TL; DR
በሐምሌ መጨረሻ እና በነሐሴ 2026 መጀመሪያ ላይ ለሁለት ቀናት የታተሙ ሃያ የnpm ፓኬጆች እራሳቸውን እንደ ውስጣዊ UI አካል ቤተ-መጻሕፍት እና የተጋሩ የኋላ-መጨረሻ መገልገያዎች አድርገው ያቀርባሉ። አንዳቸውም የሚያስተዋውቁትን ተግባር አይተገብሩም። እያንዳንዳቸው የstub ክፍል፣ ፓኬጁን እንደ ውስጣዊ የሚገልጽ README እና የሚባል ፋይል ይልካሉ። _polyfill.js.
አስደሳችው ክፍል ያ ፋይል የተጠራበት ቦታ ነው። የመጫኛ መንጠቆ አይደለም — ማኒፌስቶቹ ምንም አይነት ቅድመ-ጭነት፣ ጭነት ወይም ድህረ-ጭነት እንደሌለባቸው ያስታውቃሉ። በምትኩ፣ የመጨረሻው መስመር index.js ያነበባል try { require("./_polyfill"); } catch (_) {}የክፍያ ጫኙ የሚያሄደው ለመጀመሪያ ጊዜ የመተግበሪያ ኮድ ጥቅሉን ሲያስመጣ ነው። በመጫን ላይ --ignore-scriptsወደ standard በመጫኛ ጊዜ የአቅርቦት ሰንሰለት ተጋላጭነትን ለመቀነስ ምክር፣ አይከለክለውም.
ምንድን _polyfill.js ከሶስት የክላውድፍላር ሰራተኞች አስተናጋጆች በአንዱ መድረክ-ተኮር የሆነ ሊተገበር የሚችል ፋይል ማግኘት፣ በዘፈቀደ ስም ስር ወደ ጊዜያዊ ማውጫ መጻፍ፣ ሊተገበር የሚችል ምልክት ማድረግ እና ከወላጅ ሂደቱ ተለይቶ ማስጀመር ነው። ያ ሊግብር የሚችል ፋይል ራሱ ጫኚ ነው፡ የመጨረሻ ነጥብ-ደህንነት ምርቶችን በሂደት ስም ይዘረዝራል፣ የአሁኑን የተጠቃሚ ስም ከሚታወቁ የትንታኔ-አካባቢ መለያዎች ጋር ያመሳስላል፣ በማህደረ ትውስታ ውስጥ ያሉትን የAMSI እና የETW ቴሌሜትሪ በይነገጾችን ይጥላል፣ በዊንዶውስ ኦዲዮ ክፍል ስም ጽናት ይጭናል፣ እና በመጠን ሶስተኛ ሁለትዮሽ ሜጋባይት ያገኛል። ሦስተኛው ደረጃ ኢንክሪፕት የተደረገ ሲሆን ዲክሪፕት ተደርጎበት እና በዲስክ ላይ ከመፃፍ ይልቅ በማህደረ ትውስታ ውስጥ ተፈጽሟል.
እ.ኤ.አ. ነሐሴ 1 ቀን፣ ፓኬጆቹ በእጅ ግምገማ ላይ ተንኮል-አዘል መሆናቸውን ከተረጋገጠ ከአራት ሰዓታት ገደማ በኋላ፣ ከሃያዎቹ ስሞች አስራ ዘጠኙ በራሳቸው አሳታሚ በሃያ አምስት ሰከንድ ቅደም ተከተል ከnpm ተወግደዋል። እ.ኤ.አ. ነሐሴ 2 ቀን ከእነዚህ ስሞች አንዱ እንደገና ተመዝግቧል - በሌላ መለያ፣ ተመሳሳይ ኮድ ይዞ። ይህ ሲጻፍ የአቅርቦት መሠረተ ልማቱ ሦስቱንም ደረጃዎች እያገለገለ ነበር።
| ጥቅሎች | 20 npm ስሞች፣ ~74 የታተሙ ስሪቶች |
| ገጽታዎችን መሰየም | beaver-ui-* (13), accounts-* (3)፣ ሲደመር afisha-storybook-default, bcore-bravo-eslint-config, arbocrate-sla-prober-arbocrate-sla-prober-core, a.poltoradnev-package-c |
| ምላጭ | የሞዱል ማስመጣት (require) የnpm የህይወት ዑደት ስክሪፕት አይደለም |
| መድረክ 1 | _polyfill.js - መልሶ ማግኘት እና ማስጀመር |
| መድረክ 2 | በስታቲስቲክስ የተገናኘ ሎደር፣ በሊኑክስ ላይ በUPX የታሸገ፤ የመጨረሻ ነጥብ-ደህንነት ቆጠራ፣ AMSI/ETW ጥገና፣ ጽናት |
| መድረክ 3 | beacon_linux.bin / beacon_mac.bin / update_win.exe, 4–13 ሜባ፤ የተመሰጠረ፣ በማህደረ ትውስታ ውስጥ የተከናወነ |
| መድረኮች | ሊኑክስ x64 እና arm64፣ macOS ዩኒቨርሳል፣ ዊንዶውስ x64 |
| አዘጋጆች | ሁለት መለያዎች፣ አንድ የኮድቤዝ |
| ሁናቴ | ከ20 ስሞች 19ቱ አልታተሙም በኦፕሬተሩ፤ 1 እንደገና ታትሞ በቀጥታ፤ የማድረስ መሠረተ ልማት በቀጥታ |
የአጥቃት አናቶሚ
ደረጃ 1 - ፓኬጁ
እያንዳንዱ አባል ተመሳሳይ የሶስት ፋይል ቅርፅ ይልካል። index.js አንድ ክፍል ከ ጋር ወደ ውጭ ይልካል በ ዉስጥ() ቡሊያንን የሚያዘጋጅ፣ ስሪት(), እና ማዋቀር() የአማራጮችን ነገር የሚያዋህድ። ሌላ ምንም ነገር የለም። README.md የመጫኛ መስመር ይሰጣል፣ ሀ ይጠይቁ መስመር እና “ውስጣዊ ጥቅል። መመሪያዎችን ለማግኘት CONTRIBUTING.md ን ይመልከቱ” የሚለውን ዓረፍተ ነገር — አስተዋጽዖ.md በታርቦል ውስጥ የለም።
_ፖሊፊል.ጄኤስ ከ5 ኪባ በታች ትንሽ ሲሆን እንደ ተራ የመሠረተ ልማት ኮድ ያነባል፡- በሦስት የአካባቢ ፍተሻዎች ይከፈታል፡
if (process.env.DISABLE_TELEMETRY ||
process.env.ANALYTICS_OPT_OUT ||
process.env.DO_NOT_TRACK)
return;እነዚያ ተለዋዋጮች የተለመዱ የግላዊነት መቆጣጠሪያዎች ናቸው። እዚህ ላይ ሁለትዮሽ ወርዶ መፈጸሙን ይገልጻሉ። የሚያዘጋጅ ማሽን DO_NOT_TRACK ሙሉ በሙሉ ተዘሏል።
ቀጥሎ የሚመጣው አንድ ጊዜ የሚሄድ ማህተም ነው፡ ፋይል በ /tmp/.analytics_state, ወይም analytics_state በታች %TEMP% በዊንዶውስ ላይ፣ የማሻሻያ ጊዜያቸው ከ20,357 ሰከንድ መስኮት ጋር ይነጻጸራል። በዚያ መስኮት ውስጥ ሞጁሉ ወዲያውኑ ይመለሳል፣ ስለዚህ በግንባታ ወቅት ተደጋጋሚ ማስመጣቶች በደርዘን የሚቆጠሩ ከመሆን ይልቅ አንድ የማግኛ ሙከራ ያስገኛሉ።
የመድረሻ አስተናጋጆቹ እንደ ቀጥተኛ ቃላት አይገኙም። በሚሰሩበት ጊዜ ከክፍሎች የተሰበሰቡ ናቸው፡
["oob-worker.cf102-","baf.workers.d","ev"].join("") ሶስት አስተናጋጆች በዚህ መንገድ የተገነቡ እና ከመጠቀምዎ በፊት የተዋሃዱ ናቸው፣ ስለዚህ ትዕዛዙ በእያንዳንዱ አፈፃፀም ይለያያል። መልሶ ማግኘት HTTPS GET ከ IPv4 ጋር የተያያዘ ነው። የተጠቃሚ ወኪል of ኖድ-ማውጣት/2.6 — የኖድ ሂደት ለማስወጣት የሚያስችል አሳማኝ እሴት። ከ1,000 ባይት በታች የሆነ ምላሽ ይጣላል እና የሚቀጥለው አስተናጋጅ ይሞከራል።
ሦስቱም ካልተሳኩ፣ ሞጁሉ ወደ ዲ ኤን ኤስ ይመለሳል። ለ TXT ጥያቄ ያቀርባል ሐ. የክፍል ብዛት ለማግኘት፣ ከዚያም ይጠይቃል 0. በኩል n. በአስር ቡድኖች ውስጥ መልሶቹን ያጣምራል፣ እና base64 ውጤቱን ይገልፃል። ይህ መንገድ በዲኤንኤስ TXT መዝገቦች ላይ ተመሳሳይ ተፈጻሚነት ያለው ሲሆን፣ ይህም ወደ ውጭ የሚወጣ HTTP የሚጣራ ነገር ግን የዲኤንኤስ ጥራት የማይጣራባቸው አካባቢዎችን ይተርፋል።
የተገኙት ባይቶች የተጻፉት ወደ /var/tmp/.cache_<8-hex> በዩኒክስ ላይ፣ ወይም %TEMP%\dotnet_diag_<8-hex>.exe በዊንዶውስ ላይ - የፋይል ስም እንደ .NET የምርመራ ቅርስ የሚያነብ። በዩኒክስ ላይ ፋይሉ ሁነታ 0755 ተሰጥቶታል። ማስጀመር ነው ጠፍቷል ጋር ተነጥሎ የተቀመጠ: እውነት, stdio: “ችላ በል”, እና unref()ስለዚህ ልጁ የጀመረውን የኖድ ሂደት የበለጠ በሕይወት ይተርፋል፤ በዊንዶውስ ላይ ጥሪው ይጨምራል ዊንዶውስ ደብቅ: እውነት.
ሁለት ዝርዝሮች ስዕሉን ያጠናቅቃሉ። ረዳት እንደሚከተለው ተገልጿል const _l = (…a) => process.stderr.write(“”) በእያንዳንዱ የማውጫ ደረጃ ላይ ይጠራል - ባዶ ሕብረቁምፊ ይጽፋል እና ክርክሮቹን ያስወግዳል፣ ምዝግብ ማስታወሻው የሚቀመጥበትን ቦታ ይይዛል። እና እያንዳንዱ ጥቅል 81 ኪባ ፋይል በ ላይ ይልካል lib/telemetry.js የራስጌ አስተያየቱ "የመጨረሻ ነጥብ ሽክርክሪት እና ዳግም ሙከራ ያለው የHTTPS ትራንስፖርት" እና "ለጥፋት ዲኤንኤስ ላይ የተመሰረተ የአገልግሎት ግኝት" ያለው "ትንታኔ SDK" የሚገልጽ ነው። በአሁኑ ግንባታ ውስጥ ምንም ነገር አያስፈልገውም።
ደረጃ 2 - ጫኚው
የሊኑክስ x64 ባይነሪ ከUPX 3.96 ጋር የተጨመቀ በስታቲስቲክስ የተገናኘ ELF ነው። የmacOS ግንባታ x86_64 እና arm64 የሚሸፍን ሁለንተናዊ ባይነሪ ሲሆን የዊንዶውስ ግንባታ የተላጠ የPE32+ ኮንሶል ሊተገበር የሚችል ነው። አራቱም ተወስደው በስታቲስቲክስ ተፈትሸዋል፤ አንዳቸውም አልተተገበሩም።
የዊንዶውስ ግንባታው ማስመጣት እና የክር ሰንጠረዥ ባህሪውን በግልጽ ይገልፃል። IsDebuggerPresent, የርቀት አራሚ ቼክአቅርብ, እና የNtQueryInformationProcessእና ያነባል SYSTEM\CurrentControlSet\Services\Disk\Enum — እሴቶቹ ምናባዊ ዲስክ መቆጣጠሪያዎችን የሚለዩበት የመዝገብ መንገድ። ጌትዲስክፍሪስፔስኤክስደብሊው ና GlobalMemoryStatusExየአስተናጋጁ ሀብቶች ከአጭር ጊዜ የትንታኔ ምሳሌ ጋር የሚዛመዱ መሆናቸውን ከማረጋገጥ ጋር የሚስማማ።
የተጠቃሚ ስሞችን ዝርዝር ይዟል፤ የአሁኑ ተጠቃሚ, የአይቲ አስተዳዳሪ, ሆንግ ሊ, የሙከራ ሳጥን, hapubws, ሚሎዝስ, ሰዓት, አስተዳዳሪ, ተንኮል አዘል ዌር, ናሙና, ቫይረስ, አካባቢከእነዚህ ውስጥ ብዙዎቹ በይፋ የተመዘገቡ የትንታኔ አካባቢዎች ቅርሶች ናቸው።
እንዲሁም እስከ መጨረሻው ድረስ የተዘረዘሩትን የመጨረሻ ነጥብ-ደህንነት ምርቶች እና የሂደታቸውን ስሞች ዝርዝር ይይዛል። CreateToolhelp32Snapshot ና ፕሮሰስ32FirstW/ፕሮሰስ32NextW:
- CrowdStrike ጭልፊት (
csfalconservice,CSFalconContainer) - ካርቦን ጥቁር (
cb.exe) - Cylance (
cylancesvc.exe) - Bitdefender (
bdagent.exe) - የ Kaspersky (
avp.exe,kavfs.exe) - አዝማሚያ ማይክሮ እና ጥልቅ ደህንነት (
coreServiceShell,ds_agent.exe) - ፋየርአይ/ትሬሊክስ (
xagt.exe) - ታኒየም (
taniumclient.exe) - ሂትማንPro (
hmpalert.exe) - ኢላስቲክ (
elastic-agent.exe,elastic-endpoint,filebeat.exe,winlogbeat.exe) - ዋዙህ እና ኦኤስኤስኢሲኢ (
wazuh-agent.exe,ossec-agent.exe) - Check Point
- Windows Defender
ሁለት ተጨማሪ ምልክቶች አሉ፡- አምሲስካንባፈርየመግቢያ ነጥብ ዊንዶውስ በማህደረ ትውስታ ውስጥ ይዘት ለመቃኘት ያጋልጣል፣ እና EtwEventWrite, ለዊንዶውስ የክስተት መከታተያ ክስተቶችን የሚመዘግብበት ተግባር። ሁለቱም እነዚህ በይነገጾች የሚያመነጩትን ቴሌሜትሪ የሚገድብ በሂደት ላይ ማሻሻያ ለማድረግ የተለመዱ ኢላማዎች ናቸው።
ጽናት በዊንዶውስ ላይ ሁለት ጊዜ ይታያል። ሁለትዮሽ ወደ ይገለበጣል %APPDATA%\Microsoft\Windows\Themes\SystemSoundsService.exeእና ሁለት ዘዴዎች ይጠቅሳሉ፡- ከዚህ በታች ያለው እሴት ሶፍትዌር\ማይክሮሶፍት\ዊንዶውስ\የአሁኑ ስሪት\ሩጡእና እንደ የተመዘገበ የታቀደ ተግባር
schtasks /Create /F /SC ONLOGON
/TN "\Microsoft\Windows\Multimedia\SystemSoundsService"
/TR "\"%s\""
/RL HIGHESTየተግባር ዱካው፣ የተግባር ስሙ እና የሚተገበር ስሙ ሁሉም እውነተኛ የዊንዶውስ ኦዲዮ አካልን ያንፀባርቃሉ። /RL ከፍተኛ ከፍተኛውን የመብት ደረጃ ይጠይቃል።
የ macOS ግንባታ ከመድረክ ጋር የሚስማሙ ስሞችን በመጠቀም ተመሳሳይ ንድፍ ይከተላል፡ የንብረት ዝርዝር ይጽፋል ለ ~/Library/LaunchAgents/com.apple.windowserver.helper.plist እና ተግባራዊነቱን በ ላይ ያስቀምጣል ~/.local/share/runtime/com.apple.runtime. ይፈትሻል /Applications/VMware Fusion.app ና /ቤተ-መጽሐፍት/የመተግበሪያ ድጋፍ/የቪኤምዌር መሳሪያዎች.
የኔትወርክ አቅም ሶስት የመጓጓዣ መንገዶችን ያካትታል፡ WININET.dll ለኤችቲቲፒኤስ ከ ጋር https://%s:%d%s የቅርጸት ሕብረቁምፊ፣ WS2_32.dll ሶኬቶች፣ እና DNSAPI.dll ጋር DnsQuery_A ከጎን ሐ.%s.%s የቅርጸት ሕብረቁምፊ - የመጀመሪያው ደረጃ የሚጠቀመው ተመሳሳይ የ chunk-count መጠይቅ ቅርፅ።
ከላይ ያለው መግለጫ የቢንየሪ ማስመጣት፣ ሕብረቁምፊዎች እና የመዝገብ መንገዶች በምርመራ ወቅት የሚያሳዩት ነው። በተመሳሳይ የዊንዶውስ ናሙና ላይ የህዝብ ባለብዙ ሞተር ትንተና የማስመጣት ሰንጠረዥ የማይንቀሳቀስ ንባብ በራሱ ሊመሰረት የማይችል እና እዚህ ላይ እንደ የመጀመሪያ እጅ ምልከታ ተደርጎ ከመቆጠር ይልቅ እንደሚገለጽ ዝርዝር መረጃ ይሰጣል። ያ ትንተና የAMSI እና የETW ማጣቀሻዎች መፍትሄ ብቻ ሳይሆን የተስተካከሉ መሆናቸውን ዘግቧል - አምሲስካንባፈር in amsi.dll ና EtwEventWrite in ntdll.dll — ይህም ለሂደቱ የማህደረ ትውስታ ይዘት ቅኝትን እና የክስተት ክትትልን የሚገታ ነው። የፀረ-ትንተና ፍተሻዎችን በጊዜ ላይ የተመሰረተ እና በተጨማሪም የርቀት አራሚ ቼክአቅርብእና ይለያል የGetThreadContext የስህተት መዝገቦችን በማንበብ እንደ የሃርድዌር-መሰበር ነጥብ ቼክ ይደውሉ። እንዲሁም የአንድ ጊዜ ሙቴክስ ሪፖርት ያደርጋል፣ Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}እና ስሞች የስርዓትሳውንድስ አገልግሎት እንደ Run-key እሴት። ያ የሙቴክስ እሴት እዚህ ከተገኙት ሕብረቁምፊዎች መካከል አልነበረም - የተገለሉ የአቢይ ሆሄ-ሄክስ ቶከኖችን የተጠቀመው የማውጣት ማጣሪያ - እና በቀጥታ ምልከታ ሳይሆን በዚያ የህዝብ ትንተና ጥንካሬ ላይ በአመልካች ሰንጠረዥ ውስጥ ተመዝግቧል።
መድረክ 3
ጫኚው በተመሳሳይ አስተናጋጆች ላይ ተጨማሪ የመንገዶች ስብስብን ይጠቅሳል። ሁሉም በመተንተን ወቅት ሊደረስባቸው የሚችሉ ነበሩ፡ beacon_linux.bin በ5.3 ሜባ፣ beacon_mac.bin በ13.3 ሜባ፣ update_win.exe በ10.3 ሜባ፣ እና ክንድ.ቢን በ4.3 ሜባ። እነዚህ አልተገኙም፣ እና ባህሪያቸውም አይታወቅም።
ለዊንዶውስ ዱካ፣ የጫኚው ይፋዊ ትንተና ሶስተኛው ደረጃ እንዴት እንደሚስተናገድ ይገልጻል፡ በWinINet ላይ ይወሰዳል፣ ኢንክሪፕት ይደረጋል፣ እና በማህደረ ትውስታ ውስጥ ዲክሪፕት ይደረጋል እና በአንጸባራቂ መልኩ ይፈጸማል - ማህደረ ትውስታ ተመድቧል፣ ከውጭ ያስመጣል፣ ወደ ሌላ ቦታ ይዘዋወራል እና ቁጥጥር ወደ አዲስ ክር ይተላለፋል። ክር ፍጠርበዚህ ምክንያት ሦስተኛው ደረጃ በፋይል ስርዓቱ ላይ ፈጽሞ አይጻፍም፣ ስለዚህ በፋይል ላይ የተመሠረተ ማወቂያ እና ከክስተት በኋላ የሚደረጉ የዲስክ ፎረንሲክስ ሂደቶች ከእሱ የሚያገግሙበት ምንም ነገር የላቸውም። እንዲሁም ባይቶቹን ከማድረሻ አስተናጋጁ ማግኘት ማለት ሊተነተን የሚችል ሊተገበር የሚችል ሳይሆን ሚስጥራዊ ጽሑፍ ያስገኛል ማለት ነው።
የጊዜ መስመር
ሁሉም የጊዜ ማህተሞች UTC ሲሆኑ ከ npm መዝገብ ቤት ሜታዳታ የመጡ ናቸው፣ ይህም ከማንኛውም ታዛቢ በተናጥል የጥቅል ፈጠራን እና ከህትመት መውጣትን ይመዘግባል።
ከእነዚህ ሁለት ጽሑፎች ውስጥ ሁለቱን ማጤን ተገቢ ነው።
የ13፡04 ፍንዳታ ዘጠኝ ፓኬጆችን በአራት ሰከንዶች ውስጥ በመዝገብ ቤቱ ላይ አስቀመጠ፣ እያንዳንዳቸው በአስራ ሁለቱ ውስጥ አንድ ስሪት እና ምንም 0.0.1 ከሱ በታች። በዚህ ሚዛን ላይ ያሉት የስሪት ቁጥሮች፣ በአንድ ቀን ዕድሜ ላይ ባሉ ስሞች፣ የተለቀቀ ታሪክን አይገልጹም።
የህትመት አለመውጣቱ ቅደም ተከተል እኩል ሜካኒካዊ ነው፡ አስራ ዘጠኝ ስሞች፣ ሃያ አምስት ሰከንዶች፣ እኩል ክፍተት። npm እነዚህን እንደ ተራ የህትመት አለመውጣቱ ክስተቶች ይመዘግባል፣ ይህም መዝገብ ቤት የጀመረበት መወገድ ከቦታ ያዥ ይልቅ፣ ይህም እርምጃውን ከመዝገብ ቤቱ ጋር ሳይሆን ከህትመት መለያው ጋር ያስቀምጣል።
የስምምነት አመልካቾች
አስተናጋጆች እና ዱካዎች ተበላሽተዋል። አይፈቷቸው ወይም ከምርት ስርዓት አያግኟቸው።
የጥቅል ስሞች
እውቅና እና የታየ ባህሪ
ሁለት የnpm አካውንቶች ተሳትፈዋል። አስራ ዘጠኙ ያልታተሙ ስሞች በአንድ አካውንት ታትመዋል፤ a.poltoradnev-package-c እ.ኤ.አ. ኦገስት 2 ላይ በተለየ የአካውንት ስም እና በተለየ የኢሜይል ጎራ እንደገና ተመዝግቧል። ኮዱ በሁለቱም ውስጥ ተመሳሳይ የዘር ሐረግ ነው፣ እና ሁለተኛው ምዝገባ ተመሳሳይ የማድረሻ አስተናጋጆችን፣ ተመሳሳይ የዲኤንኤስ fallback ጎራዎችን፣ ተመሳሳይ የdrop-path ግንባታ እና ተመሳሳይ የሩጫ-አንድ ጊዜ ማህተምን ይይዛል።
እንደገና የታተመው ጥንድ እንዴት እንደተገጣጠመ ያሳያል። 0.0.2 ና 33.9.5 ከስሪት ሕብረቁምፊው በተጨማሪ ባይት-ተመሳሳይ ናቸው package.json, እና index.js እንደ ተልኳል 0.0.2 ያውጃል ኮንስት VERSION = “33.9.5”ሁለቱም ቅርሶች ከአንድ ምንጭ ዛፍ ተቆርጠው በኋላ ተቆጥረዋል። 0.0.2 የልማት ታሪክ ለ 0.0.2 ለመወከል መልቀቅ።
በመላው ስብስብ ላይ ያለው የስሪት ቁጥር ተመሳሳይ አመክንዮ ይከተላል። በዚህ ዘመቻ ውስጥ ያሉት የጥቅል ስሞች በሕዝብ መዝገብ ላይ ሳይሆን በድርጅት ውስጥ እንደሚኖሩ ነገሮች ይነበባሉ፡ የUI አካል ስብስብ፣ የESLint ውቅር፣ የSLA ፕሮፐር፣ በአንድ ሰው ስም የተሰየመ ጥቅል። አንድ ግንባታ ጥገኝነትን በስም ሲፈታ እና ከግል መዝገብ ጎን ለጎን የህዝብ መዝገብ ሲያማክር፣ የሚያሸንፈው ከፍተኛ የስሪት ቁጥር ነው። በ የተፈጠረ ስም 0.0.1 ሰኞ እና ይዞ 12.9.6 ማክሰኞ ለዚያ ንጽጽር የተቀመጠ ነው።
ሁለቱ የህትመት ሞገዶችም ድግግሞሽን በሚያመለክት መንገድ ይለያያሉ። ቀዳሚው ኮድ የክፍያ ፋይሉን ሰየመው። setup.js እና አምስት የማድረሻ አስተናጋጆችን ዘርዝሯል፤ የአሁኑ ፋይል የተሰየመ ነው _ፖሊፊል.ጄኤስ እና ሶስት ዝርዝሮችን ይዘረዝራል። ቀዳሚው ስሪት ከተነሳ በኋላ አምስት ሰከንዶች የወደቀውን ፋይል አስወግዶታል፣ ሂደቱ ከተሰረዘ ኢንዶድ እንዲሄድ አድርጓል፤ የአሁኑ ስሪት ግን አይሄድም። lib/telemetry.js በሁለቱም በኩል በታርቦል ውስጥ ይቀራል፣ አሁንም ይላካል፣ ከአሁን በኋላ በገመድ አልተሰራም።
ስለ ኪል ስዊቾች አንድ ምልከታ አስቀድሞ መጥቀስ ተገቢ ነውcisኤሊ፣ ምክንያቱም ከተለመደው ንባብ ጋር ስለሚቃረን ነው። DASABLE_TELEMETRY, ANALYTICS_OPT_OUT, እና DO_NOT_TRACK የተከበሩ ናቸው፣ እና ሌላ ነገር ከመከሰቱ በፊት ይፈተሻሉ። የትንታኔ አካባቢው አንዳቸውንም የሚያስቀምጥ ተመራማሪ ምንም የማያደርግ ጥቅል ይመለከታል።
ተፅዕኖ እና ተከላካዮች ምን ማድረግ እንደሚችሉ
የማስመጣት-ጊዜ ቀስቅሴ ተግባራዊ ውጤት ጠባብ እና በራሱ መግለጽ ተገቢ ነው። npm install –ignore-scripts የህይወት ዑደት ስክሪፕቶች እንዳይሰሩ ይከላከላል፣ እና ጥሩ ምክር ነው። እዚህ ምንም ተጽእኖ የለውም፣ ምክንያቱም ይህ ኮድ የህይወት ዑደት ስክሪፕት አይጠቀምም። የክፍያ ጫኙ የሚሄደው የመተግበሪያ ኮድ፣ የሙከራ ሩጫ፣ ጥቅልለር ወይም ሊንተር ሞጁሉን መጀመሪያ ሲያስገቡ ነው። የሚጭነው እና ወዲያውኑ የሚገነባ የCI ሯጭ ላይ፣ ሁለቱ በሰከንዶች ርቀት ላይ ናቸው።
ለአደን፣ ዘላቂ ምልክቶች ቃል በቃል ከመሆን ይልቅ መዋቅራዊ ናቸው። አስተናጋጆቹ፣ የፋይል ስሙ እና የመውደቅ መንገዶቹ ይለወጣሉ፤ እነዚህ ቅርጾች ለመለወጥ አስቸጋሪ ናቸው፡
- የሞጁል መግቢያ ነጥብ የመጨረሻው መግለጫው ሞክር { ያስፈልጋል(“./x”); } catch (_) {} ወደ ውጭ የተላከው ኤፒአይ አካል ያልሆነ ፋይል ዙሪያ። እውነተኛ ፖሊፊል ያለው ፓኬጅ ከላይ ያስመጣውና ውጤቱን ይጠቀማል። ከፋይሉ ግርጌ ማስመጣት የሚመጣውን እያንዳንዱን ስህተት መዋጥ የስህተት አያያዝ አይደለም።
- የአስተናጋጅ ሕብረቁምፊዎች የተሰበሰቡት በ .join(“) ከተለያዩ ቁርጥራጮች። ህጋዊ ኮድ የአስተናጋጅ ስምን በድርድር አካላት መካከል ለመከፋፈል ምንም ምክንያት የለውም።
- የተገለጹ ጥገኝነቶች ባዶ የሆኑ ነገር ግን የሚደርስ ጥቅል https, ዶን, እና የልጅ_ሂደት በማስመጣት ጊዜ። የተጠቃሚ በይነገጽ አካልን በሚያስተዋውቅ ፓኬጅ ውስጥ መልሶ ማግኘት እና አፈጻጸም አጠቃላይ ግኝቱ ነው።
- የስሪት ቁጥሮች ከጥቅሉ ዕድሜ ጋር የማይጣጣሙ ናቸው። ከጥቂት ቀናት በፊት በሁለት አሃዝ ዋና እትም ላይ ለመጀመሪያ ጊዜ የታተመ ስም፣ ምንም አይነት ጣልቃ ገብነት የሌላቸው፣ ከእድገቱ ውጪ የሆነ ነገርን እየገለጸ ነው።
- የሚጽፈው ለ / var / tmp or %TEMP% followed by a chmod ወደ 0755 እና የተነጠለ እስፓን። ቅደም ተከተሉ አጭር፣ ሥርዓታማ እና አልፎ አልፎም አንድ ላይ ምቹ ነው።
በዊንዶውስ ሆስተኖች ላይ ሁለት ርካሽ እና ከፍተኛ በራስ መተማመን ያላቸው ፍተሻዎች አሉ። የጽናት ቅርሶች ቋሚ ሕብረቁምፊዎች ናቸው እና አንዳቸውም በንጹህ ስርዓት ላይ አይደሉም፡ የታቀደ ተግባር በ \Microsoft\Windows\Multimedia\SystemSurvice፣ የተሰየመ የሩጫ-ቁልፍ እሴት የስርዓትሳውንድስ አገልግሎትእና የዚያ ስም ተፈጻሚ የሚሆን %APPDATA%\Microsoft\Windows\Themes\. ትክክለኛው የዊንዶውስ ኦዲዮ አገልግሎት ከእነዚህ ቦታዎች ውስጥ በአንዱም አይኖርም። ሁለተኛ፣ ጫኚው የተወሰነ ነጠላ-አንጻራዊ ሙቴክስ ይጠቀማል፣ Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}በአስተናጋጅ ላይ መኖሩ አመላካች ነው፣ እና ጫኚው ነባር ሙቴክስን "አስቀድሞ እየሰራ" እንደሆነ ስለሚያይ፣ አስቀድሞ መፍጠር ማስተካከያው በሚደረግበት ጊዜ ለአጭር ጊዜ የሚቆይ ክትባት ነው።
በሦስተኛው ደረጃ ላይ ያለው ምርመራ ከባድ ችግር ሲሆን ግልጽ መሆን አለበት። በሕዝብ ትንተና የተሰጠው መረጃ ዲክሪፕት ተደርጎ በዲስክ ላይ ከመጻፍ ይልቅ በማህደረ ትውስታ ውስጥ ካርታ ይደረግበታል፣ ስለዚህ የፋይል ቅኝት እና የዲስክ ፎረንሲክስ አያዩትም። የሚታየው የጫኚው የራሱ አሻራ ነው - የጽናት ግቤቶች፣ ሙቴክስ እና ወደ ማድረሻ አስተናጋጆች ወይም ወደ DNS-TXT ጎራዎች የሚላኩ የወጪ ጥያቄዎች።
ከግል መዝገብ ቤትም ሆነ ከሕዝብ መዝገብ ቤት ጥገኝነቶችን ለሚፈቱ አካባቢዎች፣ ቅነሳው እዚህ ባለው ነገር አይለወጥም፦ የውስጥ ስሞችን ወሰን ስፋቱ ይፋዊ ስም እነሱን ሊያረካቸው እንዳይችል እና ጥራትን ለእነዚያ ወሰኖች ውስጣዊ መዝገብ ቤት ስፋቱ ላይ ይሰኩ። ከላይ የተገለጸው የስሪት-የዋጋ ግሽበት ባህሪ የሚሰራው ከፍተኛ የህዝብ ስሪት ስም ሊያሸንፍ በሚችልበት ጊዜ ብቻ ነው።
በመጨረሻም፣ ይፋ የተደረገው እንደ መጨረሻ ሳይሆን በጥንቃቄ ማንበብ ተገቢ ነው። አስራ ዘጠኝ ስሞች በሃያ አምስት ሰከንዶች ውስጥ ከመዝገብ ቤቱ ወጥተው አንድ ቀን በኋላ በአዲስ መለያ ስር ተመልሰዋል፣ የማድረሻ መሠረተ ልማቱ ሙሉ በሙሉ ሳይነካ። የፓኬጆችን ማስወገድ የአሠራር መወገድ አይደለም፤ አስተናጋጆቹ ይህ በሚጻፍበት ጊዜ እያንዳንዱን ደረጃ ማገልገላቸውን ቀጥለዋል። ከሐምሌ 31 እስከ ነሐሴ 1 ድረስ ከእነዚህ ስሞች ውስጥ አንዱን የፈታ ማንኛውም የጥገኝነት ዛፍ ስሙ አሁንም ቢኖርም ባይኖርም ደረጃውን አንድ የማስፈጸም እድል እንዳገኘ ተደርጎ መታየት አለበት።
ማጣቀሻዎች
- የዊንዶውስ ጫኚ ባለብዙ ሞተር ትንተና — ከላይ ለተጠቀሱት የAMSI/ETW ጥገና፣ የሚያንፀባርቅ የማህደረ ትውስታ አፈፃፀም እና የሙቴክስ ዝርዝር ምንጭ።
- የnpm ስክሪፕቶች ሰነድ — ይህ ዘመቻ የማይጠቀምባቸው የሕይወት ዑደት ክስተቶች።
- የnpm ጭነት ሰነድ - ሽፋኖች -አይመልከቱ-ስክሪፕቶች እና ወሰን።
