TL; DR
nolimit-agent 'S e pasgan npm a th' ann aig a bheil na dreachan foillsichte — 1.0.299 tro 1.0.307, air fhoillseachadh thairis air ceithir latha bho 2026-06-26 gu 2026-06-29 — bidh gach fear a’ giùlan frèam-obrach iomlan airson fiosgaich is post-d mòr taobh a-staigh eòlaire falaichte, làn-dhorcha. Anns gach dreach bidh am prìomh inntrigeadh a’ fuasgladh gu .ad/x0.js, aon de ~86 faidhlichean ann am pasgan leis an ainm dotfile anns a bheil timcheall air 4,200 blob sreang-array javascript-obfuscator; tha an dubhan stàlaidh agus cruth an inntrigidh co-ionann air feadh na loidhne.
Air cùl an doilleireachd tha Sruth còd inneil Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) a leughas bogsa a-steach Outlook an neach-fulang agus nithean a chaidh a chur tron Microsoft Graph API aon uair ‘s gu bheil còd air aontachadh; einnsean cur SMTP is SMS mòr air a stiùireadh le liostaichean luchd-faighinn a thug an gnìomhaiche seachad; teamplaidean teachdaireachd pearsanachadh-branda; togail ceangail ath-sheòlaidh fosgailte; agus sgrùdadh thairis air DNS-thairis-HTTPS, WHOIS, agus sgrùdadh còd GitHub. Beacons trafaic ruith-ùine gu bun-structar gnìomhaiche aig api[.]nolimitent[.]xyz:4100.
Air a bheil buaidh: neach sam bith a stàlaicheas dreach sam bith den phacaid, agus gin sam bith Bogsa puist Microsoft 365 aig a bheil an sealbhadair ag aontachadh còd inneil a tha air a thaisbeanadh troimhe. An dreach as ùire, 1.0.307, an taga as ùire an-dràsta agus tha an aon chomas bogsa-puist còd-inneil aige — chan eil an còd droch-rùnach air a chuingealachadh ri aon dreach air ais.
Dìth: CruaidhEag-shiostam air a bheil buaidh: npmAn aon chomharradh airson a lorg an toiseach: an t-òstair api[.]nolimitent[.]xyz.
An ionnsaigh: mar a tha e ag obair
Slige neo-chùramach thairis air luchd falaichte
Tha am pasgan a’ taisbeanadh uachdar àbhaisteach. pasgan.json ag ainmeachadh a às dèidh an stàlaidh dubhan –
text postinstall: node scripts/postinstall.js — agus air sgrùdadh sgriobtaichean/postinstall.js chan eil cron sam bith ann: bidh e a’ stàladh shim àithne Windows agus a’ fàgail. Chan e an dubhan far a bheil an giùlan a’ fuireach. An prìomh agus mìle raointean a’ comharrachadh a-steach .ad/, eòlaire aig a bheil a’ phuing aig a’ cheann thall ga chumail a-mach à ruigsinneachd neo-fhoirmeil ls toradh, agus aig a bheil susbaint air a dhìomhaireachd gu cothromach leis an inneal. Chunnt an sganair statach ~4,293 raointean luchd-pàighidh còdaichte thar an .ad/ seata mhodalan; javascript-obfuscator na eisimeileachd leasachaidh dearbhte, a tha a’ freagairt ri cumadh rothladh sreath-sreang nam faidhlichean pacaichte.
’S e an sgaradh a’ chiad chomharradh a tha airidh air ainmeachadh: tha an dubhan stàlaidh a bhiodh neach-sgrùdaidh a’ sgrùdadh glan, agus tha an còd obrachaidh aon eòlaire air falbh, falaichte agus doilleir, agus chan fhaighear thuige ach nuair a ruitheas puing inntrigidh às-mhalairt a’ phacaid.
Ruigsinneachd bogsa-puist còd-inneal Microsoft 365
Am modal .ad/x12.js a’ giùlan comas as cudromaiche an fhrèam-obrach. Bidh e a’ stiùireadh tabhartas ùghdarrais innealan Microsoft 365 OAuth 2.0:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode ’S e sruthadh dligheach Microsoft a th’ ann an tabhartas còd-inneal a chaidh a dhealbhadh airson innealan le cuingealachaidhean cuir-a-steach: bidh seirbheis ag iarraidh còd, agus bidh an neach-cleachdaidh a’ taipeadh a’ chòd sin a-steach. microsoft.com/inneallogin` air dàrna inneal agus a’ ceadachadh, agus gheibh an t-seirbheis a tha ag iarraidh comharran. Nuair a bhuineas an t-seirbheis a tha ag iarraidh do chuideigin eile seach sealbhadair a’ bhogsa puist, bheir ceadachadh comharra don treas phàrtaidh sin. Cho luath ‘s a gheibhear comharra, Bidh .ad/x12.js` a’ leughadh a’ bhogsa-puist gu dìreach tro Microsoft Graph:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients Tha $tagh Bidh ro-mheasaidhean a’ tarraing seòlaidhean an neach a chuireas bhon bhogsa a-steach agus seòlaidhean an neach a gheibh bho nithean a chaidh a chur – an stuth amh airson luchd-conaltraidh neach-fulang a mhapadh. Is e seo ruigsinneachd nàmhaid-sa-mheadhan (AiTM) le cead seach le glacadh facal-faire: chan eil teisteanas ann airson fiosgaich san t-seagh chlasaigeach, dìreach còd airson aontachadh fhaighinn.
Inneal puist is SMS mòr-chuid le teamplaidean pearsanachaidh
Timcheall air ruigsinneachd a’ bhogsa puist tha inneal-puist. Bidh am pasgan a’ cur faidhlichean dàta a ghabhas deasachadh leis an neach-obrachaidh — liostaichean luchd-cuiridh (luchd-cuiridh.txt, smtps.txt) agus faidhle teamplaid (gnìomhan.txt) — aig a bheil seòlaidhean àite air an leughadh mar dhuilleag tilgeadh airson aithris: tèarainteachd@apple.com, login-dearbhadh, seirbheis OAuth, bileachadh, agus luchd-cuiridh fios cunntais an aghaidh a yourdomain.com bidh an neach-ionaid a’ dol na àite. Tha fòn air an taobh SMSebook agus rèiteachadh a’ gheata. Bidh am postair ag ath-aithris liostaichean luchd-faighinn a thug an gnìomhaiche seachad agus a’ cur tro ath-chraolaidhean SMTP rèiteichte.
Gus ceanglaichean a thoirt gu tìr, .ad/xu.js agus .ad/xq.js a’ togail URLan a bhios a’ cleachdadh mì-chinnt ann am mion-sgrùdadh URLan agus tracadh cliogan. Bidh na pàtrain meallta a’ cur ùghdarras a tha coltach ri earbsa a-steach mus tèid @ mar sin tha an ro-leasachan faicsinneach eadar-dhealaichte bhon fhìor aoigh:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Bidh am frèam-obrach cuideachd a’ glacadh favicons bho phrìomh luchd-cleachdaidh agus enterprise solaraichean puist-d — dòigh-obrach àbhaisteach airson duilleag-tìr no brosnachaidh dearbhte le suaicheantas solaraiche a thoirt seachad.
Sgrùdadh targaid is bun-structair
Bidh grunn mhodalan a’ cruinneachadh co-theacsa mus tèid an cur. .ad/x0.js a’ fuasgladh ainmean thairis air DNS-thairis-HTTPS (dns[.]google/fuasgladh), .ad/xa.js ceistean WHOIS (api[.]whois[.]vu), Agus .ad/x9.js a’ ruith rannsachadh còd GitHub (api[.]github[.]com/search/code?q=) — pàtran a tha a rèir ri bhith a’ lorg rèiteachadh frithealaiche puist-d agus teisteanasan SMTP a tha fosgailte gus am biathadh an liosta ath-chraolaidh. .ad/xs.js a’ cur ceist air clàr-amais CDX an Wayback Machine.
Òrdugh agus smachd
Thar an t-seata doilleir, .ad/x4.js a’ toirt iomradh air ceann-uidhe an obraiche:
text http://api[.]nolimitent[.]xyz:4100 Bidh an aoigh a’ roinn a gun chrìoch branda le ainm an fhoillsichear fhèin, agus an : 4100 ’S e am port an seanal gairm-dhachaigh aig an fhrèam-obrach. ’S e seo an comharra as seasmhaiche do luchd-dìon: pasgan, stèisean-obrach leasaiche, no àidseant togail a’ ruighinn api[.]gun chrìoch[.]xyz air an còd seo a ruith.
Comharran co-rèiteachaidh
Is iad na comharran gu h-ìosal na comharran air am faod dìonadair gnìomh a dhèanamh — faidhle glasaidh a grep, aoigh a bhacadh, no logaichean proxy is DNS a lorg. Nochdaidh puingean-crìochnachaidh Microsoft leis gu bheil an frèam-obrach gan droch-chleachdadh; chan eil iad fhèin droch-rùnach agus cha bu chòir an bacadh.
Hasaichean faidhle air an glacadh aig àm triage:
- pasgan/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- pasgan/pacaigean.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Comharra teanant Microsoft 365 a tha airidh air a shealg neo-eisimeileach bhon phacaid seo: clàradh a-steach soirbheachail le còd inneil agus an uair sin leughaidhean Grafa de Pasganan puist/bogsa a-steach agus Pasganan puist/nithean a chaidh a chur thugainn, gu h-àraidh bho sheisean nach eil an neach-cleachdaidh ag aithneachadh.
Cur às leth & giùlan a chaidh fhaicinn
Bidh na tha ri fhaicinn a’ fuireach air leth bhon neach a tha air a chùlaibh.
Fìrinnean faicsinneach: tha am pasgan air fhoillseachadh fon làmh riochdaire gun chrìoch le seòladh Gmail neo-dhearbhaichte agus gun stòr-dàta ceangailte; a pasgan.json ga mhìneachadh mar “neach-cuiridh puist-d adhartach” agus ga chomharrachadh leis an sgioba-dhearg prìomh fhacal; tha an còd ruith-ùine air a dhlùthadh ann an àite falaichte, doilleir .ad/ eòlaire aig a bheil an t-sreath innealan (javascript-obfuscator) na eisimeileachd ainmichte; agus an aoigh-ghairm-dhachaigh api[.]gun chrìoch[.]xyz ath-chleachdadh an gun chrìoch branda. Is e pasgan singilte a tha seo le aon chomharra-tìre bun-structair fo smachd an obraiche — chan e cruinneachadh ioma-phacaid a th’ ann, agus cha deach tar-lùbadh sam bith le iomairt ainmichte roimhe a chomharrachadh.
Tha sgioba-dhearg Chan eil am facal-luirg ag atharrachadh an seòrsachaidh. Bidh innealan tèarainteachd oilbheumach dligheach a bhios a’ cur comas dà-chleachdaidh ga dhèanamh follaiseach: stòr a ghabhas leughadh, targaidean air an toirt seachad leis an obraiche, agus gun ghairm-dhachaigh falaichte. Bidh am pasgan seo ag atharrachadh gach aon de na feartan sin - tha a chòd obrachaidh air a dhorchachadh agus falaichte, agus tha e a’ comharrachadh bun-structar obraiche stèidhichte seach targaid a bheir an neach-cleachdaidh seachad. Tha an giùlan, chan e an leubail, a’ riaghladh a’ bhreith, a tha droch-rùnach.
Chan eil rùn air a dhearbhadh an seo. Tha am post a’ toirt cunntas air dè a bhios an còd a’ dèanamh — còd inneil iarraidh, bogsa-puist a leughadh thairis air Graph, post mòr a chuir tro ath-chraolaidhean rèiteichte, beacon gu aoigh stèidhichte — agus chan eil adhbhar air a ràdh.
Buaidh, gluasadan & stiùireadh luchd-dìon
Tha dà bhuaidh aig àm an stàlaidh cudromach. An toiseach, leasaiche no riochdaire CI sam bith a stàlaicheas riochdaire gun chrìoch a’ toirt an fhrèam-obrach air an aoigh sin agus a’ stèidheachadh an dachaigh-ghairm gu api[.]gun chrìoch[.]xyzSan dàrna àite, tha comas còd an inneil a’ leudachadh ruigsinneachd nas fhaide na an aoigh stàlaidh: thèid bogsa-puist Microsoft 365 aig a bheil an sealbhadair air a bhrosnachadh gus còd a chaidh a thaisbeanadh aontachadh a leughadh gu dìreach tro Graph, gun fhacal-faire a’ dol tarsainn air an uèir a-riamh.
Is e an gluasad nas fharsainge an tè a tha a’ dol a-steach don choimhearsnachd. Tha fiosgaich còd-inneal (AiTM) air gluasad bho bhun-structar fiosgaich neo-eisimeileach gu bhith na phacaid air clàr poblach — air a sgaoileadh le stàlaich npm seach le ceangal post-d. Le bhith a’ pacadh a’ phacaid san dòigh seo, bidh duilgheadas aoigheachd is lìbhrigeadh cheanglaichean an obraiche fiosgaich a’ malairt airson ruigsinneachd clàraidh, agus bidh e a’ falach a’ chòd obrachaidh air cùl dubhan stàlaidh glan agus eòlaire doilleir leis an ainm dotfile a chuireas às do sgim luath le làimh.
Airson luchd-dìon:
- Ath-sgrùdadh clàraidh agus eisimeileachd. Làimhsich pasgan aig a bheil prìomh/mìle a’ fuasgladh ann an eòlaire falaichte (le ro-leasachan dotagan) de chòd ciad-phàrtaidh air a dhìomhaireachd gu cothromach mar chùmhnant àrd-chunnart air structar a-mhàin, ge bith a bheil an dubhan stàlaidh a’ coimhead glan no nach eil. Chan e mì-rian a th’ ann an lughdachadh — geata air ainm-sgrìobhte an dì-chòdaiche sreang-array, chan ann air fad na loidhne.
- Cruadhachadh Microsoft 365. Cuir bacadh air sruthadh ùghdarrais còd an inneil le Ruigsinneachd Chumhach far nach eil feum air gu h-obrachail; tha tabhartasan còd an inneil nan vectar AiTM aithnichte agus is ann ainneamh a bhios feum orra le luchd-cleachdaidh eadar-ghnìomhach. Dèan sgrùdadh airson clàradh a-steach còd an inneil agus an uairsin àireamhachadh bogsa puist Graph sa bhad.
- Lorgaireachd lìonra. Bacadh agus rabhadh air api[.]gun chrìoch[.]xyzSealg logaichean DNS a-mach agus proxy air a shon thar bun-structar luchd-leasachaidh is togail.
- Lorgaidh slighe puist. Tha neach-cleachdaidh@aoigh Foirmean URL-meallta (earbsach[.]com@…) ri lorg aig geata a’ phuist agus an neach-ionaid; comharraich ceanglaichean aig a bheil pàirt ùghdarrais ro fhear @.
Bha am pasgan beò air npm aig àm an anailis. Leis gu bheil am frèam falaichte a’ dol thairis air loidhne an dreach foillsichte gu lèir agus an dreach làithreach. as ùire Ma tha comas còd-inneal aig tag (1.0.307), bu chòir do thoirt sìos bhon chlàr gach dreach a chòmhdach, chan e dìreach aon dreach air ais.
