TL; DR
Un cyhoeddwr npm, deadcode09284814, wedi cynnal ymgyrch typosquat yn erbyn y cyfreithlon axios ac chalk-template pecynnau ers canol mis Mai 2026.
Dechreuodd yr ymgyrch fel lladradwr credydau a waledi confensiynol, gan dwyn data i Twnnel HTTPS Serveo.
On 2026-05-17, Gyda axois-utils:1.0.9, cyfnewidiodd y gweithredwr y llwyth tâl yn llwyr: yr un sgaffald gosod-bachyn triphlyg, yr un cyhoeddwr, yr un enw pecyn.
Ond mae'r sgript gosod bellach yn recriwt botrwyd DDoS traws-lwyfan.
Mae'r llwyth tâl yn siarad â localhost.run twnnel ac yn derbyn gorchmynion llifogydd, gan droi amgylcheddau heintiedig yn rhan o botrwyd sy'n gallu DDoS.
Fe wnaeth y gweithredwr hyd yn oed anfon y Deuaidd gweinydd C2 y tu mewn i'r tarball, gan ddangos cynnydd clir o ladrad credydau i seilwaith botnet gweithredol.
Dau becyn, pedwar fersiwn yn dal yn weithredol ar y gofrestrfa, ac un gweithredwr bellach yn rhedeg y ddau fodiwl ochr yn ochr.
Difrifoldeb: uchel.
Yr Ymosodiad: Sut Mae'n Gweithio
Mae'r ymgyrch wedi'i hadeiladu ar sgaffald dosbarthu diflas yn fwriadol: dau enw pecyn typosquat, un llythyren oddi ar becynnau gyda channoedd o filiynau o lawrlwythiadau wythnosol (axios, templed sialc), a gosod triphlyg hooks sy'n gwarantu gweithredu. Yr hyn sy'n ddiddorol yw beth yw'r sgaffald yn cario — a'r ffaith bod y gweithredwr wedi newid y cargo heb newid unrhyw beth arall.
Y sgaffald a rennir
Mae pob fersiwn gyhoeddedig o'r ddau becyn yn datgan yr un tri chylch bywyd hooks in pecyn.json:
Rhestru'r llwyth tâl o dan y tri hooks yn ormodol — ôl-osod byddai ar ei ben ei hun yn rhedeg yn ddiofyn npm gosodMae'r dewis yn bwysig: gosod npm –anwybyddu-sgriptiau yn hepgor sgriptiau, ond sawl llif gwaith cyffredin (adferiadau storfa CI sy'n ail-redeg cylch bywyd hooks yn ddetholus, neu ddatblygwyr sy'n archwilio yn unig ôl-osod) gwneud datganiad triphlyg-ddiangen yw'r bet mwyaf diogel i'r ymosodwr.
templed sialc yn ychwanegu ail fecanwaith: mae'n datgan axois-utils:^1.0.7 fel amser rhedeg dibyniaethGosod y typosquatted templed sialc felly mae'n tynnu'r typosquat brawd/chwaer i mewn hefyd, ac mae'r ddau lwyth tâl yn rhedeg. Mae'r ddau becyn yn bâr cydlynol, nid rhestrau annibynnol.
Cyfnod A — lladradwr tystlythyrau / waled (2026-05-15 → presennol)
Cyfnod A yw'r llwyth tâl gwreiddiol. Mae'r llwythwr yn fyr. postinstall.js sy'n pwyntio at dwnnel gwrthdro HTTPS Serveo:
Mae is-barth Serveo yn amgodio'r IP cyrchfan (80.200.28.28) yn uniongyrchol yn yr enw gwesteiwr — confensiwn adnabyddadwy ar gyfer y gwasanaeth hwnnw. Mae'r gweithredwr yn cylchdroi'r rhagddodiad is-barth ar hap rhwng fersiynau i osgoi rhestrau blocio parth naïf, ond nid yw'r IP sylfaenol byth yn symud. (templed-sialc:1.0.14 a ddefnyddir 8a3e818ea8f11186-80-200-28-28…defnydd ; 1.0.16 / 1.0.19 / 1.0.20 f04a273bd84c0622-….)
postinstall.js dwylo i ffwrdd i phantom.js, modiwl “casglwr” wedi'i fwndelu â 7,667 llinell. phantom.js yn cerdded y gwesteiwr am:
Allweddi preifat SSH (~/.ssh/*) |
.npmrc cynnwys ac unrhyw npm_* tocynnau amgylchedd |
| Ffeiliau manylion mewngofnodi AWS, GCP, ac Azure |
regex tocyn mynediad personol GitHub (ghp_*, gho_*, ghu_*, ghs_*) |
| Arteffactau crypto-waled ar gyfer Bitcoin, Exodus, Electrum, Monero, Litecoin, Dogecoin, Zcash, Dash |
Ailadroddus .env* cerdded trwodd ~/projects, ~/dev, ~/code, ~/workspace, a'r cwd gosod |
Hanesion Shell a'r cyfan process.env |
Mae'r bwndel yn cael ei BOSTIO i dwnnel Serveo yn /casgluNid oes unrhyw gymylu, dim rhesymeg gwrth-VM, dim llwyfannu — bet y gweithredwr yw ar gyfaint a chyflymder.
Cyfnod B — Recriwtio DDoS PhantomBot (2026-05-17, axois-utils:1.0.9 yn unig)
Mae Cam B yn disodli phantom.js + postinstall.js gydag un ffeil o'r enw distrube.js (y camgymeriad teipio yw un y gweithredwr). Nid yw'r sgaffald triphlyg yn package.json wedi newid; mae'r pecyn yn cadw'r un enw, cwmpas, a phatrwm bwmp fersiwn. O'r tu allan, mae axois-utils:1.0.9 yn edrych fel dilyniant bach i 1.0.6. Y tu mewn, mae'n deulu gwahanol o ddrwgwedd.
distrube.js yn agor gyda bloc ffurfweddu sy'n enwi brand y gweithredwr ei hun:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
Mae'r sylwadau wedi'u cyfeirio at weithredwr yn y dyfodol a fydd yn rhedeg y pecyn (“Defnyddiwch eich URL HTTPS localhost.run”). Dyna, ynghyd â'r hyn sy'n dod wrth ymyl y cleient bot, yw'r arwydd nad llwyth dioddefwr yn unig yw hwn - ond y pecyn.
Y llif:
- Dyfalbarhad yn rhedeg yn gyntaf. Mae'r sgript yn gosod ei hun mewn tair ffordd wahanol fesul system weithredu (cofrestrfa Run + Ffolder cychwyn + schtasks ar Windows; crontab + gwasanaeth bot-ffantom uned systemd + .bashrc/.zshrc atodi + /etc/rc.local ar Linux; LaunchAgent com.phantom.bot.plist ar macOS). Mae enw'r gwasanaeth dyfalbarhad a'r label LaunchAgent ill dau yn bot-ffantom / com.phantom.bot, sef o ble mae enw'r ymgyrch yn dod hefyd.
- Gwybodaeth system exfil yn rhedeg unwaith — POST olion bysedd un-ergyd i b94b6bcfa27554.lhr.life:443/collect sy'n cario enw gwesteiwr, platfform, arch, enw defnyddiwr, CPU/RAM, rhyngwynebau rhwydwaith, process.env, cwd, homedirect, fersiwn nod, ac IP cyhoeddus. Mae hyn yn llawer llai ymosodol na Cham A: dim SSH, dim waledi, dim dychweliad .env. Swydd y bot yw cofrestru, nid dwyn.
- Dolen curiad y galon yn agor POST HTTPS bob 30 eiliad i b94b6bcfa27554.lhr.life:443/. Y Defnyddiwr-Asiant yw PhantomBot/1.0. Mae dilysu TLS wedi'i analluogi'n benodol (rejectUnauthorized: false). Mae'r ymateb C2 yn cael ei ddadansoddi fel JSON o'r ffurf {type, target, porthladd, duration, threads, method} a'i anfon.
- Archfa llifogydd wedi'i wifro i chwe gorchymyn:
| Math o orchymyn | Modiwlau | Nodiadau |
|---|---|---|
| ping | Ateb bywiogrwydd | Bot yn adnabod ei hun |
| http | Llifogydd HTTP | Llifogydd ceisiadau Haen-7 |
| https | Llifogydd HTTPS | Yr un fath â http, wedi'i lapio mewn TLS |
| tcp | llifogydd TCP | sbam llwyth-ar hap 65 KB |
| udp | Llifogydd UDP | Pecynnau UDP 65,507-beit |
| cyflym | DoS ailosod cyflym HTTP/2 | Y dechneg CVE-2023-44487 2023 |
Mae pob un o'r pum modiwl llifogydd yn cymryd targed, porthladd, hyd, a edafedd dadl — mae'r bot yn lifogydd generig i'w logi, heb ei anelu at unrhyw ddioddefwr penodol. Mae rhestr dioddefwyr y gweithredwr yn byw ar y C2, nid yn y pecyn.
Beth sy'n Newydd Yma — y ffeil ddeuaidd C2 a gludwyd
Mae Cyfnod A yn siâp cyfarwydd: lladrad tystlythyrau, bachyn gosod, C2 wedi'i dwnelu gan werthwr. Cyfnod B yw Hefyd siâp cyfarwydd — mae botnets DDoS wedi bod yn rhan annatod o becynnau npm maleisus ers blynyddoedd. Yr hyn sy'n anarferol yw bod y gweithredwr wedi anfon y ochr y gweinydd o'r pecyn y tu mewn i'r tarball npm:
- c2 — deuaidd Go ELF wedi'i lunio o 4 megabyte
- c2.go — y ffynhonnell Go 426-llinell ar gyfer y ffeil ddeuaidd honno
Ni chaiff y naill ffeil na'r llall ei galw gan unrhyw fachyn gosod. Nid ydynt yn rhan o lwyth tâl y dioddefwr. Maent yn eistedd yn y cyfeiriadur pecyn yn yr un ffordd ag y byddai ffeil ddogfennaeth. Y darlleniad mwyaf credadwy yw bod y gweithredwr wedi gwthio eu coeden waith datblygu i npm heb guradu'r rhestr ffeiliau - slip OpSec go iawn - a'r hyn a gludwyd yw'r pecyn dwy ochr cyflawn: y cleient y mae dioddefwr yn ei redeg, a'r gweinydd y mae'r gweithredwr yn ei redeg.
Dyma'r rhan o'r stori sy'n cyfiawnhau'r fframio "pecyn botnet parod i'w ddefnyddio". Unrhyw un a lawrlwythodd axois-utils:1.0.9 cyn tynnu i lawr nid yn unig sampl dioddefwr - mae ganddyn nhw weinydd C2 sy'n gweithio.
Y golyn, mewn un frawddeg
Yr un cyhoeddwr, yr un enwau pecynnau, yr un sgaffald triphlyg, yr un brandio “ffantom” — ond newidiodd y llwyth tâl fodel monetization dros nos: o “gyfrinachau cynaeafu y gallaf eu hailwerthu” i “rhentu capasiti llifogydd y gallaf ei brydlesu”. Mae'r TTPau amser gosod y dylai amddiffynwyr fod yn eu gwylio bron yn union yr un fath ar draws y ddau gam; amddiffynfeydd sy'n seiliedig ar lofnod wedi'u teilwra i linynnau llwybr waled Cam A neu i phantom.jsByddai casglwr 7,667 llinell wedi methu Cyfnod B yn llwyr.
| Dyddiad (UTC) | Digwyddiad |
|---|---|
| 2026-05-15 | Cyhoeddiad cyntaf: axois-utils:1.0.4 (Adeiladu prawf LAN, rig datblygu yn 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 cyhoeddwyd — Cyfnewidiwyd Cyfnod A C2 i 80.200.28.28 drwy dwnnel Serveo; y sylw ffynhonnell // Change to '80.200.28.28' for public yn cadarnhau'r cyfnewid datblygwr→cynnyrch |
| 2026-05-16 | chalk-tempalte:1.0.14 ac 1.0.16 cyhoeddwyd — llwythwr cadwynog yn datgan axois-utils:^1.0.7 fel dibyniaeth amser rhedeg; is-barth Serveo wedi'i gylchdroi |
| 2026-05-16 | Ymgyrch Cyfnod A wedi'i darganfod yn ystod sganio npm arferol; dyfarniadau wedi'u cadarnhau fel maleisus wedi'u cymhwyso |
| 2026-05-17 | axois-utils:1.0.9 cyhoeddwyd — pivot llwyth tâl: recriwtio DDoS PhantomBot trwy dwnnel localhost.run; ochr y gweithredwr c2 deuaidd a c2.go ffynhonnell wedi'i hanfon yn y tarball |
| 2026-05-17 | chalk-tempalte:1.0.19 ac 1.0.20 wedi'i gyhoeddi — Cyfnod A o hyd (lladradwr); gweithredwr bellach yn rhedeg y ddau fodiwl ochr yn ochr |
| 2026-05-17 | Darganfod Cyfnod B yn ystod sganio arferol; dyfarniadau wedi'u cymhwyso ar draws pob un 2026-05-17 fersiynau |
| (parhaus) | Adroddiadau tynnu i lawr yn yr arfaeth; mae'r pedwar pecyn cyhoeddedig yn dal ar gael ar y gofrestrfa ar adeg ysgrifennu |
Dangosyddion Cyfaddawd
Pecynnau
| ecosystem | pecyn | fersiynau |
|---|---|---|
| npm | axois-utils (typosquat o axios) | 1.0.4, 1.0.6, 1.0.9 |
| npm | chalk-tempalte (typosquat o dempled sialc) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
Hunaniaeth yr awdur
| Maes | Gwerth |
|---|---|
| cyhoeddwr npm | deadcode09284814 |
| E-bost y cyhoeddwr | phantomdeadcode@tutamail.com |
| SCM dilysu | dim |
Gorchymyn-a-rheolaeth
| Cyfnod | Endpoint | Cludiant |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | Twnnel HTTPS Serveo |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | Twnnel HTTPS Serveo (fersiwn gynharach) |
| A | 80.200.28.28:443/collect | Penderfyniad VPS sylfaenol |
| B | b94b6bcfa27554.lhr.life:443/ | localhost.run twnnel gwrthdro HTTPS |
Crynodebau ffeiliau (SHA-256)
| Ffeil | SHA-256 | Nodiadau |
|---|---|---|
c2 (Ewch ELF, 4 MB) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | Gweinydd C2 ochr y gweithredwr, wedi'i gludo y tu mewn axois-utils:1.0.9 |
c2.go (426 llinell) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | Ewch i'r ffynhonnell ar gyfer y ffeil ddeuaidd C2 |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | Cleient bot Cyfnod B |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | Casglwr tystlythyrau / waled Cyfnod A |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | Casglwr Cyfnod A (amrywiad 1.0.20) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | Llwythwr Cyfnod A, yr un fath â beit ar draws y ddau fersiwn |
Priodoliad a Chymhelliant
Rydym yn olrhain yr ymgyrch hon fel PhantomBot, gan gymryd brandio'r gweithredwr ei hun o'r Asiant-Defnyddiwr: PhantomBot/1.0 pennawd curiad y galon, y gwasanaeth bot-ffantom uned systemd, y com.phantom.bot label LaunchAgent, a'r codmarwffantasi@ handlen e-bost. Mae'r gweithredwr yn gyson ynglŷn â'r enw hwn ar draws o leiaf bedwar arteffact.
Catalog signalau
- Cyhoeddwr - codmarw09284814 ar npm. Cyfrif un-drin, e-bost tafladwy Tutamail, na SCM dilysu. Dim hanes cyhoeddi blaenorol y tu hwnt i'r ymgyrch hon.
- Ailddefnyddio brandio — mae “phantom” yn ymddangos yn e-bost y cyhoeddwr, yn enw ffeil casglwr Cyfnod A (phantom.js), yn enw'r gwasanaeth dyfalbarhad Cyfnod B (gwasanaeth bot-ffantom), yn y label LaunchAgent (com.phantom.bot), ac yn y bot Defnyddiwr-Asiant (PhantomBot/1.0).
- Isadeiledd — VPS sengl yn 80.200.28.28 yn wynebu Cyfnod A trwy gylchdroi is-barth Serveo; mae Cyfnod B yn symud i a localhost.run twnnel gwrthdro (b94b6bcfa27554.lhr.lifeMae'r ddau wasanaeth gwerthwr yn rhad ac am ddim ac mae angen SSH allanol ar ochr y gweithredwr yn unig, yn gyson â gosodiadau cyllideb isel, OpSec isel.
- arddull cod — JavaScript plaen drwyddo draw; dim drysu, dim amgodio llinynnau, dim gwiriadau gwrth-VM. Mae enwau newidynnau yn ddisgrifiadol (dwynGwybodaethSystem, gweithreduGorchymyn, httpLlifogyddSylwadau yn distrube.js mynd i'r afael yn uniongyrchol â gweithredwr yn y dyfodol (“Defnyddiwch eich URL HTTPS localhost.run”), gan awgrymu bod y ffeil wedi'i bwriadu i'w hailddosbarthu fel pecyn, nid i'w defnyddio gan un ymosodwr.
- Slip OpSec — Mae tarball Cyfnod B yn cludo'r cleient bot a'r gweinydd C2 ochr y gweithredwr (c2 ELF + c2.go ffynhonnell). Mae hyn yn gyson â gweithredwr a wthiodd ei goeden waith i npm heb archwilio'r rhestr ffeiliau. Naill ai mae'r gweithredwr yn ddibrofiad, neu mae'r pecyn yn golygu i'w ddosbarthu'n gyhoeddus ac mae'r ffeil ddeuaidd C2 yn rhan o'r cynnyrch.
- Hunan-gadarnhad - axois-utils:1.0.4 yn cynnwys y sylw ffynhonnell // Newid i '80.200.28.28' ar gyfer y cyhoedd ar linell 12, yn cadarnhau'r dilyniant datblygu / llwyfannu / cynhyrchu y mae gweithredwyr fel arfer yn ei wadu.
Cymhelliant
Mae llwyth tâl Cyfnod A yn lladrad ariannol syml: mae gan gymwysterau, allweddi cwmwl, tocynnau GitHub, a waledi crypto i gyd farchnadoedd ailwerthu hylifol. Mae Cyfnod B hefyd yn ariannol, ond yn anuniongyrchol: mae gwasanaethau DDoS-i-logi (“booter”) yn rhentu capasiti llifogydd fesul munud, a robotiaid fel yr un a gludir yma yw'r rhestr eiddo y mae'r gwasanaethau hynny'n rhedeg arni. Y curiad calon 30 eiliad, y generig targed/porthladd/hyd cynllun gorchymyn, a'r arsenal llifogydd pum protocol yw'r standard cynnyrch gweithredwr cychwynnydd.
Rhedeg y ddau fodiwl ochr yn ochr — templed-sialc:1.0.19 ac 1.0.20 parhau i gludo'r lleidr tra axois-utils:1.0.9 yn cludo'r bot — yn awgrymu bod y gweithredwr yn gwarchod ffrydiau refeniw yn hytrach na rhoi'r gorau i Gam A. Mae'r newid yn ychwanegol, nid yn lle.
Yr hyn nad ydym yn ei hawlio
Nid ydym wedi gallu cadarnhau hunaniaeth yn y byd go iawn y tu ôl i'r codmarw09284814 handlen, ac nid ydym yn priodoli'r ymgyrch hon i unrhyw actor bygythiad, grŵp na gwlad a enwir. Mae'r brandio "ffantom" yn ddigon cyson ar draws arteffactau i awgrymu un gweithredwr, ond mae cludo arddull pecyn y ffeil ddeuaidd C2 yn gadael y posibilrwydd y bydd pecynnau yn y dyfodol o handlenni anghysylltiedig yn ailddefnyddio'r un cod.
Effaith, Tueddiadau a'r Hyn y Dylai Amddiffynwyr Ei Wneud
Effaith
Y targedau sgwat cyfreithlon axios ac templed sialc yn ddibynnol iawn arnynt yn ecosystem JavaScript; axios ar ei ben ei hun mae ymhlith y tri deg pecyn npm sydd wedi'u lawrlwytho fwyaf. Mae'r enwau typosquat un allwedd-gysylltiedig i ffwrdd o'r rhai go iawn (axois ↔ axios, templed ↔ templed), ac mae'r ddau yn gamsillafiadau ieithyddol gredadwy.
Nid oeddem yn gallu cael ystadegau lawrlwytho dibynadwy ar gyfer y fersiynau maleisus cyn eu tynnu i lawr — nid yw npm yn cadw cyfrifon lawrlwytho fesul fersiwn ar ôl i becyn gael ei ddadgyhoeddi, a npms.ioMae dirprwyon arddull-yn swnllyd ar y raddfa hon. Unrhyw sefydliad y mae ei ffeil gloi yn datrys i becyn o'r enw axois-utils or templed sialc gan y cyhoeddwr codmarw09284814 dylid ei drin fel pe bai wedi'i gyfaddawdu: cylchdroi pob tystlythyr sy'n bresennol yn proses.amgylchedd ar yr gwesteiwr yr effeithir arno, archwilio fectorau parhad fesul OS (gweler “Beth ddylai amddiffynwyr ei wneud” isod), a dileu'r ddibyniaeth.
Patrymau sy'n dod i'r amlwg
Mae'r ymgyrch hon yn enghraifft o newid a welwyd gennym mewn sawl digwyddiad npm diweddar: y sgaffald bachyn gosod yw'r ased gwydn; mae'r llwyth tâl yn gyfnewidiadwyYr un cyhoeddwr, yr un pecyn, yr un peth cyn-osod / gosod / ôl-osod triphlyg, a hyd yn oed yr un cadans fersiwn-bwmpio — yr unig beth a newidiodd rhyngddynt axois-utils:1.0.6 ac axois-utils:1.0.9 oedd y ffeil yn hooks rhedeg. Canfod yn seiliedig ar lofnod wedi'i allweddi i'r llwyth tâl Cyfnod A (llinynnau llwybr waled, phantom.jsByddai casglwr 7,667 llinell 's, y gwesteiwr Serveo C2) wedi nodi'r tair fersiwn gyntaf ac wedi methu Cyfnod B yn gyfan gwbl.
Mae'r un patrwm i'w weld ar draws ymgyrchoedd eraill yn 2026 yr ydym wedi'u holrhain: un gweithredwr gyda sgaffald sefydlog, yn cyfnewid rhwng dwyn tystlythyrau, cleientiaid sy'n twyllo arholiadau, exfil bot Telegram, a nawr recriwtio DDoS. Bydd amddiffynwyr sy'n dibynnu ar lofnodion llwyth tâl yn parhau i golli ail rownd pob ymgyrch.
Y canlyniad yw bod TTPs amser gosod yw'r signal gwellDatganiadau triphlyg gosod-bachyn, sgriptiau gosod sy'n mewnforio https or proses_children, gosod sgriptiau sy'n ysgrifennu i ffolderi cychwyn defnyddiwr, a gosod sgriptiau sy'n datrys enwau gwesteiwyr ar wasanaethau twnnel gwrthdro am ddim (Serveo, localhost.run, ngrok, cloudflared) i gyd yn brin mewn pecynnau cyfreithlon ac yn gyffredin ar draws rhai maleisus.
Beth ddylai amddiffynwyr ei wneud
- Archwiliad ffeil cloi. Chwiliwch bob pecyn-clo.json / cloi yarn / pnpm-lock.yaml yn eich sefydliad ar gyfer y llinynnau union axois-utils ac templed sialcYmdrin ag unrhyw gêm fel cyfaddawd.
- Cylchdroi cyfrinachau ar westeiwyr yr effeithir arnynt. Casglodd Cyfnod A gymwysterau SSH, cwmwl, GitHub, npm, a waled yn swmp. Tybiwch fod pob cymwysterau sydd erioed yn bresennol yn proses.amgylchedd, ~ / .ssh, ~/.aws, ~/.npmrc, ~/.ffurfwedd, neu unrhyw .amgylchedd* mae ffeil ar y gwesteiwr yr effeithir arno yn agored.
- Dileu dyfalbarhad (Cam B). Ar Windows, dileu HKCU\Meddalwedd\Microsoft\Windows\FersiwnGyfredol\Rhedeg\DiweddariadSystem, tynnu %APPDATA%\Microsoft\Windows\Dewislen Cychwyn\Rhaglenni\Cychwyn\system-update.bat, a schtasks /dileu /tnDiweddariadSystem /fAr Linux, crontab -e a thynnu @ailgychwyn nod …, systemctl –analluogi defnyddiwr –nawr gwasanaeth bot-ffantasi. yna dileu ~/.config/systemd/user/phantom-bot.service, sgwrio .bashrc / .zshrc / /etc/rc.localAr macOS, dadlwytho launchctl ~/Llyfrgell/LaunchAgents/com.phantom.bot.plist yna dileu'r plist.
- Blociwch y gwesteiwyr C2. Ychwanegwch y pedwar pwynt terfyn C2 yn y tabl IOC at eich rhestr flocio allfa. *.serveousercontent.com ac *.lhr.life gellir ei rwystro'n gyfan gwbl os nad oes gan eich amgylchedd ddefnydd cyfreithlon ar gyfer gwasanaethau twnnel gwrthdro.
- Hela yn ôl TTP amser gosod, nid llwyth tâl. Cofnodion cloi ffeil rhestr eiddo y mae eu pecyn.json datgan cyn-osod, gosod, a ôl-osod pob un yn pwyntio at yr un sgript. Croeswiriwch yn erbyn oedran y pecyn a statws dilysu'r cyhoeddwr. Mae'r patrwm hwn yn brin mewn pecynnau cyfreithlon a dyma'r un signal mwyaf dibynadwy y mae PhantomBot yn ei ailddefnyddio.
- Archwilio ar gyfer y ffeil ddeuaidd C2. Unrhyw un a lawrlwythodd axois-utils:1.0.9 sydd â gweinydd C2 y gweithredwr (c2 ELF, sha256 165fa92d…) ar y ddisg. Sganiwch storfeydd storfa a storfeydd arteffactau CI. Mae'r ffeil ddeuaidd yn segur ynddo'i hun, ond mae ei phresenoldeb ar orsaf waith yn dystiolaeth ddiamwys bod y pecyn wedi'i osod.
Llinell gau
Gall yr un gweithredwr, yr un pecyn, a'r un bachyn gosod gyflwyno bygythiadau hollol wahanol o fewn 48 awr. Gwyliwch y sgaffald, nid y llwyth tâl.
