TL; DR
Ar feadh thart ar dhá mhí, tá goideoir faisnéise npm aonair tagtha chun cinn arís faoi shraith rothlach d'ainmneacha pacáiste agus ualach beagnach gan athrú á sheoladh aige. Thosaigh sé go hoscailte mar forge-jsxy, sceite forge-jsx3 / forge-jsx4 siblíní, ansin scaoil siad an brandáil "forge" ar fad chun ligean orthu gur bonneagar forbróra iad — ar dtús zredis-typed, agus le déanaí pinokio-redis.
Tá an méid seo a leanas ag gabháil le gach malairt. an slabhra uirlisí inmheánach céannacomhaid ainmnithe forge-jsx-explorer-*, an relayPackageServe modúl a fhreastalaíonn ar forge-jsxy-package.tgz, agus am rithe marthanach i bhfolach faoi eolaire poncaithe ionas go mairfidh sé tar éis scriosadh an phacáiste npm.
Léann an t-ualach ábhar sparán cryptocurrency agus dintiúir forbróra ón óstach agus iad a tharchur chuig Discord webhooks, uaslódálacha HuggingFace Hub, agus críochphointe C2 crua-chódáilte. Suiteálann sé uaththosú ar leibhéal an chórais oibriúcháin ionas go rithfidh sé arís tar éis atosaithe, agus gabhann sé gníomhaíocht an ghearrthaisce, an mhéarchláir agus an scáileáin. An leagan is déanaí, pinokio-redis, déanann sé cur síos air féin mar chomhtháthú "Autodesk Forge" — cur síos nach mbaineann leis an méid a dhéanann an cód.
| Éiceachóras | npm |
| Rang ualaigh | goideoir faisnéise ilchéime + gníomhaire rialaithe cianda (RAT) |
| Spriocanna bunscoile | sparán cripte, síntí sparán brabhsálaí, dintiúir forbróra/néil |
| Marthanacht | am rith buan i bhfolach + uaththosú OS (maireann baint phacáiste) |
| Eis-scagadh | discord gréasáinhooks + athsheachadán, HuggingFace Mol, C2 crua-chódaithe ar phort 9877 |
| Réise breathnaithe | Bealtaine 2026 – Iúil 2026 (ar siúl) |
| Ainm is déanaí | pinokio-redis:1.0.127 |
Anatamaíocht Ionsaí
Suiteáiltear gach cineál sa teaghlach seo tríd an gcruth céanna: pacáiste a bhfuil cuma neamhghníomhach air ar a leathanach liostála ach a dhearbhaíonn crúca iar-suiteála, mar sin Ritheann an t-ualach oibre an nóiméad a shuiteáiltear an pacáiste mar spleáchas. Tiomáineann crúca slabhra cúig chéim.
- Céim 1 — teacht i gcrích. Díchódaíonn an script suiteála comhad pacáilte, ionchódaithe blob isteach i sraith scripteanna rith-ama agus scríobhann siad iad i gcomhadlann i bhfolach faoin suíomh cumraíochta ardáin (úsáid na leaganacha forge-jsxy .forge-jsxy/runtime/v poncaithe) Ós rud é go bhfuil an chóip seo lasmuigh de node_modules, ní bhainfear an gníomhaire atá ag rith nuair a bhaintear nó a dhífhoilsithear an pacáiste npm.
- Céim 2 — lean ort. Cláraíonn an slabhra iontráil uaththosaithe OS ionas go n-athsheoltar an gníomhaire ar atosú. Ar Windows, ritheann sé seo trí script diagnóisice PowerShell i bhfolach; sceithtear próiseas an ghníomhaire scoite agus le windowsHide socraithe ionas nach bhfeictear aon fhuinneog consóil.
- Céim 3 — éalú. Déanann an t-am rith seiceáil ar mharcóirí comhtháthaithe leanúnaigh agus scoireann sé go ciúin nuair a bhraitear timpeallacht CI, mar sin ní fheiceann boscaí gainimh tógála uathoibrithe aon rud. Sna leaganacha forge-jsxy, dúirt trácht foinse gur fágadh réimse forgeInstall infheicthe ar lár d'aon ghnó ó package.json "toisc go mbeadh an réimse sin le feiceáil ar npm" - choinnigh an t-oibreoir meiteashonraí an spreagtha as an liostú poiblí d'aon ghnó.
- Céim 4 — bailigh. Nuair a bhíonn an gníomhaire ag rith, bailíonn sé, in aon phas amháin:
- Ábhar sparán cripte. Tiomáineann liosta sprice secret_filename_patterns.json pacáilte scanadh córais comhad le haghaidh wallet.dat, *.mnemonic /comhaid .seed / *.phrase, keypair.json, Ethereum UTC– stórais eochracha, agus stórais eochracha *.p12 / *.pfx / *.jks. Tá leabharlanna díorthaithe sparán (cúntóirí bip39, secp256k1, base58check, agus Solana) i láthair sa phacáiste.
- Síneadh sparán brabhsálaí. Léann modúl chromiumExtensionDbHarvest bunachair shonraí stórála síneadh áitiúla brabhsálaithe Chromium, an áit ina gcoinníonn síntí sparán bunaithe ar bhrabhsálaí a gcuid sonraí cruinneacháin.
- Dintiúir agus rúin. Déanann an gníomhaire scanadh ar stair an bhlaosc agus ar chomhaid ina bhfuil rúnda agus léann sé dintiúir an fhorbróra/an scamall, agus ansin ionchódaíonn sé dintiúir HuggingFace le haghaidh uaslódála.
- Ionchur beo. Gabhtar ábhar an ghearrthaisce, ionchur méarchláir, agus scáileáin go leanúnach.
Céim 5 — eis-scagthaFágann sonraí bailithe an t-óstach trí thrí cainéil ag feidhmiú go comhthreomhar: Discord gréasánhooks (discordWebhookPost) agus uaslódálaí athsheolta Discord a labhraíonn le `discord.com/api/v10` (discordRelayUpload), uaslódálacha HuggingFace Hub (hfUpload), agus a Sroicheadh críochphointe cruachódaithe C2 thar phort 9877. RelayPackageServe Freastalaíonn an modúl freisin ar ais-amach forge-jsxy-package.tgz — an rud céanna ainm an déantáin trasna gach athainmnithe.
Is é an pointe struchtúrach tábhachtach ná go ritheann céimeanna 1–3 ag am suiteála le gan aon idirghníomhaíocht úsáideora, agus cuireann céim 1 an t-ualach in áit éigin sa phacáiste ní dhéanann an bainisteoir rianú. Forbróir a thugann faoi deara an spleáchas corr agus ritheann npm uninstall baintear an liostú ach ní bhainfear an gníomhaire.
Tá an t-ualach in ann léamh go tapa freisin. Ní sheoltar na scripteanna rith-ama. go soiléir: coinníonn céim ionchódaithe-imscartha an loighic oibríochtúil mar blob ionchódaithe nach leathnaíonn isteach i scripteanna inléite ach amháin nuair a bhíonn an slabhra suiteála críochnaithe díchódaíonn sé isteach san eolaire reatha i bhfolach é. Na comhaid atá le feiceáil ar an liostú — an shim tanaí iar-suiteála agus ábharú dist cúntóir — ní nochtann sé mórán faoi cad a ritheann sa deireadh. An seachadadh ionchódaithe seo bhí tionchar intomhaiste ag an dearadh ar thriage: ar feadh shaolré an teaghlaigh, scóráladh sábháilteacht iolrach dearbhaithe trí aicmiú uathoibrithe, agus bhí an t-ualach teimhneach go leor chun athbhreithniú uathoibrithe a chur ar fionraí go hiomlán. Ní fheictear na hiompraíochtaí a thugann an teaghlach uathu ach amháin tar éis an ionchódaithe. leathnaítear an stáitse, agus léitear an t-am rite go díreach.
amlíne
Tá ualach oibre an teaghlaigh fós thar a bheith cobhsaí; is é an rud a athraíonn ná an ainm ar an mbosca. Ritheann an stua ó bhrandáil oscailte “bhioráin” i dtreo ag cur i bhfolach mar uirlisí forbróra neamhghaolmhara.
Seasann dhá rud amach ar fud an ama. Ar dtús, athúsáidtear uimhir an leagain 1.0.127 focal ar fhocal ag zredis-typed agus pinokio-redis araon — athraíonn an t-ainmniú ach ní athshocraítear an líneáil tógála. Ar an dara dul síos, comhtharlaíonn an t-aistriú ó ainmneacha “forge-*” le haistriú i dtreo ainmneacha a léann mar bhonneagar gnáth (redis, pinokio), rud a laghdaíonn an seans go ndéanfaidh forbróir neamhaird den ainm agus go ndéanfaidh sé leisce.
Táscairí Comhréiteach
Tá na IOCanna thíos dífhanáilte. Rothlaigh an t-óstach C2 idir an líne forge-jsxy agus an leagan is déanaí agus an calafort céanna á choinneáil.
Ní hé aon óstach nó crúca gréasáin an comhartha braite is marthanaí — iad siúd rothlaigh — ach ainmneacha comhad an tslabhra uirlisí agus an forge-jsxy-package.tgz déantán, a mhair focal ar fhocal trí gach athainmniú.
Leithdháileadh & Iompar Breathnaithe
Foilsíodh na pacáistí faoi níos mó ná cuntas npm amháin. úsáideadh an foilsitheoir jacksonkaandorp2 (jacksonkaandorp2@outlook[.]com) ar an líne; Foilsíodh an leagan is déanaí de pinokio-redis le donimique (donimiqueakers@gmail[.]com). Ní raibh ríomhphost fíoraithe ag ceachtar cuntas ná stór foinse nasctha. Is é an líne tríd an gcuntas ná slabhra uirlisí, ní céannacht an fhoilsitheora — na hainmneacha modúl céanna, an rud céanna seirbheáilte .tgz, agus an dearadh exfil céanna le feiceáil arís is cuma cé a d'fhoilsigh.
Léiríonn roinnt iompraíochtaí inbhraite ceilt d'aon ghnó seachas ró-bhailiú de thaisme:
Cuirtear an t-am rithe lasmuigh de node_modules in eolaire i bhfolach, mar sin maireann sé níos faide ná an pacáiste a sheachaid é.
Téann an gníomhaire amach nuair a bhraitheann sé timpeallacht CI, rud a chuireann srian ar nochtadh i mboscaí gainimh anailíse uathoibrithe.
Seoltar an próiseas gníomhaire scoite amach agus fuinneog-i bhfolach.I sna leaganacha forge-jsxy, cheangail trácht easnamh réimse suiteála infheicthe leis an réimse sin a bheith “infheicthe ar npm.”
Níl baint ag na tuairiscí poiblí ar phacáistí leis an gcód — cuirtear pinokio-redis i láthair mar chomhtháthú “Autodesk Forge”.
Is fiú bearna braite athfhillteach amháin a thabhairt faoi deara do chosantóirí atá ag brath ar aicmiú uathoibrithe: dearbhaíodh roinnt malairtí sa teaghlach seo scóráilte mar shábháilte ag aicmitheoir ML sular cheartaigh athbhreithniú cóid an breithiúnas. Na heilimintí cobhsaí ar féidir le hathbhreithneoir a bheith ag brath orthu — an t-am suiteála slabhra, an t-am rithe i bhfolach, ainmneacha comhad an tslabhra uirlisí — is iad sin go díreach a mhaireann na hathainmnithe.
Déanaimid cur síos ar an méid thuas mar iompar breathnaithe. Ní chuireann muid an feachtas chuig aon aisteoir ainmnithe, agus ní dhéanaimid aon éileamh faoi oibreoir céannacht nó cuspóirí thar a léiríonn an cód agus an bonneagar.
Tionchar, Treochtaí & Treoir Cosantóirí
Cé atá nochtaithe. Tá an bailiúchán dírithe go díreach ar fhorbróirí meaisíní: sparán agus eochracha cripte-airgeadra, síntí sparán brabhsálaí, stair an bhlaosc, agus dintiúir scamall/seirbhíse. Aon duine a shuiteálann pacáiste lena mbaineann — go díreach nó mar spleáchas trasdultach — le linn an tá an fhuinneog a raibh sé beo laistigh den raon feidhme, agus ciallaíonn an dearadh buanseasmhachta an ní chríochnaíonn an nochtadh nuair a bhaintear an pacáiste.
Cén fáth go bhfuil an bhuanseasmhacht tábhachtach. Ós rud é go ndéanann céim 1 an t-ualach a chóipeáil isteach i eolaire rith-ama i bhfolach agus cláir chéim 2 uaththosú, an gnáth instinct leigheasacháin (díshuiteáil an spleáchas dona, scrios node_modules, (athshuiteáil) ní dhíbirtear an gníomhaire. Caithfidh freagairt do theagmhas breathnú ar an am rith lasmuigh den chrann agus an iontráil uaththosaithe, ní hamháin an pacáiste.
An treocht. Léiríonn an teaghlach seo patrún atá fiúntach a fheiceáil: ualach atá cobhsaí agus aibí, fillte i sruth indiúscarthaainmneacha pacáiste a aistríonn ó aon ainm a baineadh anuas roimhe seo aitheanta, i dtreo ainmneacha a léitear mar bhonneagar gnáth. Bunaithe ar ainm bíonn liostaí blocála agus clú foilsitheora ag dul in aois go gasta i gcoinne seo; iompar- agus ní dhéanann comharthaí bunaithe ar artifacht.
Do fhorbróirí agus do thomhaltóirí
Déan scripteanna am suiteála a láimhseáil mar an phríomhdhromchla riosca. Suiteáil le scripteanna díchumasaithe nuair is féidir agus athbhreithnigh aon spleáchas a dhearbhaíonn a iar-shuiteáil. Spleáchais thrasdultacha a phionáil agus a sheiceáil; tagann an cineál seo malware chomh héasca trí fho-spleáchas agus a thagann sé trí cheann díreach.
Ar óstach amhrasta, déan fiach níos faide ná an pacáiste: lorg eolaire rith-ama i bhfolach i suíomh chumraíochta an ardáin, iontráil uaththosaithe gan choinne, agus naisc amach chuig webhook Discord nó críochphointí :9877.
Glac leis go bhfuil aon fhrása síl sparán, stór eochrach, nó dintiúir atá i láthair ar óstach lena mbaineann le linn na fuinneoige nochta i mbaol, agus rothlaigh é.
Do chláraitheoirí agus do chosantóirí
Foláireamh maidir leis na déantáin mharthanacha (forge-jsxy-package.tgz, the forge-jsx-explorer-* / chromiumExtensionDbHarvest / discordRelayUpload) ainmneacha comhad) seachas ainm an phacáiste, a athraíonn.
Brataigh an teaglaim struchtúrach a bhfuil an teaghlach ag brath air — iar-shuiteáil a chuireann scripteanna i gcosán folaithe cumraíochta móide OS clárú uaththosaithe — neamhspleách ar na teaghráin shonracha atá i gceist.
Tá an t-ainm ar an bpacáiste athraithe ceithre huaire ar a laghad; an cliabh istigh ann níl. Tá an braiteadh atá bunaithe ar a ndéanann an cód tar éis maireachtáil níos faide ná gach athlipéadú go dtí seo.
