O chionn ghoirid mhothaich Xygeni pàtran draghail ann an cruth-tìre ionnsaighean slabhraidh solair bathar-bog ann an 2025., a’ nochdadh thar dà mhanaidsear pacaid mòr-chòrdte: PyPI agus npmMar phàirt de na h-oidhirpean leantainneach againn airson fiosrachadh mu bhagairtean,Rabhadh Tràth Malware Xygeni (MEW) Chomharraich inneal eisimpleir sònraichte ach coltach gu modh-obrach de phacaid droch-rùnach a chaidh a luchdachadh suas gu clàr eile roimhe. Tha a’ chùis seo a’ soilleireachadh mar a tha cleasaichean bagairt ag atharrachadh agus ag ath-chleachdadh dhòighean ionnsaigh thar eag-shiostaman, gu sònraichte troimhe pacaidean Python droch-rùnach agus pacaidean npm droch-rùnach, a tha ag àrdachadh a’ chunnart gum bi pacaidean droch-rùnach a’ dol a-steach do shlabhraidhean solair stòr fosgailte.
MEW Xygeni: A’ faicinn nan coltachdan
Tha inneal MEW aig Xygeni air a thogail gus pacaidean droch-rùnach a lorg agus a chomharrachadh, gu h-àraidh an fheadhainn a tha ceangailte ri Ionnsaighean Slabhraidh Solarachaidh Bathar-bog ann an 2025, cho luath ‘s a thèid am foillseachadh gu clàran stòr fosgailte. Bidh e ag obair le bhith a’ dèanamh anailis air pacaidean ùra airson giùlan amharasach.
Anns a’ chùis seo, chomharraich e dithis pacaidean Python droch-rùnach (graphalgo air PyPI) agus pacaidean npm droch-rùnach (express-cookie-parser air npm).
Pacaidean Python agus npm droch-rùnach ann an ionnsaighean slabhraidh solair bathar-bog (2025)
Feuchaidh sinn ri sgrùdadh a dhèanamh air na feartan co-roinnte a bhrosnaich na rabhaidhean againn:
Typosquatting
Dh’fheuch an dithis ri pacaidean a bha ann mar-thà a dhèanamh coltach riutha.
- grafalgo (PyPI): "Pasgan Python airson grafaichean agus lìonraidhean a chruthachadh agus a làimhseachadh."Air a luchdachadh suas le neach-cleachdaidh leis an ainm" “larrytech” air 13 Ògmhios 2025, nochd am pasgan seo e fhèin mar roghainn eile PyPi an àite a’ phròiseict thùsail neo-mhì-rùnach graphalgo, a chaidh ath-ainmeachadh mar graphdict nas fhaide air adhart.
- parsair-bhriosgaidean-luath (npm)Rinn am pasgan seo atharrais air a’ phacaid briosgaidean-parsair ainmeil, eadhon a’ nochdadh a… READMI.md. Tha an leithid de phearsanachadh na innleachd chlasaigeach gus brath a ghabhail air earbsa a th’ ann mar-thà.
Dìomhaireachd mar a’ chiad loidhne dìon
Chuir an dà phacaid an còd droch-rùnach aca am falach anns na faidhlichean tùsail. grafaigeach, chaidh an còd falaichte a lorg taobh a-staigh /utils/load_libraries.py. Ann an cùis parsair-bhriosgaidean-luath, cookie-loader.min.js anns an robh an luchd falaichte.
Mar as trice, thathas a’ cleachdadh a’ chiad ìre seo de dh’fhaicsinneachd gus casg a chuir air sgrùdadh cas agus mion-sgrùdadh statach. Bha an fhaicsinneachd gu math sìmplidh: teannachadh ZLib a-rithist agus còdachadh Base64. Tha an seòrsa fhaicsinneachd seo a’ nochdadh gu soilleir gu bheil am bathar-bog a’ feuchainn ri a ghiùlan fhalach. Còmhla ri fianais eile, leig seo le Xygeni MEW na pacaidean a sheòrsachadh mar malware a dh’fhaodadh a bhith ann. Rè na h-ìre dearbhaidh, dh’ullaich ar luchd-sgrùdaidh sgriobt dì-fhaicsinneachd gu sgiobalta a nochd an ìre dropper a bha gu follaiseach droch-rùnach.
Lìbhrigeadh Luchd-pàighidh Ioma-Ìre agus Puing Tùs Co-roinnte
Bha an dà phacaid ag obair mar “tùsail”droppers, ”a’ cur an stèidh airson an fhìor luchd. Bha iad a’ roinn “ taobh a-muigh cumantasìolURL faidhle:https://raw.githubusercontent.com/johns92/blog_app/refs/heads/main/server/.env.example
Tha am faidhle sìl taobh a-muigh co-ionann seo na chomharradh làidir air cleasaiche bagairt co-roinnte. Gu inntinneach, tha coltas gu bheil susbaint an fhaidhle sìl seo nan caochladairean àrainneachd sìmplidh (me, JWT_SECRET, PORT), a dh’ fhaodadh a bhith meallta mu sgrùdadh a dhèanamh air a dhleastanas fhèin.
Fuasgladh C2 Dinimigeach le DGA
Is e innleachd shòlaimte a chithear anns na pacaidean droch-rùnach seo cleachdadh Algairim Ginealach Fearainn (DGA) gus an frithealaiche Àithne is Smachd (C2) fhuasgladh gu daineamaigeach. Tha an dòigh seo, a chithear gu tric ann an ionnsaighean slabhraidh solair bathar-bog adhartach ann an 2025, an urra ri hash SHA256 a tha air a thoirt bho shusbaint an fhaidhle sìl, còmhla ri luachan cruaidh-chòdaichte eile. Le bhith a’ dèanamh seo, bidh bun-structar C2 ag atharrachadh gu tric, a’ dèanamh liostadh dubh traidiseanta mòran nas lugha èifeachdach. Anns a’ chùis seo, chleachd an caochladh npm luach stèidhichte de 496AAC7E mar phàirt den loidsig DGA aige.
A’ stèidheachadh buanseasmhachd
Bha an dà ionnsaighear a’ feuchainn ri làthaireachd mhaireannach a stèidheachadh air siostaman air an robh buaidh. Bha an ro-innleachd aca a’ toirt a-steach faidhle a leigeil às, startup.py (airson PyPi) no startup.js (airson npm), a-steach do chlàran-stiùiridh dàta luchd-cleachdaidh Google Chrome cumanta thar diofar shiostaman obrachaidh (Windows, Linux, macOS).
Glanadh às dèidh cur gu bàs
Gus lorgan a lughdachadh, rinn an dà sgriobt droch-rùnach obrachaidhean glanaidh. Bha seo a’ gabhail a-steach cuir às do na faidhlichean dropper tùsail aca (load_libraries.py, cookie-loader.min.js) agus ag atharrachadh faidhlichean pacaid dligheach (__init__.py, index.js) gus na h-iomraidhean air na co-phàirtean a chaidh a dhubhadh às a-nis a thoirt air falbh.
Comharran Co-rèiteachaidh ann am Pasganan Python agus npm droch-rùnach
- Pasgan PyPI: graphalgo (air fhoillseachadh le larrytech, 13 Ògmhios, 2025)
- Pasgan npm: express-cookie-parser (gu sònraichte dreach 1.4.12)
- Cothrom air URL Sìl Co-roinnte:
https://raw.githubusercontent.com/johns92/blog_app/refs/heads/main/server/.env.example
- Ainmean-faidhle maireannach:
startup.py(Python)startup.js(JavaScript) - Slighean Cumanta Maireannach (a rèir an t-siostam obrachaidh)Taobh a-staigh clàran-dàta luchd-cleachdaidh Google Chrome (m.e.,
AppData\Local\Google\Chrome\UserData\Scripts\air Windows,~/.config/google-chrome/Scripts/air Linux, msaa.).
Mar a dhìonas tu an aghaidh phasganan droch-rùnach ann an ionnsaighean slabhraidh solair bathar-bog 2025
Dòigh-obrach a thathar a’ moladh do luchd-leasachaidh
Tha an tachartas seo na sgrùdadh cùise luachmhor ann an cruth-tìre bagairt ionnsaighean slabhraidh solair bathar-bog a tha ag atharrachadh ann an 2025. Tha e a’ soilleireachadh mar a dh’ fhaodas pacaidean Python droch-rùnach agus pacaidean npm droch-rùnach sleamhnachadh a-steach do eag-shiostaman earbsach, gu tric a’ seachnadh lorg gus am bi e ro fhadalach. Sin as coireach gu bheil lorg tràth, innealan snasail, agus slàinteachas siostaim ro-ghnìomhach a-nis nam pàirtean riatanach de shruth-obrach DevOps tèarainte sam bith. Thathar a’ brosnachadh luchd-leasachaidh beachdachadh air na leanas:
Lèirmheas Eisimeileachd
Ma tha na pròiseactan agad air a bhith a’ toirt a-steach grafaigeach or parsair-bhriosgaidean-luath, bhiodh e glic a dhol air adhart le an toirt air falbh.
- Airson PyPI:
pip uninstall graphalgo - Airson npm:
npm uninstall express-cookie-parser
Slàinteachas an t-siostaim
Smaoinich air sganadh coileanta den t-siostam a dhèanamh. Tha e ciallach cuideachd sùil a thoirt le làimh air slighean cumanta eòlaire dàta luchd-cleachdaidh Chrome airson rud sam bith ris nach robh dùil. startup.py or startup.js faidhlichean.
Ceumannan tèarainteachd for-ghnìomhach
- Measadh Eisimeileachdan ÙraStèidhich cleachdadh gus measadh mionaideach a dhèanamh air pasganan ùra mus tèid an amalachadh, le fòcas air pasganan bho fhoillsichearan nach eil eòlach orra.
- Amalaich Innealan TèarainteachdInnealan mar MEW aig Xygeni, còmhla ri Mion-sgrùdadh Co-dhèanamh Bathar-bog eile (SCA) fuasglaidhean, faodaidh iad sreath chudromach de dhìon a thoirt seachad le bhith a’ comharrachadh giùlan amharasach agus so-leòntachd.
- Pribhileat as LughaFaodaidh obrachadh àrainneachdan leasachaidh leis a’ phrionnsabal aig a bheil a’ char as lugha de shochair cuideachadh le bhith a’ lughdachadh buaidh a dh’ fhaodadh a bhith aig co-rèiteachadh.
- Mothachadh LìonraFaodaidh sgrùdadh trafaic lìonra a-muigh airson ceanglaichean neo-àbhaisteach conaltradh C2 a chaidh a chruthachadh le DGA fhoillseachadh uaireannan.
Prìomh phàirtean de load_libraries.py (bho graphalgo)
download_remote_content(): A’ làimhseachadh faighinn faidhlichean bho URLan sònraichte.run_process()A’ cur sgriobtaichean Python taobh a-muigh an gnìomh ann an dòigh neo-cheangailte, a’ cur bacadh air toradh gus fuireach dìomhair.get_output_file_path()A’ dearbhadh an àite siostaim as fheàrr airson am faidhle startup.py maireannach.remove_self()A’ stiùireadh glanadh às dèidh cur an gnìomh nan ciad fhaidhlichean droch-rùnach agus atharrachaidhean pacaid.simple_shift_encrypt()/simple_shift_decrypt()Gnìomhan crioptagrafach gnàthaichte airson seanalan conaltraidh a cheilt, deatamach airson cur an gnìomh DGA.load_libraries()Am prìomh ghnìomh a bhios a’ co-òrdanachadh a’ phròiseis ioma-ìre gu lèir, bhon luchdachadh sìos tùsail chun an coileanadh is an glanadh luchd mu dheireadh.
Às dèidh sin
Coltach ri pacaidean eile a dh’ fhaodadh a bhith droch-rùnach a chomharraich MEW, dhìon balla-teine an eisimeileachd sa bhad luchd-cleachdaidh a bhiodh a’ cur nam pacaidean droch-rùnach seo nan eisimeileachdan. Às dèidh dearbhadh, lean sinn na modhan-obrach fiosrachaidh airson an dà chlàr, agus às dèidh ath-sgrùdadh, chaidh an dà phacaid a thoirt air falbh.
