TL; DR
Foilsitheoir npm aonair, deadcode09284814, tá feachtas clóscríobh á reáchtáil aige i gcoinne an dlí axios agus chalk-template pacáistí ó lár mhí na Bealtaine 2026.
Thosaigh an feachtas mar ghoid dintiúir agus sparán traidisiúnta, ag scadáil sonraí chuig Tollán HTTPS Serveo.
On 2026-05-17, Le axois-utils:1.0.9, mhalartaigh an t-oibreoir an t-ualach go hiomlán: an scafall trí-chrúca suiteála céanna, an foilsitheoir céanna, an t-ainm pacáiste céanna.
Ach is earcach botnet DDoS tras-ardáin é an script suiteála anois.
Labhraíonn an t-ualach le localhost.run tollán agus glacann sé le horduithe tuile, ag iompú timpeallachtaí ionfhabhtaithe ina gcuid de botnet atá in ann DDoS a úsáid.
Sheol an t-oibreoir fiú an Dénártha freastalaí C2 taobh istigh den tarball, rud a léiríonn méadú soiléir ó ghoid dintiúir go bonneagar botnet gníomhach.
Dhá phacáiste, ceithre leagan fós gníomhach ar an gclárlann, agus oibreoir amháin ag rith an dá mhodúl go comhthreomhar anois.
Déine: ard.
An Ionsaí: Conas a Oibríonn Sé
Tá an feachtas bunaithe ar scafall seachadta leadránach d'aon ghnó: dhá ainm pacáiste typosquat, litir amháin as pacáistí le na céadta milliún íoslódálacha seachtainiúla (aiseanna, teimpléad cailce), agus suiteáil trí huaire hooks a ráthaíonn forghníomhú. Is é an rud atá suimiúil ná cad é an scafall iompraíonn — agus an fhíric gur athraigh an t-oibreoir an lasta gan aon rud eile a athrú.
An scafall comhroinnte
Dearbhaíonn gach leagan foilsithe den dá phacáiste na trí shaolré chéanna hooks in pacáiste.json:
Ag liostáil an ualach faoi na trí cinn hooks tá sé ró-mhór — iar-shuiteáil rithfeadh ina aonar i réamhshocrú npm a shuiteáilTá an rogha tábhachtach: suiteáil npm –neamhaird-scripteanna scipeálann scripteanna, ach roinnt sreafaí oibre coitianta (athchóirithe taisce CI a athraíonn an timthriall saoil hooks go roghnach, nó forbróirí a dhéanann iniúchadh amháin iar-shuiteáil) dearbhú trí-iomarcach a dhéanamh an geall is sábháilte don ionsaitheoir.
teimpléad cailce cuireann sé an dara meicníocht leis: dearbhaíonn sé axois-utils:^1.0.7 mar am rith spleáchasAg suiteáil an typosquatted teimpléad cailce dá bhrí sin tarraingíonn sé an typosquat sibling isteach chomh maith, agus ritheann an dá ualach. Is péire comhordaithe iad an dá phacáiste, ní liostálacha neamhspleácha iad.
Céim A — goid dintiúir / sparán (2026-05-15 → inniu)
Is í Céim A an t-ualach bunaidh. Is gearr an luchtóir. postinstall.js a dhíríonn ar thollán droim ar ais HTTPS Serveo:
Déanann fo-fhearann Serveo an IP ceann scríbe a ionchódú (80.200.28.28) go díreach san ainm óstach — coinbhinsiún aitheanta don tseirbhís sin. Rothlaíonn an t-oibreoir an réimír fo-fhearainn randamach idir leaganacha chun liostaí blocála fearainn neamh-inúsáidte a sheachaint, ach ní bhogann an IP bunúsach choíche.teimpléad-cailc: 1.0.14 úsáidtear 8a3e818ea8f11186-80-200-28-28…úsáid ; 1.0.16 / 1.0.19 / 1.0.20 f04a273bd84c0622-….)
postinstall.js lámha amach do phantom.js, modúl “bailitheora” pacáilte 7,667 líne. phantom.js siúlann an t-óstach le haghaidh:
Eochracha príobháideacha SSH (~/.ssh/*) |
.npmrc ábhar agus aon rud npm_* comharthaí timpeallachta |
| Comhaid dintiúir AWS, GCP, agus Azure |
Comhartha rochtana pearsanta GitHub regex (ghp_*, gho_*, ghu_*, ghs_*) |
| Déantúsáin cripte-sparán le haghaidh Bitcoin, Exodus, Electrum, Monero, Litecoin, Dogecoin, Zcash, Dash |
Athchúrsach .env* siúl tríd ~/projects, ~/dev, ~/code, ~/workspace, agus an cwd suiteála |
Stair Shell agus an iomlán process.env |
Seoltar an beart chuig tollán Serveo ag / bhailiúNíl aon cheilt ann, níl aon loighic frith-VM ann, níl aon stáitseáil ann — is ar an toirt agus ar an luas atá geall an oibreora.
Céim B — Earcaíocht PhantomBot DDoS (2026-05-17, axois-utils:1.0.9 amháin)
I gCéim B, cuirtear comhad amháin darb ainm distrube.js in ionad phantom.js + postinstall.js (is é clóscríobh an oibreora an botún). Níl aon athrú ar an scafall trí-hook i package.json; coinníonn an pacáiste an t-ainm, an raon feidhme agus an patrún leagan-bump céanna. Ón taobh amuigh, is cosúil gur leantóir beag é axois-utils:1.0.9 ar 1.0.6. Taobh istigh, is teaghlach malware difriúil é.
distrube.js osclaítear le bloc cumraíochta a ainmníonn brandáil an oibreora féin:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
Tá na tuairimí dírithe ar oibreoir amach anseo a bheidh ag rith an trealamh (“Úsáid do URL HTTPS localhost.run”). Sin, chomh maith leis an méid a sheoltar in aice leis an gcliant bot, a thugann le fios nach ualach íospartaigh amháin atá ann - is é an trealamh atá ann.
An sreabhadh:
- Marthanacht ritheann ar dtús. Suiteálann an script é féin ar thrí bhealach éagsúla in aghaidh an chórais oibriúcháin (an clárlann Rith + Fillteán tosaithe + schtasks ar Windows; crontab + seirbhís bot-phantom aonad córas + .bashrc/.zshrc cuir leis + /etc/rc.local ar Linux; LaunchAgent com.phantom.bot.plist ar macOS). Is iad ainm na seirbhíse buanseasmhachta agus lipéad LaunchAgent araon bot taibhse / com.phantom.bot, agus is as sin freisin a thagann ainm an fheachtais.
- Eolas córais exfil ritheann uair amháin — POST méarloirg aon-uaire chuig b94b6bcfa27554.lhr.life:443/collect ina bhfuil ainm óstach, ardán, áirse, ainm úsáideora, LAP/RAM, comhéadain líonra, process.env, cwd, homedir, leagan nóid, agus IP poiblí. Tá sé seo i bhfad níos lú ionsaithí ná Céim A: gan SSH, gan sparán, gan athchúrsáil .env. Is é jab an róbait clárú, ní goid.
- Lúb buille croí osclaíonn sé HTTPS POST gach 30 soicind chuig b94b6bcfa27554.lhr.life:443/. Is é PhantomBot/1.0 an Gníomhaire Úsáideora. Tá fíorú TLS díchumasaithe go sainráite (rejectUnauthorized: bréagach). Déantar an freagra C2 a pharsáil mar JSON den fhoirm {cineál, sprioc, port, fad, snáitheanna, modh} agus a sheoladh.
- Arsenal tuile atá sreangaithe chuig sé ordú:
| Cineál ordaithe | Modúil | nótaí |
|---|---|---|
| ping | Freagra beochta | Aithníonn an bot é féin |
| http | HTTP tuilte | Tuile iarratais Sraith-7 |
| https | Tuile HTTPS | Mar an gcéanna le http, fillte le TLS |
| tcp | Tuile TCP | Spam ualach randamach 65 KB |
| udp | tuile UDP | Paicéid UDP 65,507-bheart |
| tapa | DoS athshocraithe tapa HTTP/2 | An teicníc CVE-2023-44487 2023 |
Glacann na cúig mhodúl tuile go léir sprioc, calafort, ré, agus snáitheanna argóint — is bot cineálach ar fruiliú é an bot, nach bhfuil dírithe ar aon íospartach ar leith. Tá liosta íospartach an oibreora ar an C2, ní sa phacáiste.
Cad atá Nua Anseo — an dénártha C2 a seoladh
Is cruth eolach é Céim A: goid dintiúir, crúca suiteála, tollán díoltóra C2. Is é Céim B chomh cruth eolach — is daingneán de phacáistí npm mailíseacha le blianta anuas botnets DDoS. Is é an rud neamhghnách ná gur sheol an t-oibreoir an taobh an fhreastalaí den trealamh taobh istigh den tarball npm:
- c2 — dénártha Go ELF tiomsaithe 4-meigibheart
- c2.go — an fhoinse Go 426-líne don chomhad dénártha sin
Ní ghlaonn aon crúca suiteála ceachtar comhad. Níl siad mar chuid den ualach íospartaigh. Tá siad suite san eolaire pacáiste ar an mbealach céanna a dhéanfadh comhad doiciméadaithe. Is é an léamh is inchreidte ná gur bhrúigh an t-oibreoir a gcrann oibre forbartha go npm gan an liosta comhad a choimeád - fíor-shleamhnán OpSec - agus an rud a seoladh ná an trealamh iomlán dhá thaobh: an cliant a ritheann an t-íospartach, agus an freastalaí a ritheann an t-oibreoir.
Seo an chuid den scéal a thugann údar leis an frámaíocht “trealamh botnet réidh le húsáid”. Aon duine a d’íoslódáil axois-utils:1.0.9 roimh an mbaint anuas ní hamháin go bhfuil sampla íospartaigh ann — tá freastalaí C2 ag obair acu.
An phíobóid, in aon abairt amháin
Foilsitheoir céanna, ainmneacha na bpacáistí céanna, an scafall trí-chrúca céanna, an brandáil “taibhse” chéanna - ach D'athraigh an t-ualach saothair samhail monetization thar oíche: ó “rúin fómhair is féidir liom a athdhíol” go “acmhainn tuile ar cíos is féidir liom a léasú”. Tá na TTPanna ama suiteála ar cheart do chosantóirí a bheith ag faire orthu beagnach mar an gcéanna ar fud an dá chéim; cosaintí bunaithe ar shínithe atá eochrach do shreangáin chonair sparán Céim A nó do phantom.jsBheadh Céim B caillte go hiomlán ag bailitheoir 7,667 líne.
| Dáta (UTC) | Imeacht |
|---|---|
| 2026-05-15 | Céad fhoilsiú: axois-utils:1.0.4 (Tógáil tástála LAN, rig forbartha ag 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 foilsithe — Céim A C2 malartaithe go 80.200.28.28 trí thollán Serveo; an trácht foinse // Change to '80.200.28.28' for public dearbhaíonn sé an malartú dev→prod |
| 2026-05-16 | chalk-tempalte:1.0.14 agus 1.0.16 foilsithe — luchtóir slabhraithe ag dearbhú axois-utils:^1.0.7 mar spleáchas rith-ama; rothlaíodh fo-fhearann Serveo |
| 2026-05-16 | Feachtas Céim A aimsithe le linn scanadh rialta npm; cuireadh breithiúnais mailíseacha deimhnithe i bhfeidhm |
| 2026-05-17 | axois-utils:1.0.9 foilsithe — pivot ualaigh: earcaíocht DDoS PhantomBot trí thollán localhost.run; taobh an oibreora c2 dénártha agus c2.go foinse seolta sa tarball |
| 2026-05-17 | chalk-tempalte:1.0.19 agus 1.0.20 foilsithe — Céim A fós (an modúl goidte); tá an t-oibreoir ag rith an dá mhodúl go comhthreomhar anois |
| 2026-05-17 | Aimsiú Céim B le linn scanadh gnáthaimh; breithiúnais curtha i bhfeidhm ar fud na n-ábhar go léir 2026-05-17 leaganacha |
| (ar siúl) | Tuairiscí bainte síos ar feitheamh; tá na ceithre phacáiste foilsithe fós ar fáil ar an gclárlann tráth scríofa na tuarascála seo |
Táscairí Comhréiteach
Pacáistí
| Éiceachóras | Pacáiste | leaganacha |
|---|---|---|
| npm | axois-utils (typosquat de axios) | 1.0.4, 1.0.6, 1.0.9 |
| npm | chalk-tempalte (typosquat de theimpléad cailce) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
Céannacht an údair
| Réimse | luach |
|---|---|
| foilsitheoir npm | deadcode09284814 |
| Ríomhphost an fhoilsitheora | phantomdeadcode@tutamail.com |
| SCM fíorú | none |
Ordú-agus-rialú
| Céim | Deireadhphointe | iompar |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | Tollán HTTPS Serveo |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | Tollán HTTPS Serveo (leagan níos luaithe) |
| A | 80.200.28.28:443/collect | Críochphointe VPS bunúsach |
| B | b94b6bcfa27554.lhr.life:443/ | tollán droim ar ais HTTPS localhost.run |
Díolaim comhaid (SHA-256)
| Comhad | SHA-256 | nótaí |
|---|---|---|
c2 (Téigh ELF, 4 MB) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | Freastalaí C2 taobh an oibreora, a sheoltar istigh axois-utils:1.0.9 |
c2.go (426 líne) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | Téigh foinse don dénártha C2 |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | Cliant bot Céim B |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | Bailitheoir dintiúir/sparán Céim A |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | Bailitheoir Céim A (leagan 1.0.20) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | Luchtóir Céim A, comhionann le beart ar fud an dá leagan |
Leithdháileadh & Spreagadh
Déanaimid rianú ar an bhfeachtas seo mar PhantomBot, ag glacadh brandáil an oibreora féin ón Gníomhaire Úsáideora: PhantomBot/1.0 ceanntásc croí, an seirbhís bot-phantom aonad systemd, an com.phantom.bot lipéad LaunchAgent, agus an códmharbhphantom@ láimhseáil ríomhphoist. Tá an t-oibreoir comhsheasmhach faoin ainm seo trasna ceithre artifacht ar a laghad.
Catalóg comharthaí
- Foilsitheoir - cód marbh09284814 ar npm. Cuntas aonláimhseála, ríomhphost indiúscartha Tutamail, níl SCM fíorú. Gan aon stair fhoilsithe roimhe seo thar an bhfeachtas seo.
- Athúsáid brandála — feictear “phantom” i ríomhphost an fhoilsitheora, in ainm comhaid bhailitheora Céim A (phantom.js), in ainm na seirbhíse buanseasmhachta Céim B (seirbhís bot-phantom), sa lipéad LaunchAgent (com.phantom.bot), agus sa bot Gníomhaire Úsáideora (PhantomBot/1.0).
- Bonneagar — VPS aonair ag 80.200.28.28 tosaigh Céim A trí rothlú fo-fhearainn Serveo; bogann Céim B go dtí a rith áitiúilóstach tollán droim ar ais (b94b6bcfa27554.lhr.lifeTá an dá sheirbhís díoltóra saor in aisce agus ní theastaíonn ach SSH amach uathu ar thaobh an oibreora, rud atá comhsheasmhach le socruithe ísealbhuiséid agus íseal-OpSec.
- Stíl cód — JavaScript simplí ar fud; gan aon cheilt, gan aon ionchódú teaghrán, gan aon seiceálacha frith-VM. Tá ainmneacha athróg tuairisciúil (goidEolasCórais, forghníomhaighCommand, httpTuilte). Tráchtanna i distrube.js aghaidh a thabhairt go díreach ar oibreoir amach anseo (“Úsáid do URL HTTPS localhost.run”), rud a thugann le fios gur beartaíodh an comhad a athdháileadh mar threalamh, ní le húsáid ag ionsaitheoir aonair.
- Sleamhnán OpSec — Seolann an tarball Céim B an cliant bot agus an freastalaí C2 taobh an oibreora araon (c2 ELF + c2.go foinse). Tá sé seo comhsheasmhach le hoibreoir a bhrúigh a gcrann oibre chuig npm gan an liosta comhad a iniúchadh. B'fhéidir nach bhfuil taithí ag an oibreoir, nó go bhfuil an trealamh i gceist le dáileadh go poiblí agus is cuid den táirge an dénártha C2.
- Féindheimhniú - axois-utils:1.0.4 ina bhfuil an trácht foinse // Athraigh go '80.200.28.28' don phobal ar líne 12, ag deimhniú an dul chun cinn forbartha / stáitseála / táirgthe a shéanann oibreoirí de ghnáth.
Spreagadh
Is goid airgeadais shimplí í ualach Céim A: tá margaí athdhíola leachtacha ag dintiúir, eochracha scamall, comharthaí GitHub, agus sparán cripte. Tá Céim B airgeadais freisin, ach indíreach: cíosaíonn seirbhísí DDoS-ar-chíos (“booter”) acmhainn tuile de réir an nóiméid, agus is iad róbónna cosúil leis an gceann a sheoltar anseo an fardal a ritheann na seirbhísí sin air. An buille croí 30 soicind, an cineálach sprioc/calafort/ré scéim ordaithe, agus an arsenal tuilte cúig phrótacail is ea an standard táirge oibreora tosaitheora.
An dá mhodúl a rith go comhthreomhar — teimpléad-cailc: 1.0.19 agus 1.0.20 lean ort ag seoladh an ghoidéara fad is atá axois-utils:1.0.9 seolann an bot — tugann sé le fios go bhfuil an t-oibreoir ag cosaint sruthanna ioncaim seachas Céim A a thréigean. Is é an t-athrú lárnach Chomh maith leis, ní hionadach é.
Cad nach bhfuilimid ag éileamh
Ní raibh muid in ann céannacht fíorshaoil a dhearbhú taobh thiar de cód marbh09284814 láimhseáil, agus ní chuirimid an feachtas seo i leith aon ghníomhaí bagartha, grúpa ná tíre ainmnithe. Tá an brandáil "taibhse" comhsheasmhach go leor trasna na n-artificial chun oibreoir aonair a mholadh, ach fágann an loingseoireacht stíl trealaimh den dénártha C2 an fhéidearthacht go n-athúsáidfidh pacáistí amach anseo ó láimhseálacha neamhghaolmhara an cód céanna.
Tionchar, Treochtaí & Cad ba Chóir do Chosantóirí a Dhéanamh
Tionchar
Na spriocanna squat dlisteanacha aiseanna agus teimpléad cailce a bhfuiltear ag brath go forleathan orthu san éiceachóras JavaScript; aiseanna ina aonar tá sé i measc na tríocha pacáiste npm is mó a íoslódáiltear. Tá na hainmneacha typosquat ar shiúl ó na cinn fíor (axois ↔ aiseanna, teimpléad ↔ teimpléad), agus is mílitrithe inchreidte ó thaobh na teangeolaíochta de an dá cheann.
Ní raibh muid in ann staitisticí iontaofa íoslódála a fháil do na leaganacha mailíseacha roimh an mbaint anuas — ní choinníonn npm comhaireamh íoslódála in aghaidh an leagain tar éis pacáiste a dhífhoilsiú, agus npms.ioBíonn seachfhreastalaithe stíl-ghlórach ag an scála seo. Aon eagraíocht a réitíonn a comhad glasála chuig pacáiste darb ainm axois-utils or teimpléad cailce ón bhfoilsitheoir cód marbh09284814 ba chóir a áireamh mar rud atá i mbaol: rothlaigh gach dintiúir atá i láthair i próiseas.timpeallacht ar an óstach lena mbaineann, déan veicteoirí buanseasmhachta iniúchta in aghaidh an chórais oibriúcháin (féach “Cad ba cheart do chosantóirí a dhéanamh” thíos), agus bain an spleáchas.
Patrúin ag teacht chun cinn
Léiríonn an feachtas seo athrú atá feicthe againn i roinnt eachtraí npm le déanaí: Is é an scafall suiteála-crúca an tsócmhainn mharthanachis féidir an t-ualach a mhalartúAn foilsitheoir céanna, an pacáiste céanna, an rud céanna réamhshuiteáil / shuiteáil / iar-shuiteáil trí huaire, agus fiú an cadans céanna le cnapán leagan — an t-aon rud a d'athraigh idir axois-utils:1.0.6 agus axois-utils:1.0.9 an raibh an comhad hooks rith. Brath bunaithe ar shíniú atá eochrach don ualach Céim A (teaghráin chonair sparán, phantom.jsBheadh bailitheoir 7,667 líne an tsean-óstach Serveo C2) tar éis na chéad trí leagan a mharcáil agus Céim B a chailleadh go hiomlán.
Tá an patrún céanna le feiceáil i bhfeachtais eile in 2026 a ndearnamar rianú orthu: oibreoir aonair le córas cobhsaí, ag malartú idir goid dintiúir, cliaint a dhéanann calaois ar scrúduithe, Telegram-bot exfil, agus anois earcaíocht DDoS. Leanfaidh cosantóirí a bhraitheann ar shínithe ualaigh de bheith ag cailleadh an dara babhta de gach feachtas.
Is é an comhthoradh ná go Is iad na TTPanna ag am suiteála an comhartha is fearrDearbhuithe trí-dhúnadh suiteála, scripteanna suiteála a allmhairíonn https or páiste_próiseas, scripteanna a shuiteáil a scríobhann chuig fillteáin tosaithe úsáideora, agus scripteanna a shuiteáil a réitíonn ainmneacha óstach ar sheirbhísí tollán droim ar ais saor in aisce (Serveo, rith áitiúilóstach, ngrok, cloudflared) is annamh a bhíonn siad i bpacáistí dlisteanacha agus coitianta i measc cinn mailíseacha.
Cad ba chóir do chosantóirí a dhéanamh
- Iniúchadh comhad glasála. Cuardaigh gach pacáiste-glas.json / glas.snáth / pnpm-lock.yaml i d'eagraíocht le haghaidh na teaghrán beachta axois-utils agus teimpléad cailceDéan aon chluiche a chóireáil mar chomhréiteach.
- Rothlaigh rúin ar óstaigh atá buailte. Céim A, dintiúir SSH, scamall, GitHub, npm, agus sparán bailithe go mórchóir. Glac leis go bhfuil gach dintiúir i láthair riamh i próiseas.timpeallacht, ~ / .ssh, ~/.aws, ~/.npmrc, ~ / .config, nó ar bith .crios* tá comhad ar an óstach lena mbaineann nochta.
- Bain an bhuanseasmhacht (Céim B). Ar Windows, scrios HKCU\Software\Microsoft\Windows\ReathaLeagan\Rith\NuashonrúCórais, bain %APPDATA%\Microsoft\Windows\Roghchlár Tosaigh\Cláir\Tosaithe\córas-nuashonrú.bat, agus schtasks /scrios /tn CórasNuashonrú /fAr Linux, -e crontab agus bain @nóid atosaithe …, systemctl –díchumasaigh an t-úsáideoir –now phantom-bot.service ansin scriosadh ~/.config/systemd/user/phantom-bot.service, scrobarnach .bashrc / .zshrc / /etc/rc.localAr macOS, díluchtaigh launchctl ~/Library/LaunchAgents/com.phantom.bot.plist ansin scrios an plist.
- Blocáil na hóstach C2. Cuir na ceithre chríochphointe C2 sa tábla IOC le do liosta blocála imeachta. *.serveousercontent.com agus *.lhr.life is féidir é a bhac go mór mura bhfuil aon úsáid dhlisteanach ag do thimpeallacht le haghaidh seirbhísí tolláin droim ar ais.
- Fiach de réir TTP ama suiteála, ní ualach. Iontrálacha glaschomhaid fardail a bhfuil a pacáiste.json Dearbhaíonn réamhshuiteáil, shuiteáil, agus iar-shuiteáil ag pointeáil ar fad ar an script céanna. Déan cros-seiceáil i gcoinne aois an phacáiste agus stádas fíoraithe an fhoilsitheora. Is annamh a bhíonn an patrún seo i bpacáistí dlisteanacha agus is é an comhartha is iontaofa a athúsáideann PhantomBot.
- Iniúchadh don dénártha C2. Duine ar bith a d’íoslódáil axois-utils:1.0.9 tá freastalaí C2 an oibreora aige (c2 ELF, sha256 165fa92d…) ar dhiosca. Scanadh taiscí agus stórais déantán CI. Tá an comhad dénártha díomhaoin leis féin, ach is fianaise neamh-dhébhríoch é a láithreacht ar stáisiún oibre gur suiteáladh an pacáiste.
Líne deiridh
Is féidir leis an oibreoir céanna, an pacáiste céanna, agus an crúca suiteála céanna bagairtí go hiomlán difriúla a sheachadadh laistigh de 48 uair an chloig. Tabhair aird ar an scafall, ní ar an ualach.
