TL; DR
nolimit-agent is pacáiste npm é a bhfuil a leaganacha foilsithe — 1.0.299 trí 1.0.307, eisithe thar cheithre lá ó 2026-06-26 go 2026-06-29 — tá ceann ag gach ceann acu creat iomlán fioscaireachta agus ríomhphoist mórchóir taobh istigh d'eolaire i bhfolach, atá lán-dhorcha. I ngach leagan, réitíonn an príomhiontráil go .ad/x0.js, ceann de ~86 comhad i bhfillteán darb ainm dotfile ina bhfuil thart ar 4,200 blob teaghrán-array javascript-obfuscator; tá an crúca suiteála agus leagan amach an iontrála mar an gcéanna ar fud na líne.
Taobh thiar den cheilt tá Sreabhadh cód gléis Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) a léann bosca isteach Outlook an íospartaigh agus míreanna a sheoltar tríd an Microsoft Graph API a luaithe a cheadaítear cód; inneall seolta SMTP agus SMS mórchóir atá á thiomáint ag liostaí faighteoirí arna soláthar ag an oibreoir; teimpléid teachtaireachta pearsantú branda; tógáil nasc atreoraithe oscailte; agus taiscéalaíocht thar chuardach cóid DNS-thar-HTTPS, WHOIS, agus GitHub. Beacáin tráchta rith-ama chuig bonneagar oibreora ag api[.]nolimitent[.]xyz:4100.
A mbíonn tionchar orthu: aon duine a shuiteálann aon leagan den phacáiste, agus aon cheann Bosca poist Microsoft 365 a bhfuil a úinéir ag ceadú cód gléis a chuirtear i láthair tríd. An leagan is déanaí, 1.0.307, an clib is déanaí reatha agus tá an cumas bosca poist cód gléis céanna aige — níl an cód mailíseach teoranta do leagan amháin ar ais.
Déine: criticiúilÉiceachóras atá buailte: npmAn t-aon táscaire le cuardach a dhéanamh air ar dtús: an t-óstach api[.]nolimitent[.]xyz.
An ionsaí: conas a oibríonn sé
Blaosc neamhurchóideach thar ualach i bhfolach
Cuireann an pacáiste dromchla gnáth i láthair. pacáiste.json dearbhaíonn a iar-shuiteáil crúca -
text postinstall: node scripts/postinstall.js — agus ar iniúchadh scripteanna/postinstall.js Tá sé neamhdhíobhálach: suiteáiltear shim ordaithe Windows agus scoireann sé. Ní hé an crúca an áit a bhfuil an t-iompar ina chónaí. An príomh- agus bin réimsí araon ag pointeáil isteach .ad/, eolaire a choinníonn a phointe tosaigh amach as an ngnáthrud é ls aschur, agus a bhfuil a bhfuil ann doiléir go haonfhoirmeach ag meaisín. Chomhaireamh an scanóir statach ~4,293 réise ualach-ionchódaithe trasna an .ad/ tacar modúl; javascript-obfuscator Is spleáchas forbartha dearbhaithe é, a chomhlíonann cruth rothlaithe teaghrán-eagar na gcomhad pacáilte.
Is é an scoilt an chéad chomhartha is fiú a ainmniú: tá an crúca suiteála a scrúdódh athbhreithneoir glan, agus tá an cód oibríochta suite eolaire amháin ar shiúl, i bhfolach agus doiléir, agus ní shroichtear é ach amháin nuair a ritheann pointe iontrála onnmhairithe an phacáiste.
Rochtain bosca poist le cód gléas Microsoft 365
An modúl .ad/x12.js tá an cumas is suntasaí sa chreatlach aige. Tiomáineann sé deontas údaraithe gléasanna Microsoft 365 OAuth 2.0:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode Is sreabhadh dlisteanach Microsoft é an deontas cód gléas atá deartha le haghaidh gléasanna srianta ionchuir: iarrann seirbhís cód, clóscríobhann an t-úsáideoir an cód sin isteach. microsoft.com/devicelogin` ar an dara gléas agus ceadaíonn sé, agus faigheann an tseirbhís iarrtha comharthaí. Nuair a bhaineann an tseirbhís iarrtha le duine seachas úinéir an bhosca poist, tugann ceadú comhartha don tríú páirtí sin. Nuair a fhaightear comhartha, Léann .ad/x12.js` an bosca poist go díreach trí Microsoft Graph:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients An $roghnaigh Tarraingíonn teilgin seoltaí seoltóra ón mbosca isteach agus seoltaí faighteora ó mhíreanna seolta — an t-amhábhar chun comhfhreagraithe íospartaigh a mhapáil. Is rochtain namhaid-sa-lár (AiTM) é seo trí thoiliú seachas trí ghabháil pasfhocail: níl aon dintiúir ann don fhioscaireacht sa chiall chlasaiceach, ach cód chun ceadú a fháil.
Inneall ríomhphoist mórchóir agus SMS le teimpléid phearsantú
Timpeall an bhosca poist tá seoltóir ríomhphoist. Seolann an pacáiste comhaid sonraí is féidir a chur in eagar ag an oibreoir — liostaí seoltóirí (senders.txt, smtps.txt) agus comhad teimpléid (feidhmeanna.txt) — a bhfuil a sheoltaí áitchoinneálaí léite mar bhileog réitigh le haghaidh pearsantú: security@apple.com, login-fíorú, seirbhís OAuth, billeáil, agus seoltóirí fógra cuntais i gcoinne a dodomain.com ionadaí an oibreora. Tá fón ar an taobh SMSebook agus cumraíocht an gheata. Déanann an seoltóir ríomhphoist liostaí faighteoirí arna soláthar ag an oibreoir a athrá agus seolann sé trí athsheachadáin SMTP cumraithe.
Chun naisc a chur i dtír, .ad/xu.js agus .ad/xq.js URLanna a thógáil a bhaineann leas as débhríocht parsála URLanna agus rianú cliceáil. Leagann na patrúin bhréagacha údarás iontaofa isteach roimh @ mar sin tá an réimír infheicthe difriúil ón óstach fíor:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Gabhann an creat favicons ó thomhaltóirí móra freisin agus enterprise soláthraithe ríomhphoist — teicníc ghnáthamh chun leid nó leathanach tuirlingthe mealltach de bhranda an tsoláthraí a sholáthar.
Taiscéalaíocht sprice agus bonneagair
Bailíonn roinnt modúl comhthéacs sula seoltar iad. .ad/x0.js réitíonn ainmneacha thar DNS-thar-HTTPS (dns[.]google/réitigh), .ad/xa.js fiosrúcháin WHOIS (api[.]whois[.]vu), Agus .ad/x9.js ritheann cuardach cód GitHub (api[.]github[.]com/cuardaigh/cód?q=) — patrún atá comhsheasmhach le cumraíocht freastalaí ríomhphoist nochtaithe agus dintiúir SMTP a aimsiú chun an liosta athsheachadta a bheathú. .ad/xs.js cuireann sé fiosrúcháin ar innéacs CDX an Wayback Machine.
Ordú agus rialú
Trasna an tsraith doiléir, .ad/x4.js tagraíonn sé don chríochphointe oibreora:
text http://api[.]nolimitent[.]xyz:4100 Roinneann an t-óstach a chuid gan teorainn branda le hainmniú an fhoilsitheora féin, agus an : 4100 Is é an port cainéal glao-bhaile an chreata. Seo an táscaire is marthanaí do chosantóirí: pacáiste, stáisiún oibre forbróra, nó gníomhaire tógála ag teacht isteach api[.]gan teorainn[.]xyz rith an cód seo.
Táscairí comhréitigh
Is iad na táscairí thíos na cinn ar féidir le cosantóir gníomhú orthu — comhad glasála a grep, óstach a bhlocáil, nó logaí seachfhreastalaí agus DNS a chuardach. Feictear críochphointí Microsoft toisc go ndéanann an creat mí-úsáid astu; níl siad mailíseach iad féin agus níor cheart iad a bhlocáil.
Haiseanna comhaid a gabhadh ag triage:
- pacáiste/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- pacáiste/pacáiste.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Comhartha tionónta Microsoft 365 atá fiú a sheilg neamhspleách ar an bpacáiste seo: síniú isteach rathúil le cód gléis agus léamha Graif ina dhiaidh sin go pras Fillteáin ríomhphoist/bosca isteach agus Fillteáin/míreanna ríomhphoist, go háirithe ó sheisiún nach n-aithníonn an t-úsáideoir.
Leithdháileadh & iompar breathnaithe
Fanann an rud atá inbhraite ar leithligh ó cé atá taobh thiar de.
Fíricí inbhraite: tá an pacáiste foilsithe faoin láimhseáil gníomhaire gan teorainn le seoladh Gmail neamhfhíoraithe agus gan aon stór foinse nasctha; a pacáiste.json déanann sé cur síos air mar “seoltóir ríomhphoist ardleibhéil” agus clibeálann sé é leis an foireann dhearg eochairfhocal; tá an cód rith-ama comhchruinnithe i bhfolach, doiléir .ad/ eolaire a bhfuil a shlabhra uirlisí (javascript-obfuscator) is spleáchas dearbhaithe é; agus an t-óstach glao-bhaile api[.]gan teorainn[.]xyz athúsáideann an gan teorainn branda. Is pacáiste aonair é seo le sainchomhartha bonneagair amháin atá faoi rialú an oibreora — ní braisle ilphacáiste é, agus níor aithníodh aon fhorluí le feachtas a ainmníodh roimhe seo.
An foireann dhearg Ní athraíonn an eochairfhocal an aicmiú. Déanann uirlisí slándála ionsaitheacha dlisteanacha a sheolann cumas dé-úsáide amhlaidh go trédhearcach: foinse inléite, spriocanna arna soláthar ag an oibreoir, agus gan aon ghlao-bhaile i bhfolach. Déanann an pacáiste seo gach ceann de na hairíonna sin a aisiompú - tá a chód oibríochtúil doiléir agus i bhfolach, agus déanann sé rabhcháin chuig bonneagar oibreora seasta seachas sprioc a sholáthraíonn an t-úsáideoir. Is é an t-iompar, ní an lipéad, a rialaíonn an breithiúnas, atá mailíseach.
Ní dhearbhaítear intinn anseo. Déanann an post cur síos ar a ndéanann an cód — cód gléis a iarraidh, bosca poist a léamh thar Graph, ríomhphost mórchóir a sheoladh trí athsheachadáin chumraithe, rabhchán a chur chuig óstach seasta — agus fágann sé an chúis gan lua.
Tionchar, treochtaí & treoir do chosantóirí
Tá dhá éifeacht ag baint le ham suiteála. Ar dtús, aon fhorbróir nó gníomhaire CI a shuiteálann gníomhaire gan teorainn tugann sé an creatlach chuig an óstach sin agus bunaíonn sé an glao-bhaile chuig api[.]gan teorainn[.]xyzAr an dara dul síos, síneann an cumas cód gléis raon feidhme níos faide ná an t-óstach suiteála: léitear bosca poist Microsoft 365 a bhfuil a úinéir á spreagadh chun cód a chuirtear i láthair a cheadú go díreach trí Graph, gan aon phasfhocal ag dul trasna an tsreang riamh.
Is é an treocht níos leithne an ceann atá ann ná an treocht inmheánach a dhéanamh. Tá fioscaireacht chód gléas (AiTM) tar éis bogadh ó bhonneagar fioscaireachta neamhspleách go pacáiste ar chlárlann phoiblí — dáilte ag npm a shuiteáil seachas trí nasc a sheoltar trí ríomhphost. Trí an trealamh a phacáistiú ar an mbealach seo, déantar fadhb óstála agus seachadta nasc an oibreora fioscaireachta a thrádáil ar mhaithe le rochtain clárlainne, agus cuirtear an cód oibríochtúil i bhfolach taobh thiar de dhrúca suiteála glan agus eolaire doiléir darb ainm .comhad a chuireann deireadh le scimeáil láimhe thapa.
Do chosantóirí:
- Athbhreithniú ar an gclárlann agus ar spleáchais. Déileáil le pacáiste a bhfuil príomh-/bin réitíonn sé i n-eolaire folaithe (le réimír ponc) de chód céadpháirtí atá doiléirithe go haonfhoirmeach mar ardriosca ar an struchtúr amháin, beag beann ar cibé an bhfuil cuma ghlan ar an gcrúca suiteála. Ní doiléiriú atá i gceist le minification — geata ar shíniú an díchódóra teaghrán-eagar, ní ar fhad na líne.
- Cruachú Microsoft 365. Cuir srian ar shreabhadh údaraithe an chóid gléis le Rochtain Choinníollach i gcás nach bhfuil gá leis ó thaobh oibríochta de; is veicteoir AiTM aitheanta iad deontais chóid gléis agus is annamh a bhíonn gá leo ag úsáideoirí idirghníomhacha. Déan iniúchadh ar shíniú isteach cód gléis agus ina dhiaidh sin áireamh láithreach ar bhosca poist Graph.
- Brath líonra. Blocáil agus foláireamh ar siúl api[.]gan teorainn[.]xyzDéan fiach ar logaí DNS agus seachfhreastalaí amach dó ar fud bonneagair forbróra agus tógála.
- Brath cosáin ríomhphoist. An úsáideoir@óstach Foirmeacha URL-falsaíochta (iontaofa[.]com@…) inbhraite ag an ngeata ríomhphoist agus ag an seachfhreastalaí; bratach a chur ar naisc a bhfuil a gcomhpháirt údaráis roimh cheann @.
Bhí an pacáiste beo ar npm tráth na hanailíse. Ós rud é go gclúdaíonn an creatlach i bhfolach an líne leagan foilsithe ar fad agus an leagan reatha. is déanaí Tá an cumas cód gléis ag clib (1.0.307), ba cheart go gcumhdódh bainte as an gclárlann gach leagan, ní hamháin leagan amháin ar ais.
