀ ሁኔታ ውስጥ ተጠናክሯል .ad/ የመሳሪያ ሰንሰለቱ ማውጫ (ጃቫስክሪፕት-obfuscator) የተገለጸ ጥገኝነት ነው፤ እና የጥሪ-ቤት አስተናጋጅ api[.]nolimitent[.]xyz እንደገና ጥቅም ላይ ይውላል ገደብ የለሽ የምርት ስም። ይህ አንድ ኦፕሬተር የሚቆጣጠረው የመሠረተ ልማት ምልክት ያለው አንድ ጥቅል ነው - ባለብዙ ጥቅል ክላስተር አይደለም፣ እና ቀደም ሲል ከተጠቀሰው ዘመቻ ጋር ምንም አይነት መደራረብ አልተገኘም።
የ ቀይ-ቡድን ቁልፍ ቃል ምደባውን አይለውጠውም። ባለሁለት አጠቃቀም አቅምን የሚያጓጉዝ ሕጋዊ የሆነ የጥቃት-ደህንነት መሳሪያ በግልጽ እንዲህ ያደርጋል፡ ሊነበብ የሚችል ምንጭ፣ ከኦፕሬተር የቀረቡ ኢላማዎች እና የተደበቀ ጥሪ-ቤት የለም። ይህ ፓኬጅ እያንዳንዱን ባህሪ ይገለብጣል - የአሠራር ኮዱ ተደብቆ እና ተደብቋል፣ እና ተጠቃሚው የሚያቀርበውን ኢላማ ሳይሆን ወደ ቋሚ የኦፕሬተር መሠረተ ልማት ይመራል። ባህሪው፣ መለያው ሳይሆን፣ ፍርዱን የሚገዛው ተንኮል አዘል ነው።
ዓላማ እዚህ አልተገለጸም። ጽሑፉ ኮዱ ምን እንደሚያደርግ ያብራራል - የመሳሪያ ኮድ መጠየቅ፣ የመልዕክት ሳጥንን በግራፍ ላይ ማንበብ፣ በተዋቀሩ ሪሌይዎች በኩል የጅምላ ደብዳቤ መላክ፣ ቢኮን ወደ ቋሚ አስተናጋጅ - እና ዓላማውን ሳይገልጽ ይቀራል።
ተጽዕኖ፣ አዝማሚያዎች እና የተሟጋች መመሪያ
ሁለት የመጫኛ ጊዜ ውጤቶች አስፈላጊ ናቸው። በመጀመሪያ፣ የሚጭን ማንኛውም ገንቢ ወይም የሲአይ ወኪል nolimit-agent ማዕቀፉን ወደዚያ አስተናጋጅ ያመጣል እና የጥሪ-ቤትን ያቋቁማል api[.]nolimitent[.]xyzሁለተኛ፣ የመሳሪያ-ኮድ ችሎታው ከመጫን አስተናጋጁ በላይ ተደራሽነትን ያሰፋዋል፡ ባለቤቱ የቀረበውን ኮድ እንዲያጸድቅ የተገፋፋው የማይክሮሶፍት 365 የመልእክት ሳጥን በቀጥታ በግራፍ በኩል ይነበባል፣ ምንም የይለፍ ቃል ሽቦውን አቋርጦ አያውቅም።
ሰፊው አዝማሚያ ውስጣዊ ማድረግ ነው። የመሣሪያ-ኮድ (AiTM) ማጭበርበሪያ ከገለልተኛ የማጭበርበሪያ መሠረተ ልማት ወደ በሕዝብ መዝገብ ቤት ላይ ወዳለ ጥቅል ተሸጋግሯል - በ የሌሊት ጭነት በኢሜል በተላከ ሊንክ ሳይሆን። ኪቱን በዚህ መንገድ ማሸግ የፊሺንግ ኦፕሬተሩን የማስተናገጃ እና የአገናኝ-ማድረሻ ችግር ለመዝገብ ተደራሽነት ይለውጠዋል፣ እና የክወና ኮዱን ከንፁህ የመጫኛ መንጠቆ እና ፈጣን የእጅ ስክሪን የሚያሸንፍ በዶትፋይል የተሰየመ የተደበቀ ማውጫ ጀርባ ይደብቃል።
ለተከላካዮች፦
- የመዝገብ እና የጥገኝነት ግምገማ። አንድ ፓኬጅ የያዘውን ዋና/የእንጀራ ወዘተ ማስቀመጫ በርሜል የመጫኛ መንጠቆው ንጹህ መስሎ መታየት አለመታየቱን ሳይለይ፣ በተመሳሳይ መልኩ የተደበቀ የመጀመሪያ ወገን ኮድ ወደተደበቀ (በነጥብ-ቅድመ-ቅጥያ) ማውጫ ውስጥ ይፈታል። ሚኒፊኬሽን መደበቅ አይደለም - በክር-አራይ ዲኮደር ፊርማ ላይ ያለው በር፣ በመስመር ርዝመት ላይ አይደለም።
- የማይክሮሶፍት 365 ማጠንከሪያ. የመሳሪያ-ኮድ ፈቃድ ፍሰቱን በሁኔታዊ መዳረሻ ይገድቡ፤ የመሣሪያ-ኮድ ስጦታዎች የሚታወቁ የAITM ቬክተር ሲሆኑ በይነተገናኝ ተጠቃሚዎች እምብዛም አያስፈልጉም። የመሣሪያ-ኮድ መግቢያዎችን ኦዲት ያድርጉ እና ወዲያውኑ የግራፍ የመልእክት ሳጥን ቆጠራን ይከተሉ።
- የአውታረ መረብ ማወቂያ። አግድ እና ማንቂያ በርቷል api[.]nolimitent[.]xyz. በገንቢው እና በግንባታ መሠረተ ልማት ላይ ወደ ውጭ የሚወጣ ዲኤንኤስ እና የተኪ ምዝግብ ማስታወሻዎችን ይፈልጉ።
- የደብዳቤ መንገድ ማወቂያ። የ ተጠቃሚ@አስተናጋጅ የዩአርኤል-ማጭበርበሪያ ቅጾች (trusted[.]com@…) በፖስታ ጌትዌይ እና ፕሮክሲው ላይ ሊገኙ የሚችሉ ናቸው፤ የስልጣን ክፍሉ ከ... በፊት የያዙትን የጥቆማ አገናኞች @.
ጥቅሉ በተተነተነበት ጊዜ በnpm ላይ በቀጥታ ስርጭት ላይ ነበር። ምክንያቱም የተደበቀው ማዕቀፍ የታተመውን የስሪት መስመር እና የአሁኑን ስለሚሸፍን ነው። የቅርብ ጊዜ መለያ (1.0.307) የመሳሪያ-ኮድ አቅምን ይይዛል፣ የመዝገብ ማውረድ እያንዳንዱን ስሪት መሸፈን አለበት፣ አንድ የጀርባ ስሪት ብቻ አይደለም።
