TL; DR
የተሰየመ የPyPI ጥቅል gcli-control ሙሉ የዊንዶውስ የርቀት መዳረሻ መሳሪያ ልኳል፤ የቁልፍ ምዝግብ ማስታወሻ፣ የድር ካሜራ እና የማይክሮፎን ቀረጻ፣ የቅንጥብ ሰሌዳ ክትትል፣ የአሳሽ-ማረጋገጫ መዳረሻ፣ የማያ ገጽ ቁጥጥር፣ ጽናት፣ የልዩነት ከፍታ እና በራስ የሚተዋወቅ "140+ ትዕዛዞች"። ምን እንደሆነ አልደበቀም፤ የጥቅሉ የራሱ የPyPI ማጠቃለያ "የርቀት መዳረሻ መሣሪያ በ" በኩል" ሲል ገልጾታል። npoint.io".
ቆም ብሎ ማሰብ የሚገባው ዝርዝር ሐረግ ነው "በ npoint.io በኩል።" ወደ አንድ የተወሰነ አገልጋይ ከመጥራት ይልቅ፣ የተተከለው ተቋም ጥቅም ላይ ውሏል npoint[.]io (ትናንሽ የJSON ሰነዶችን ለማስተናገድ ነፃ፣ ህጋዊ አገልግሎት) እንደ ትዕዛዝ እና ቁጥጥር ማስተላለፊያ። ኦፕሬተሩ ትዕዛዞችን ወደ JSON ቢን ይጽፋል፤ የሚቆፍሩትን፣ የሚያስፈጽማቸውን እና ውጤቶችን የሚጽፉ የኢምፕላንት ጥናቶችን ያደርጋል። በአጥቂ የተያዘ ጎራ የለም፣ የሚጠቆም አዲስ አይፒ የለም፡ ትራፊኩ በየቀኑ ወደ ገንቢዎች ለሚጠቀሙት አገልግሎት ይሄዳል።
ስድስት ቅጂዎች በአስራ ሶስት ተኩል ሰዓታት ውስጥ ታትመዋል፣ እያንዳንዳቸው ከመጨረሻዎቹ የበለጠ አቅም አላቸው። እያንዳንዳቸው ነጥብ ተሰጥቷቸዋል። ml_predicated_safe በእጅ ከመገምገሙ በፊት በራስ-ሰር ክላሲፋየር ቤተሰቡን እንደ ተንኮል አዘል አድርጎ እንደገና መድቧል።
የአጥቃት አናቶሚ
gcli-control የማስመጣት ፓኬጁን ይጭናል ጂክሊ, 35-ሞዱል የፓይዘን ኮድቤዝ። የመጫኛ ጊዜ የለም hooks - በዚህ ጊዜ ምንም ነገር አይሄድም ፒፕ መጫን. ብቃቱ በሞጁሎቹ ውስጥ ይኖራል፣ መሳሪያው ከሰራ በኋላ ይጠቀሳል፣ እና የሞጁሉ አቀማመጥ እንደ የምርት ዝርዝር መግለጫ ወረቀት ይነበባል፡
የትእዛዝ ቻናሉ አስደሳች ክፍል ነው። አብዛኛዎቹ የርቀት መዳረሻ መሳሪያዎች ኦፕሬተሩ የሚቆጣጠረውን አገልጋይ ይደርሳሉ - አይፒ፣ ጎራ፣ ሪፖርት ሊደረግ እና ከመስመር ውጭ ሊወሰድ የሚችል የማስተናገጃ አቅራቢ። gcli-control በምትኩ የሚያክመው ነፃ የጄኤስኤን-ቢን አገልግሎት እንደ ዴም-ድሆች. የ npoint ሞጁሉ ትናንሽ የJSON ሰነዶችን ያነባል እና ይጽፋል በ ላይ npoint[.]io ከመደበኛ HTTPS በላይ፤ crypto/ምስጠራ ሞጁሎች የተለዋወጡትን የክፍያ ጭነቶች ይጠቅልሉ፣ በዚህም የቢን ይዘቱ ግልጽ ጽሑፍ ትዕዛዞች እንዳይሆኑ ያደርጋል። ውጤቱ መካከለኛ፣ የተመሰጠረ ቅብብል ነው፡
- ኦፕሬተሩ (የተመሰጠረ) መመሪያን ወደ JSON ቢን ውስጥ ይጥላል።
- የተተከለው ኢንተለጀንት በተጎጂው አስተናጋጅ ላይ የሚሰራ ሲሆን፣ ከትዕዛዝ ተቆጣጣሪዎቹ አንዱን የሚቆፍር፣ የሚፈታ፣ የሚያስፈጽም እና (የተመሰጠረውን) ውጤት የሚጽፍበትን መንገድ ይመረምራል።
- ለኔትወርክ ሞኒተር፣ ተጎጂው በቀላሉ እያነጋገረው ነው npoint[.]io — በገንቢ ትራፊክ ውስጥ ለመታየት ሕጋዊ ምክንያት ያለው አገልግሎት።
እዚህ ሁለተኛ ደረጃ ማውረድ እና የተደበቀ ጫኝ የለም፡ አቅሙ ሙሉ በሙሉ ሊነበብ በሚችል ፓይዘን ውስጥ ይልካል፣ እና ብቸኛው "መደበቅ" የሪሌይ ምርጫ እና የተላከውን የክፍያ ጭነት ምስጠራ ነው።
የጄኤስኤን-ቢን ዴድ-ድሮፕ አሠራርን በመጠቀም ማራኪ የሆነው ለምንድን ነው? መገለጽ ያለበት፣ ምክንያቱም ንድፉን እንደገና ለማየት የምንጠብቀውን ምክንያት ስለሚያብራራ ነው፡
- በኦፕሬተር የተያዘ የመጨረሻ ነጥብ የለም። ለመመዝገብ የC2 ዶሜይን የለም፣ ለኪራይ የ VPS የለም፣ እና ተከላካዩ ወይም መዝጋቢው የሚይዘው ምንም ነገር የለም። እሽግ ቻናሉን አይነካም፤ የቻናሉን ማውረድ ሰርጥ በሚሊዮኖች መካከል አንድ ሰነድን ለመቆጣጠር አጠቃላይ ዓላማ ያለው SaaS መጠየቅ ማለት ነው።
- የዝና ልብስ ማጠብ። ወደ ታዋቂ የገንቢ አገልግሎት የሚወጣው HTTPS አዲስ ጎራ ወይም ጥሬ አይፒ ምንም አይነት የዝና ቅጣት አይጥልም። ብዙ የኤግዚስሽን ማጣሪያ ቅንብሮች በተዘዋዋሪ ይፈቅዳሉ።
- አለመመሳሰል እና ክህደት። የምርጫ ሞዴል - ተከላው ክፍት ሶኬት ከመያዝ ይልቅ ሰነድን በአንድ ክፍተት ይወስዳል - እንደ መስተጋብራዊ ክፍለ ጊዜ ሳይሆን እንደ ወቅታዊ የኤፒአይ ምርጫ የሚመስል ትራፊክ ይፈጥራል። የሰነዱን ይዘቶች መመስጠር ማለት ቢን የሚያገኝ ተንታኝ እንኳን የትእዛዝ ዝርዝር ሳይሆን ሚስጥራዊ ጽሑፍን ያያል ማለት ነው።
- ተራ ሽክርክሪትወደተለየ መጣያ ወይም ሙሉ በሙሉ ወደተለየ የኖት/መለጠፍ አገልግሎት መቀየር ለኦፕሬተሩ የአንድ መስመር ውቅር ለውጥ ነው። ለተለየው ሪሌይ የተቆለፈ ማንኛውም የማገጃ ዝርዝር በተላከበት ጊዜ ያረጀ ነው።
ኦፕሬተሩ የሚቀበለው የመተላለፊያ እና የዘገየ መዘግየት ነው፡- የሞተ-ጠብታ ቅብብል ከቀጥታ ግንኙነት ይልቅ ቀርፋፋ እና ዝቅተኛ የባንድዊድዝድ ነው። በአብዛኛው አጭር ትዕዛዞችን የሚያወጣ እና ውጤቶችን በጊዜ ሂደት የሚሰበስብ የክትትል እና የቁጥጥር ተከላ፣ ያ ግብይት ለማድረግ ቀላል ነው።
የጊዜ መስመር
ቤተሰቡ በፍጥነት አደገ። ለተጠቆሙት ስሪቶች የቲኬት መፍጠሪያ የጊዜ ማህተሞች የታዩትን ቅስት በሙሉ በአስራ ሶስት ተኩል ሰዓታት ውስጥ ያስቀምጧቸዋል፣ እና የስካነሩ የራሱ የማስረጃ ብዛት ከኮዱ ጎን ለጎን አድጓል - ከመጀመሪያው ስሪት ውስጥ ከተጠቆሙ ሁለት ጣቢያዎች ወደ አስራ አራት።
የስሪት ቁጥሮቹ በጥብቅ ቅደም ተከተል አልታተሙም፣ ነገር ግን አቅጣጫው ግልጽ ነው፡ ትንሽ የመጀመሪያ ቁራጭ፣ ከዚያም ወደ ሙሉ በሙሉ ወደተሰራው 0.7.1 ፈጣን ድግግሞሽ። ይህ በንቃት እየተገነባ ያለ ፕሮጀክት ወደ ይፋዊ መዝገብ የሚገፋ ቅርጽ ነው፣ አንድ ጊዜ ብቻ ወደታች መውረድ አይደለም።
የመደራደር አመላካቾች
ከዚህ በታች ያሉት ሁሉም አመልካቾች በዲስክ ላይ ባለው የጥቅል ይዘቶች እና በ0.7.1 ስሪት ላይ ባለው ቁርጠኛ አመልካች ቅኝት ተረጋግጠዋል፤ አንዳቸውም ግምታዊ አይደሉም።
የተከላካዩ ማስታወሻ፡ በጣም ጠንካራው ዘላቂ ምልክት ጎራ አይደለም (የቅብብል አስተናጋጁ በቀላሉ ይሽከረከራል) ነገር ግን ቅርፅሶስት ወይም ከዚያ በላይ የተለያዩ የአስተናጋጅ-ክትትል የመጀመሪያ ደረጃዎችን የሚያጠቃልል አንድ ጥቅል ና በሕዝብ ይዘት ማስተናገጃ አገልግሎት በኩል የትዕዛዝ/ምላሽ ዑደትን ያስተላልፋል። npoint[.]io ለአብዛኞቹ ሱቆች ተግባራዊ አይደለም፤ የግቤት መሳሪያዎችን የሚይዝ እና ከJSON-bin አገልግሎት ጋር የሚነጋገር ያልተጠበቀ ሂደትን ማሳወቅ የበለጠ ጠንካራ ነው።
የታየ ባህሪ እና ፍሬም
ሁለት ነገሮች ይህንን ናሙና ያልተለመደ ያደርጉታል፣ እና ሁለቱም ስለ ተነሳሽነት ከመገመት ይልቅ የሚታዩ እውነታዎች ናቸው።
ራሱን አስተዋውቋል። በPyPI ላይ የተከፋፈለው የጥቅል ማጠቃለያ ችሎታዎችን በቀላል ቋንቋ ዘርዝሯል - የርቀት መዳረሻ፣ የዴስክቶፕ መቆጣጠሪያ፣ የተጠቃሚ አስተዳደር፣ የድር ካሜራ፣ ኦዲዮ፣ የቁልፍ ሎገር፣ ጽናት፣ የአሳሽ ውሂብ፣ ዋይፋይ፣ መዝገብ ቤት፣ “ከ140 በላይ ትዕዛዞች”። ኮዱን እንደ የግንባታ ረዳት፣ የCLI መጠቅለያ ወይም የAI-ወኪል መገልገያ ለማስተላለፍ ምንም አይነት ሙከራ አልተደረገም፣ ይህም በሕዝብ መዝገቦች ላይ የምናየው የተለመደ ድብቅ ነገር ነው። ያ ግልጽነት ያለ መዳረሻ መቆጣጠሪያዎች የታተመ የቀይ ቡድን መሳሪያን ያንፀባርቅ ወይም ሌላ ነገር የጥቅሉ ይዘቶች ብቻቸውን የማይፈቱት ጥያቄ ነው፤ እርግጠኛ የሆነው የሚሰራ፣ አጠቃላይ ዓላማ ያለው የርቀት መዳረሻ እና የክትትል መሣሪያ ስብስብ በማንኛውም ሰው ሊጫን የሚችል መሆኑ ነው። PIP.
በመልካም አገልግሎት ላይ እምነት ላይ የተመሠረተ ነበር። በመጠቀም ላይ npoint[.]io ቅብብሎሹ የሚገልጸው ዘዴ ስለሆነ። ሰፋ ያለ ንድፍ ምሳሌ ነው - C2ን በሕጋዊ SaaS (የመለጠፍ ጣቢያዎች፣ የJSON ቢኖች፣ የውይይት ድር) በኩል ማስተላለፍhooks, የደመና ሰነዶች) ስለዚህም ተንኮል አዘል ትራፊክ ወደ መደበኛ የገንቢ እንቅስቃሴ እንዲዋሃድ እና በኦፕሬተር የተያዘው የመጨረሻ ነጥብ እንዳይኖር። በቅብብሎሹ ላይ ያሉት የክፍያ ጭነቶች የተመሰጠሩ ስለሆኑ የቢን ይዘቱ ለተለመደ ታዛቢ እንደ ትዕዛዝ ሆኖ አይነበብም።
የአሳታሚው ምልክቶች ቀጭን እና አጠቃላይ ናቸው። ፓኬጁ አንድ አውጇል ደራሲ የ"gcli አስተዋጽዖ አበርካቾች" እና የMIT ፈቃድ፣ እና የመነሻ ገጹን እና የማከማቻ መስኮቹን በ ላይ ጠቁሟል github[.]com/gcli-control/gcli. ከእነዚህ ውስጥ አንዳቸውም ማረጋገጫ አይደሉም፡ የደራሲ ሕብረቁምፊ ነፃ ጽሑፍ ነው፣ የMIT ፈቃድ ርዕስ ምንም አያስከፍልም፣ እና በፓኬጅ ሜታዳታ ውስጥ የማከማቻ ዩአርኤል የይገባኛል ጥያቄ ነው፣ የመነጨ ማረጋገጫ አይደለም። ንድፉ - አዲስ ስም፣ አጠቃላይ የጋራ ደራሲ እና በጥቅሉ ዙሪያ የተፈጠረ የራስ-ማጣቀሻ org/repo - አንድ ፕሮጀክት የርቀት መቆጣጠሪያ ባህሪን ያዳበረ የተቋቋመ መሳሪያ ሳይሆን ኮዱን ለመሸከም በተለይ ሲቆም ምን እንደሚመስል ነው። እነዚህን እንደ ምልከታዎች እናስተውላለን፤ እነሱ ከዓላማ የተገነባ ስርጭት ጋር የሚጣጣሙ ናቸው፣ ነገር ግን በራሳቸው ብቻ አይመሰርቱም።
በችሎታ እና በአቅርቦት ላይ በመመስረት ተንኮል-አዘልነትን እንገልጻለን፡- ሙሉ፣ ሊሰራ የሚችል የርቀት መዳረሻ እና የክትትል ተከላ፣ በድብቅ ቅብብል በሕዝብ ፓኬጅ ኢንዴክስ ላይ የተከፋፈለ። ኢላማ ወይም ዓላማ አናስቀምጥም።
ተጽዕኖ፣ አዝማሚያዎች እና ተከላካዮች ምን ማድረግ እንደሚችሉ
ለመደበቅ ተኮር የሆነ ዓይነ ስውር ቦታ። ብዙ አውቶማቲክ የጥቅል ትራያላይዜሽን ቁልፎች በ ላይ ሽኩቻ ምልክቶች መደበኛ የመዝገብ ማልዌር — የተደበቁ ብሎቦች፣ የመጫኛ ጊዜ hooks፣ የምስክር ወረቀት መሰብሰብ የሚችሉ አንድ-ላይነሮች። በቀላሉ የሚገኝ ጥቅል በግልጽ RAT, ንፁህ ሊነበብ የሚችል ኮድ እና የመጫኛ መንጠቆ የሌለው, ከእነዚህ ውስጥ አንዳቸውንም አያቀርብም እና መደበቅን የሚጠብቁ ሂዩሪስቲክስን ሊያልፉ ይችላሉ። ይህንን ክፍል በአስተማማኝ ሁኔታ የሚይዙት ምልክቶች ከመደበቅ ይልቅ መዋቅራዊ ናቸው፡ የአቅም ቆጠራ (በአንድ ጥቅል ውስጥ ስንት የተለያዩ የአስተናጋጅ-ክትትል የመጀመሪያ ደረጃዎች አብረው ይኖራሉ) እና የC2-ቅርፅ ትንተና (በአጠቃላይ ዓላማ ይዘት-ማስተናገጃ አገልግሎት የሚመራ የትዕዛዝ/ምላሽ ዑደት)። እነዚህ ምን ያህል ታማኝ ወይም ምንም ያህል ታማኝ ቢሆኑም ተኩስ ይፈትሻሉ የተደበቀ ማሸጊያው ነው።
የSaaS-as-C2 አዝማሚያ። ህጋዊ የሆነ የማስተናገጃ አገልግሎትን እንደ ዴም-ድሎት መጠቀም አዲስ አይደለም፣ ነገር ግን አገልግሎቱን የማገድ የመከላከያ ወጪ ከፍተኛ ስለሆነ እና አገልግሎቶችን የመቀየር የማጥቃት ወጪ ወደ ዜሮ አካባቢ ስለሆነ መስራቱን ይቀጥላል። ከዚህ የበለጠ ይጠብቁ። ለተወሰኑ መጥፎ ጎራዎች የተቆለፉ የአውታረ መረብ መከላከያዎች ወዲያውኑ ያረጃሉ፤ የባህሪ ደንቦች ("ይህ ሂደት የቅንጥብ ሰሌዳውን እና የድር ካሜራውን ያነባል እና ከዚያ ከማስታወሻ-አስተናጋጅ ኤፒአይ ጋር ይገናኛል") አይሰሩም።
የኮንክሪት ማወቂያ ንድፍ። ዘላቂው ደንብ ስም አይሰጥም npoint[.]io በፍጹም። በተናጠል የተለመዱ ነገር ግን በመደበኛ ገንቢ ወይም በCI አስተናጋጅ ላይ እምብዛም የማይገኙ ሁለት ምልከታዎችን ያጣምራል፡
በአንድ ክፍለ ጊዜ ውስጥ አንድ ሂደት ሲኖርዎት ማንቂያ ይስጡ፦
(ሀ) የአስተናጋጅ-ክትትል ፕሪሚየም — የግቤት መሣሪያ (የቁልፍ ሰሌዳ/የመዳፊት መንጠቆ)፣ ካሜራ፣ ማይክሮፎን፣ የማያ ገጽ ቀረጻ፣ የቅንጥብ ሰሌዳ ንባብ-ሉፕ፣ ወይም የአሳሽ የምስክርነት ማከማቻን መድረስ (“Login "ዳታ" / "አካባቢያዊ ግዛት" / DPAPI); እና
(ለ) ለሕዝብ ይዘት ማስተናገጃ/ፓስት/ጄሶን-ቢን/ቻት-ዌብሁክ አገልግሎት የውጪ ጥያቄዎችን ያቀርባል ከዚያም በ(ለ) ውስጥ ያለው ልዩ አገልግሎት ምንም ይሁን ምን ለግምገማ ያቀርባል።
ሁለቱም ግማሽ ብቻቸውን አጠራጣሪ አይደሉም፤ ብዙ ትክክለኛ የመሳሪያዎች ቅጽበታዊ ገጽ እይታዎች፣ እና ብዙ JSON ወደ ማስተናገጃ ኤፒአይ የተለጠፉ ናቸው። በአንድ አጭር ጊዜ ሂደት ውስጥ ያለው ትስስር ምልክቱ ሲሆን ከማንኛውም የማስተላለፊያ ሽክርክሪት ይተርፋል።
ለቡድኖች ተግባራዊ እርምጃዎች፡
- በገንቢ እና በCI አስተናጋጆች ላይ ያሉ የህዝብ ፓኬጆች ጭነቶችን እንደ ማስፈጸሚያ ወሰን እንጂ እንደ ምቾት አይደለም - በግንባታ ወኪል ላይ ያለ RAT ሚስጥሮችዎን የያዘ RAT ነው።
- የተፈቀዱ የውስጥ መስተዋቶችን እመርጣለሁ፤ ለርቀት መቆጣጠሪያ ተብሎ የተሰየመ እና የቁልፍ ሎገርን የሚገልጽ ጥቅል በኮርፖሬት ኢንዴክስ ላይ ፈጽሞ ሊፈታ አይገባም።
- ማንቂያ በ ላይ ቅንብር — የግቤት-መሳሪያ ወይም የስክሪን ቀረጻ እንዲሁም ወደ ይዘት/ለጥፍ/JSON-bin አገልግሎት የሚወጣ ትራፊክ — በተለየ መልኩ ጠቃሚ የሆኑ አጠቃቀሞችን በሚያሳይ በማንኛውም ፕሪሚየም ላይ ከመሆን ይልቅ።
- ሰፊ የአስተናጋጅ መዳረሻ አቅም ላላቸው ፓኬጆች እንደ የመጨረሻ ውሳኔ በራስ-ሰር “አስተማማኝ” ውጤት ላይ አይተማመኑ፤ ወደ ሰው ግምገማ ያዛውሯቸው።
የጥቅሉ ቤተሰብ ተንኮል አዘል ተብሎ የተመደበ ሲሆን መዝገብ ቤት እንዲወገድ ተልኳል። በሪሌይ ላይ የተመሰረተ C2 በኦፕሬተር የተያዘ አስተናጋጅን ወደ ጉድጓድ ውስጥ ስለማያስቀምጥ፣ ዘላቂው የመከላከያ እሴት ከላይ ባለው የባህሪ አሻራ ላይ ነው፣ በማንኛውም የብሎክ ዝርዝር ግቤት ውስጥ አይደለም።
