TL; DR
Idir 2026-06-15 agus 2026-06-16 bhrúigh foilsitheoir npm aonair sé phacáiste — 26 leagan san iomlán — a ritheann script ama suiteála ar gach npm installSeolann gach pacáiste README ina ndearbhaítear gur déantán taighde "neamhurchóideach" de chuid HackerOne / GitHub Bug Bounty é nach dteagmhaíonn le luachanna dintiúir "choíche" agus "nach ndéanann aon bhuanseasmhacht". Ní hionann an cód agus an séanadh. Ar ritheoirí Linux CI, déanann an crúca suiteála méarloirg ar an timpeallacht agus déanann sé iniúchadh ar chríochphointe meiteashonraí sampla scamall; ar Windows iarrann sé ardú céime, ritheann sé mar SYSTEM, agus osclaíonn sé cainéal ordaithe chuig óstach seachtrach. Is é an t-aon táscaire le cuardach anois ná an t-óstach C2. 173.255.233[.]239Déine: ardÉiceachóras atá buailte: npm. Cumascann ainmneacha i dtorann spleáchais chomhtháthaithe leanúnaigh (metrics-pipeline-d8k2, event-metrics-q3x7, pkg-telemetry-r4f9, agus triúr deartháireacha agus deirfiúracha).
An Ionsaí: Conas a Oibríonn Sé
Tá gach pacáiste sa chnuasach tógtha ar an mbealach céanna. pacáiste.json an t-ordú céanna a nascadh isteach i dhá shaolré hooks:
{ "scripts": { "preinstall": "node run.js", "postinstall": "node run.js" } }Ag rith ar an dá cheann réamhshuiteáil agus iarshuiteáil ciallaíonn sé go n-imíonn an t-ualach cibé acu a theipeann ar chéimeanna suiteála níos déanaí nó nach ea. rith.js is seoltóir ardáin deich líne é féin:
// Platform dispatcher — runs beaconNN.js on Windows, beacon_linux.js on Linux. // GitHub Bug Bounty authorized research. Contact: nicholas@curran.tech 'use strict'; const { execFileSync } = require('child_process'); const path = require('path'); const node = process.execPath; const script = process.platform === 'win32' ? path.join(__dirname, 'beacon34.js') : path.join(__dirname, 'beacon_linux.js'); try { execFileSync(node, [script], { stdio: 'inherit', timeout: 90000 }); } catch (e) {}Ansin déanann an t-iompar forc de réir córas oibriúcháin. Tá an dá phíosa chéanna ag gabháil leis na sé phacáiste go léir — rith.js agus na rabhcháin ardáin — mar sin is braoiníní inmhalartaithe iad seachas sé uirlis ar leith. Is é an t-aon difríocht shuntasach eatarthu ná cadans foilsitheoireachta: seoladh ceithre ainm uair amháin, agus athscaoileadh dhá cheann gach 30–60 nóiméad ar feadh uaireanta an chloig, rud a choinníonn leagan úrnua foilsithe os comhair suiteálaithe agus réiteoirí fiú agus cinn níos sine á dtarraingt siar.
Ar Linux (beacon_linux.js) próifílíonn an script an áit a bhfuil sé ag rith. Liostaíonn sé ainmneacha na n-athróg timpeallachta, léann sé comhaid faoi / proc, seiceálacha le haghaidh docker.sock, agus ritheann óstainm agus whoamiAnsin, eisíonn sé iarratas HTTP chuig críochphointe meiteashonraí samplach an choimeádáin AWS. 169.254.170[.]2 — an seoladh nasc-áitiúil a chuireann tasc ECS fiosrúcháin air chun a chumraíocht féin agus a dhintiúir róil ghearrthéarmacha a fháil (IMDS, an tseirbhís meiteashonraí samplaí). Seoltar na torthaí chuig bailitheoir an fheachtais ag 173.255.233[.]239.
Ar Windows (beacon34.js / beacon18.js) déanann an pacáiste i bhfad níos mó ná próifíl a dhéanamh dá óstach. Cuireann an cód brataithe eochair chlárlainne leis faoin ms-socruithe láimhseálaí le ToscaireForghníomhaigh luach — seachbhóthar rialaithe cuntais úsáideora aitheanta a ligeann do phróiseas seolta rith ar ardaithe gan leid. Éilíonn sé PowerShell le Seachbhóthar Beartais Forghníomhaithe agus Glaoigh-Léiriú, forghníomhaíonn sa ÚDARÁS NT \ CÓRAS comhthéacs, agus déanann sé suirbhé ar óstach seachtrach le haghaidh orduithe. Ritheann cainéal orduithe Windows thar Tollán Cloudflare, trastomhas-boinn-teorainneacha-tuismitheoirí.trycloudflare[.]com:443, ag titim ar ais go 173.255.233[.]239:443, ag baint úsáide as trí phointe deiridh: /c2/vótaíocht chun ordú a fháil, /c2/amach chun aschur a thabhairt ar ais, /c2/eof Dún.
Cad atá nua anseo: an séanadh mar chamfhuadar
Ní hé an t-ualach an ghné úrnua — tá an dá rud doiciméadaithe go maith maidir le taiscéalaíocht an chrúca suiteála agus ardú Windows. Is é an scéal clúdaigh atá ann. Tá README i ngach pacáiste a léann mar shaothar nochta freagrach:
# @ncurran/sandbox-recon-880538 — authorized npm-sandbox security researchSeo é neamhurchóideach pacáiste foilsithe faoi raon feidhme `@ncurran` an údair féin mar chuid de rannpháirtíocht údaraithe HackerOne / GitHub Bug Bounty (tá npm laistigh den raon feidhme).
Déanann sé iniúchadh ar an suiteáil a thimpeallacht fhorghníomhaithe féin … athróg timpeallachta
ainmneacha eochair amháin … seiceálann sé an bhfuil sé aitheanta go maith críochphointí meiteashonraí scamall Tá inrochtana … Ní thuairiscíonn sé ach cóid stádais, faid freagartha, agus haiseanna — riamh aon dintiúir, luach comharthaí, nó sonraí tríú páirtí. Ní dhéanann sé aon rud buanseasmhacht, gan aon ghluaiseacht cliathánach, agus gan aon ghníomh millteach.
Tá trí éileamh sa téacs sin contrártha leis an gcód a seoladh. Deir an README “gan aon bhuanseasmhacht,” ach scríobhann an rabhchán Windows eochair ardaithe atá bunaithe ar an gclárlann. Deir sé “níorbh aon luach dintiúir ná comhartha riamh,” ach ritheann an cosán Windows orduithe a fuarthas go treallach mar CÓRAS, nach gcuireann aon teorainn den sórt sin ar a léitear nó a sheoltar ar ais. Ainmníonn sé pacáiste fiú — @ncurran/sandbox-recon-880538 — ní hé sin an ceann a sheoltar ann, rud a léiríonn gur teimpléad athúsáidte é an README seachas cur síos ar an déantán atá idir lámha. Ní thugann séanadh toilithe i bpacáiste nár aontaigh íospartach a shuiteáil riamh toiliú. Tá an aicmiú anseo mailíseach beag beann ar an bhfoclaíocht. Tá sprioc níos ciúine ag an séanadh freisin: céim uathoibrithe triage a léann téacs an phacáiste le haghaidh comharthaí dearfacha — “neamhurchóideach,” “údaraithe,” clár ainmnithe, ríomhphost teagmhála — is féidir a bhrú i dtreo breith shábháilte trí phrós a shéanann an t-ualach. Tá an ceacht seo bailí d’athbhreithneoirí daonna agus meaisíní araon: meáigh an t-iompar ag am suiteála, ní féinthuairisc an README.
amlíne
Tháinig na pacáistí uile chun cinn laistigh de thréimhse 24 uair an chloig. Tháinig na ceithre ainm aonleaganacha i láthair ar dtús, agus ina dhiaidh sin athfhoilsíodh dhá phacáiste gach 30–60 nóiméad.
Tá an feachtas le déanaí agus tá an bhaint anuas fós ag socrú: tráth na hanailíse, réitíodh roinnt leaganacha ag an gclárlann agus níor réitíodh cinn eile. Déan na 26 leagan go léir a mheas mar leaganacha atá i mbaol.
Táscairí Comhréiteach
Pacáistí
líonra
Iompraíochta
Leithdháileadh & iompar breathnaithe
Ní dhéanaimid cur síos ar an bhfoilsitheoir ach amháin trína chomharthaí agus ní dhearbhaímid céannacht aon duine atá taobh thiar den chuntas.
- Catalóg comharthaí. Foilsíodh na sé phacáiste go léir ag an gcuntas npm céanna, npmresearch8847, leis an ríomhphost luaite npmresearch8847@web-library.net (ríomhphost agus SCM fíorú araon as láthair; níl úinéireacht fíoraithe againn). Foilsítear na READMEanna faoi @ncurran raon feidhme agus teagmháil a thabhairt nicholas@curran.tech, agus rith.js pointí ag an stórlann github.com/ncurran/npm-sandbox-research`. Tá pacáiste comhionann ag na sé phacáiste. rith.js seoltóir, coitianta beacon_linux.js céim taiscéalaíochta, agus an t-óstach bailitheora aonair 173.255.233[.]239`. Tá an scéim ainmniúcháin comhsheasmhach: gas cineálach a bhfuil fuaim CI air (méadracht, teiliméadracht, rianaitheoir tógála, bosca gainimh-ping) móide iarmhír ghearr randamach.
- Muinín. Is cosúil gur feachtas amháin iad na sé phacáiste bunaithe ar neart an tseoltóra chomhroinnte, an chéim taiscéalaíochta, agus an óstach C2. Is cosúil go bhfuil an frámaíocht "taighde údaraithe" comhsheasmhach ar fud na sé README. Ní raibh muid in ann a dhearbhú gur údaraigh aon chlár fabht-bhuntais an ghníomhaíocht seo, agus ní hionann éilimh an séanadh agus an cód a seoladh.
- Cumas breathnaithe. An t-ualach oibrecisceithre rang cumais: forghníomhú cód install-crúca ar an dá cheann réamhshuiteáil agus iar-shuiteáil; taiscéalaíocht óstach agus timpeallacht CI le himeacht chuig bailitheoir seachtrach; scrúdú inrochtaineachta meiteashonraí samplaí scamall ón gcomhthéacs suiteála; agus, ar Windows, ardú pribhléide áitiúil, forghníomhú mar CÓRAS, agus lúb ordaithe faigh-agus-rith thar chainéal seachtrach. Is cumas rialaithe iargúlta é lúb ordaithe Windows: déanann sé suirbhé ar threoracha agus tugann sé a n-aschur ar ais.
Tionchar, Treochtaí & Cad ba Chóir do Chosantóirí a Dhéanamh
Tionchar
Is i gcás timpeallachtaí tógála uathoibrithe is airde an nochtadh. Ritheann suiteáil npm i CI an saolré. hooks le cibé céannacht atá ag an rithóir; ar rithóir scamall is minic a bhíonn críochphointe meiteashonraí inrochtana agus dintiúir róil san áireamh sa chéannacht sin. An seoladh a dhéanann na braiteoirí beacon Linux a sheiceáil, 169.254.170[.]2, is é críochphointe meiteashonraí tascanna AWS ECS: is féidir le tasc ar féidir leis teacht air dintiúir shealadacha a róil tascanna a aisghabháil ón tseirbhís nasc-áitiúil chéanna de ghnáth. Is é seiceáil inrochtaineachta ó script suiteála an chéim a thagann roimh na dintiúir sin a tharraingt, mar sin ba cheart aon ritheoir a rith an crúca agus a d'fhéadfadh teacht ar an gcríochphointe sin a áireamh mar a bheadh a ról tascanna nochta. Ar fhorbróir nó óstach tógála Windows iarrann an t-ualach ardú agus osclaíonn sé cainéal ordaithe, rud a leathnaíonn an nochtadh ó phróifíl-agus-imeacht aonair go rialú cianda idirghníomhach.
Ní raibh muid in ann comhaireamh iontaofa íoslódálacha a fháil do na leaganacha mailíseacha roimh an mbaint, mar sin ní dhéanaimid meastachán ar líon na n-íospartach. Choinnigh athfhoilsiú tapa dhá cheann de na pacáistí - aon leagan déag agus naoi leagan i gceann uaireanta an chloig - déantáin úra os comhair suiteálaithe agus réiteoirí agus leaganacha níos sine á mbaint.
Patrúin ag teacht chun cinn
Is sampla é an braisle seo de lipéad atá á úsáid mar chlúdach. Tá “taighde údaraithe,” “luach fabhtanna,” agus “tástáil bosca gainimh” ceangailte níos mó le pacáistí a bhfuil níos mó ná próifíliú óstach ina scripteanna suiteála acu. Baineann an frámaíocht le leisce athbhreithneora gníomhú i gcoinne rud a fhógraíonn é féin mar rud ceadaithe. Péireálann sé le tactic eile eolach: ainmneacha pacáistí atá deartha chun breathnú cosúil le huirlisí CI inmheánacha ionas go sleamhnaíonn siad thar fhéachaint thapa ar chrann spleáchais. Is é an teaglaim a fhágann go bhfuil an patrún fiúntach a fheiceáil - ainm a léann mar pluiméireacht bonneagair, fillte i bprós a léann mar thástáil ceadaithe, ag tabhairt aghaidh ar chrúca suiteála a mhéadaíonn ar chóras oibriúcháin amháin agus a scrúdaíonn dintiúir scamall ar an gceann eile. Ní athraíonn an séanadh ná an t-ainm leadránach an méid a dhéanann an cód ar shuiteáil, agus sroichfidh próiseas triage a mheáíonn ceachtar acu mar fhianaise mhaolaitheach an breithiúnas mícheart.
Cad ba chóir do chosantóirí a dhéanamh
- Cuardaigh comhaid ghlasála agus suiteála logaí do na sé ainm pacáiste; déan aon mheaitseáil a láimhseáil mar eachtra, ní mar rabhadh.
- Blocáil agus foláireamh a thabhairt faoi thrácht amach chuig 173.255.233[.]239 agus chun *.trycloudflare[.]com óstaigh ó bhonneagar tógála.
- Cuardaigh iarratais HTTP ag am suiteála chuig seoltaí meiteashonraí samplaí (169.254.170.2, 169.254.169.254) a thagann ó bhainisteoirí pacáiste i CI.
- Rothlaigh aon dintiúir agus comharthaí róil scamall a bhí inrochtana ó ritheoir a shuiteáil leagan lena mbaineann.
- Iniúchta réamhshuiteáil/iar-shuiteáil scripteanna i do tacar spleáchaisis fiú crúca saolré a ritheann dara comhad scripte a léamh.
- Ar chríochphointí Windows, déan cuardach ar phointí nua ToscaireForghníomhaigh luachanna scríofa faoin ms-socruithe eochair láimhseálaí-bhlaosc — an bunús airde a úsáideann an t-ualach seo agus comhartha iontaofa neamhspleách ar ainm an phacáiste.
- Priontáil agus athbhreithnigh comhaid ghlasála, agus díchumasaigh scripteanna suiteála (suiteáil npm –neamhaird-scripteanna) i CI nach bhfuil gá leo i do thógáil.
- Déan séanadh “taighde údaraithe” nó séanadh “neamhurchóideach” laistigh de script suiteála a láimhseáil mar théacs neamhiontaofa, ní mar chúis chun an script a cheadú.
Pacáiste a fhógraíonn dea-intinn i bprós agus i n-iarratais CÓRAS sa chód ba chóir breithiúnas a thabhairt ar an gcód.
