TL; DR
Sheol foilsitheoir npm aonair ocht bpacáiste beag a raibh a n-ainmneacha cosúil le bloic thógála laethúla le haghaidh forbairt blockchain agus sparán, base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpers, agus crypto-validate-libTá fóntais oibre i ngach ceann acu. I ndiaidh na fóntais sin, áfach, tá bloc cóid féinghlaoite a ritheann an nóiméad a iompórtáiltear an modúl.
Thart ar 37 soicind tar éis allmhairithe, díchódaíonn an bloc sin ualach a sheoltar taobh istigh den phacáiste faoi cheilt mar dhaingneán tástála, scríobhann sé chuig comhad i bhfolach faoi eolaire baile an úsáideora é, cláraíonn sé é féin le atosú ar gach login trasna Windows, macOS, agus Linux, agus seolann sé an script díchódaithe mar phróiseas scoite. Ní thosaíonn aon rud faoi seo le linn suiteáil npm; fanann sé go n-allmhaireofar agus go rithfear an cód, rud atá níos ciúine ná an suiteáil.
Níl an t-ualach teimhneach. Seoltar é mar base64 simplí, mar sin aisghabhann díchódú an "daingneáin tástála" an dara céim ina hiomláine: a sparán cripte agus goid rúnda a fhanann go dtí go mbeidh an meaisín díomhaoin, a bhailíonn eochracha príobháideacha agus frásaí síl, a chriptíonn gach fionnachtain le heochair chrua-chódáilte RSA-4096, agus a eastóscaíonn í trína priontáil chuig stóras poiblí IPFS, ag seoladh rabhcháin ar ais gach 12 uair an chloig.
Déanaimid rianú ar an gcnuasach mar PhantomSyncBhí na hocht bpacáiste beo i gclárlann npm tráth na hanailíse, foilsithe faoi chuntas aonair.
| Éiceachóras | npm |
| Pacáistí | base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpers, crypto-validate-lib |
| Ardáin spriocdhírithe | Windows, macOS, Linux |
| Iompar lárnach | Braiteoir ama allmhairithe moillithe i bhfolach mar dhaingneán tástála; suiteáil buanseasmhacht tras-ardáin |
| Íocaíocht | Goid sparán cripte agus rúin, criptiú RSA-4096, eis-scagadh trí phionáil IPFS poiblí |
Anatamaíocht ionsaithe
Breathnaíonn gach pacáiste gan aon rud suntasach ar an gcéad léamh. base58-utils, mar shampla, is cúpla cileabheart de chód cúnta Base58 / Bitcoin-WIF neamhspleách é — díreach mar a gheallann an t-ainm. Tá an cód ábhartha suite tar éis an mhodúil modúl.onnmhairí, áit nach dócha go bhféachfaidh léitheoir atá ag léamh barr an chomhaid air: feidhm féinghlaoite a sceidealaíonn í féin le lasc ama.
Ritheann an slabhra oibríochtaí, atá atógtha ón bhfoinse phacáiste, mar seo a leanas:
1. Package is required() by the host project
2. A self-invoking function schedules a callback ~37,000 ms later (setTimeout)
3. On fire, the callback reads test/fixtures/keypairs.dat (a base64 blob)
4. It base64-decodes that blob into a Node.js script
5. It writes the script to ~/.cache-db/.node-sync/syncd.js (mode 0o700)
6. It installs login-persistence for that script (see below)
7. It spawns "node syncd.js" as a detached processSeasann dhá rogha dearaidh amach.
Taistealaíonn an t-ualach mar dhaingneán tástála. Níl an dara céim scríofa mar chód follasach. Tá sí ina cónaí i tástáil/daingneáin/péirí eochracha.dat, comhad base64 a bhfuil a ainm measctha le pacáiste a mhaíonn go láimhseálann sé péirí eochracha. Do dhuine a dhéanann athbhreithniú ar an tarball, is cosúil le sonraí samplacha é; don chód atá curtha leis, is script é le díchódú agus le rith. Níl aon seoladh líonra sa dropper féin - tá siad siúd sa dara céim - ach níl aon doiléiriú breise ann: is sraith aonair de base64 an daingneán, mar sin díchódaíonn sé é (bonn64 -d) aisghabhann an t-iomlán syncd.js agus a iompar líonra. Sa chéad chuid eile, pléitear cad a dhéanann an chéim aisghabhála sin.
Tá moill ar an pléascadh agus tá sé ceangailte le hallmhairiú, ní le suiteáil. Mar gheall ar an spreagadh éilíonn() móide lasc ama ~37 soicind seachas crúca suiteála, seachnaíonn an t-iompar seiceálacha nach bhféachann ach ar an npm a shuiteáil céim, agus maireann an mhoill níos faide ná go leor ritheanna bosca gainimh agus CI gearrthéarmacha. Faoin am a ritheann aon rud, bíonn an suiteáil a tharraing an pacáiste isteach críochnaithe le fada.
Nuair a bheidh an script díchódaithe ar dhiosca ag ~/.cache-db/.node-sync/syncd.js — cosán a roghnaíodh le léamh cosúil le heolaire taisce gnáth — cuireann an dropper ar a chumas maireachtáil le hatosaithe ar na trí phríomhardán:
- Linux: iontráil cron a athsheolann an script. Suiteáiltear an iontráil tríd an crontab atá ann cheana a scagadh tríd grep -v sioncrónaithe, a bhfuil an fo-iarmhairt aige go bhfágtar an iontráil nua ar lár as liostú simplí a dhéanann grep don ainm céanna.
- Windows: tasc sceidealaithe darb ainm WinNodeSync, socraithe le hathreorú ar eatramh 12 nóiméad.
- macOS: post lainseála lipéadaithe com.apple.syncd, atá i láthair i roinnt de na pacáistí — lipéad a dhéanann aithris ar sheirbhís chórais dhlisteanach Apple.
Ansin, cuirtear tús leis an script láithreach mar phróiseas scoite, ionas go leanann sé ar aghaidh ag rith tar éis don chlár allmhairithe críochnú.
Cad a dhéanann an dara céim
Ós rud é gur ciseal base64 aonair atá sa daingneán, díchódálann an dara céim go glan agus is féidir í a léamh ina hiomláine. Tá ceann amháin de thrí leagan den script chéanna ag gabháil leis na hocht bpacáiste go léir, a shainaithníonn é féin i dtrácht ceanntásca mar phantom syncd v3 — topo durmiente (“an caochán codlata”). Is é an jab atá aige ábhar sparán cripte-airgeadra agus rúin forbróirí a ghoid agus iad a sheoladh ón meaisín. Ritheann sé sna céimeanna seo a leanas:
- 1. Fan go dtí go mbeidh an meaisín díomhaoin. Sula ndéanann tú rud ar bith, syncd.js seiceálann sé cé chomh fada is atá an t-úsáideoir neamhghníomhach agus ní théann sé thar thairseach amháin (thart ar 15 nóiméad) — xprintidle ar Linux, iorag HIDIdleTime ar macOS, agus fiosrúchán PowerShell maidir le ham díomhaoin ar Windows. Dá bhrí sin, is gnách go dtarlaíonn fómhar nuair nach mbíonn aon duine ag an méarchlár.
- 2. Faigh lasc gníomhachtaithe atá rialaithe go ciandaTarraingíonn an script cumraíocht bheag ó dead-tit sula ngníomhaíonn sé. Is é URL amh gist GitHub an phríomhfhoinse (gist.githubusercontent.com/juang55/…/cfg.txt); ní ghníomhaíonn an script ach amháin má léann an chumraíocht sin gníomhach=1Mura bhfuil an gist ar fáil, titeann sé ar ais chuig trí aitheantóir ábhair IPFS cruachódaithe, a fhaightear trí na geataí poiblí. geata.pinata.cloud, ipfs.io, agus cloudflare-ipfs.comTugann sé seo rialú armála/dí-armála iar-ghníomha don oibreoir agus rogha chúltaca atá frithsheasmhach in aghaidh bainte anuas. (An leagan is lú, a sheoltar i criptithe-bhailíochtú-leabhar, cúntóirí-sparán-eite, agus úsáidí eochair-solana, baintear an ciseal gist de agus braitheann sé ar na haitheantóirí IPFS amháin.)
- 3. Ábhar agus rúin sparán a bhailiú. Siúlann an script eolaire baile an úsáideora — ~/.config/solana, ~/.ethereum/eochairstóras, ~/.foirgneáil, ~/.hata crua, ~ / .ssh, agus deasc/Doiciméid/Íoslódálacha (lena n-áirítear ainmneacha fillteán sa Spáinnis), móide ~/.clúdach agus comhaid shell rc, agus a gcoibhéis AppData suíomhanna ar Windows. Díríonn sé ar eochracha príobháideacha Ethereum, eochracha WIF Bitcoin, frásaí síl BIP-39, péirí eochracha Solana, JSON stórais eochrach Ethereum, eochracha SSH, agus athróga timpeallachta a iompraíonn rúnda. An leagan níos mó (i abi-ionchódú, base58-utils, eth-dev) tá an foclóir BIP-39 iomlán 2048 focal ann agus úsáideann sé nathanna rialta chun sliocht eochracha aonair agus frásaí síl bailíochtaithe ó aon téacs a léann sé; ina ionad sin, déanann an dá chineál níos lú comhaid a mheaitseáil de réir eochairfhocail (síol, cuimhneach, sparán, metamask, phantom, mórleabhar, trezor, …) agus comhaid iomlána a uaslódáil.
- 4. Criptigh agus eis-scagtha trí sheirbhís phionála phoiblí. Tá méarloirg óstach i ngach fionnachtain (ainm úsáideora@ainmóstach, ardán, stampa ama) agus criptithe le heochair phoiblí RSA-4096 chrua-chódáilte atá leabaithe sa script. Uaslódáiltear an taifead criptithe ansin trína phionáil le IPFS trí api.pinata.cloud/pinning/pinJSONToIPFS, fíordheimhnithe le dintiúir chrua-chódáilte API Pinata. Níl aon fhreastalaí C2 saincheaptha le urghabháil: tá na sonraí goidte páirceáilte i stóras poiblí díláraithe, agus is féidir leis an oibreoir iad a aisghabháil ag baint úsáide as na haiseanna ábhair a eascraíonn as. Tá uaslódálacha spásáilte le cúpla soicind de chreathadh randamach, agus log áitiúil de stampa ama | cineál eochrach | hais ar ais coinnítear ag ~/.cache-db/.node-sync/.sl.
- 5. Lean ar aghaidh agus soilsigh ar thimthriall 12 uair an chloig. Athbhunaíonn an dara céim a bhuanseasmhacht féin — iontráil cron ar Linux, a com.apple.syncd post launchd ar macOS, agus tasc sceidealaithe darb ainm WindowsNodeSync ar Windows — socraithe le hathrith gach 12 uair an chloig. Tabhair faoi deara gur éagsúla Ainm tasc Windows ón gceann a shuiteálann an dropper (WinNodeSync); is fiú cuardach a dhéanamh ar an dá cheann.
amlíne
Foilsíodh na hocht bpacáiste i ndlúth-threo ar an 13ú lá d'August 2026 agus an 14ú lá d'August 2026. Tá níos mó ná leagan amháin ag roinnt acu; tá an braiteoir comhionann sna leaganacha éagsúla, agus ní athraíonn ach na fritháireamh líne de réir mar a athraíonn méid an chóid fóntais neamhdhíobhálach os a chionn.
Trasna an phléasctha, bhog clú chlárlainne an fhoilsitheora ó neodrach go garbh ag tús an chnuasaigh go diúltach go láidir de réir mar a charnaigh braithintí — fo-iarmhairt inbhraite de na pacáistí a bheith á mbratach, ní gné deartha.
Táscairí Comhréiteach
Deimhníodh go raibh na táscairí go léir thíos i láthair tráth na hanailíse — iad siúd sna táblaí “Dara céim” trí dhíchódú tástáil/daingneáin/péirí eochracha.dat agus ag léamh an aisghafa syncd.js.
Comhaid agus cosáin
Bonneagar líonra dara céim (aisghafa ó syncd.js)
Spriocanna bailiúcháin dara céim (aisghafa ó syncd.js)
Déanta-earraí buanseasmhachta
Iompraíochta
- Feidhm féinghlaoite curtha leis ina dhiaidh modúl.onnmhairí, sceidealú a Am istigh socraithe de ~37,000 ms ar allmhairiú.
- páiste_próiseas sceith(“nód”, ) leis an tsraith roghanna scoite.
- Gníomhachtú díomhaoin sa dara céim (xprintidle / iorag Am díomhaoin HIDIdleTime / PowerShell; tairseach ~15 nóiméad).
- Criptiú RSA-4096 in aghaidh an aimsithe, ansin HTTPS IAR- chuig API bioráin IPFS poiblí.
Pacáistí agus leaganacha (npm, foilsitheoir solbuilder_io)
Foilsitheoir
- solbuilder_io - angel_lopez89[@]prótón[.]mé, ríomhphost gan fhíorú, gan aon chuntas rialaithe foinse fíoraithe, gan aon stór nasctha.
Leithdháileadh & Iompar Breathnaithe
Roinneann na hocht bpacáiste cuntas foilsitheora amháin agus ualach amháin. Is pacáiste beag é gach ceann acu — cúpla cileabheart de chód fóntais fíor leis an dropper céanna curtha leis — foilsithe gan stór nasctha agus faoi ríomhphost indiúscartha neamhfhíoraithe. An aonfhoirmeacht sin, an cosán titim comhroinnte, na lipéid bhuanseasmhachta comhroinnte, agus an t-ualach comhroinnte péirí eochracha.dat Is iad na comhaid stáitse a cheanglaíonn an braisle le chéile.
Tá na pacáistí thar a bheith macánta faoina n-iompar féin. úsáidí eochair-solana tá tráchtanna inlíne ann a chuireann síos ar an mbloc atá curtha leis i dtéarmaí simplí — lipéadaítear é ag duine amháin PHANTOM: buanseasmhacht dofheicthe, léann ceann eile (i Spáinnis) Scrios topa sa chúlra, “rith an mol sa chúlra.” Seo iad nótaí an chóid féin ar a ndéanann sé; tá ainm an fheachtais sa phost seo tarraingthe ón gcéad lipéad sin mar aon leis an nód bréige “daemon sioncrónaithe” (sioncronaithe) a dhéanann an innealra buanseasmhachta aithris air.
Ní dhéanaimid cur síos ach ar a ndéanann an cód go soiléir. Léiríonn ainmniú na bpacáistí — na téarmaí cripte, sparán, agus uirlisí blockchain go léir — cé hé an lucht féachana forbróra is dóichí a tharraingeoidh iad de réir ainm; ní léiríonn sé sin leis féin cé hé an foilsitheoir. Bhí an dara céim inaisghafa go hiomlán tríd an daingneán base64 a dhíchódú, agus déantar cur síos ar a iompar thuas: bailíonn sé eochracha sparán, frásaí síl, agus rúin agus eis-scagtar iad, criptithe le RSA, chuig stóras IPFS poiblí trí Pinata. Rogha dearaidh suntasach is ea easpa freastalaí C2 príobháideach — tagann cumraíocht ó gist GitHub agus IPFS, agus páirceáiltear sonraí goidte i stóras díláraithe poiblí eochrach le hais ábhair, agus tá an dá cheann níos deacra a urghabháil ná óstach aonair atá faoi rialú ionsaitheora. Ní bhfuarthas aon tuairisciú poiblí roimhe seo a mheaitseálann an braisle seo tráth scríofa na tuarascála seo.
Tionchar, Treochtaí & Treoir do Chosantóirí
Cé atá nochtaithe. Aon duine a chuir ceann de na pacáistí seo le tionscadal Node agus ansin a rith cód a allmhairíonn é. Ós rud é go ndéantar an pléascadh a allmhairiú seachas a shuiteáil, ní leor an pacáiste a bheith i láthair - ach sroicheann aon ghnáthúsáid a luchtaíonn an modúl an t-ualach. Díríonn na hainmneacha mealltacha ar fhorbróirí atá ag tógáil ar Ethereum, Solana, Arbitrum, Layer-2, agus uirlisí sparán/ionchódaithe ginearálta - an daonra is dóichí go mbeidh na sócmhainní díreacha atá á lorg ag an dara céim acu. Aon duine a rith ceann de na modúil seo ar mheaisín ina bhfuil eochracha sparán, frásaí síl, stórais eochracha, eochracha SSH, nó ... .a V ba cheart do rúin na dintiúir sin a áireamh mar rud atá i mbaol agus iad a rothlú.
Dhá phatrún ar fiú iad a inmheánú. Gcéad dul síos, ualach-mar-dhaingneánag seoladh an dara céim mar base64 laistigh de chomhad sonraí a bhfuil ainm inchreidte air (tástáil/daingneáin/péirí eochracha.dat) coinníonn sé foinse infheicthe an phacáiste glan agus brúnn sé an t-ábhar mailíseach isteach i gcomhad a dhéileálann uirlisí athbhreithnithe agus scanóirí daonna leis go minic mar shonraí neamhghníomhacha. Ar an dara dul síos, forghníomhú moillithe ama allmhairithe le buanseasmhacht tras-ardáinIs céim d'aon ghnó ar shiúl ó na teicnící script suiteála níos torannaí a bhíonn á bhfaire go géar ag scanadh uathoibrithe clárlainne ná an truicear a bhogadh den dubhán suiteála, lasc ama a chur leis, agus ansin leanúint ar aghaidh ar fud cron, tascanna sceidealaithe, agus launchd.
Treoir do chosantóirí agus do chothabhálaithe:
- Cód curtha leis ina dhiaidh sin a chóireáil modúl.onnmhairí mar thosaíocht athbhreithnithe — is minic a bhíonn loighic titime i bhfolach faoi dhromchla an mhodúil “fíor”.
- Ná glac leis go bhfuil comhaid sonraí neamhghníomhach. Blob base64 faoi tástálacha/daingneáin/ a léitear ag am rithe agus a dhíchódaítear atá inrite-in aice láimhe; bratach léamha ag am rithe de chomhaid daingneáin a bheathaíonn Feidhm/meast/scríobh-ansin-sceitheadh slabhra.
- Fiach ar an gcosán titim ~/.cache-db/.node-sync/ agus do na haonaid bhuansheasmhachta WinNodeSync (tasc sceidealaithe) agus com.apple.syncd (launchd) ar mheaisíní forbróra a tharraing na hainmneacha seo.
- Foláireamh ar phróisis Nóid a chruthaíonn iontrálacha cron, tascanna sceidealaithe, nó poist launchd — is annamh a dhéanann leabharlanna dlisteanacha é seo ar allmhairiú.
- Tabhair tosaíocht do chomhaid ghlasála agus do leaganacha bioráilte, agus déan athbhreithniú ar an difríocht d’aon spleáchas beag “fóntais” nua, go háirithe pacáistí nialasacha spleáchais foilsithe ag cuntais neamhfhíoraithe gan aon stór nasctha.
I gcás cosantóirí clárlainne, is é an rud atá le baint as ná go bhfuil monatóireacht ar an gcrúca suiteála riachtanach ach nach leor é: rachaidh braoinín allmhairithe, moillithe ag am ama atá suite i gcomhad sonraí thar sheiceáil am suiteála amháin, agus is minic gurb é an chéim bhuanseasmhachta an comhartha is inbhraite atá fágtha le gabháil.
