TL; DR
Aon fhoillsichear npm, deadcode09284814, air iomairt typosquat a ruith an aghaidh an fheadhainn dligheach axios agus chalk-template pacaidean bho mheadhan a’ Chèitein 2026.
Thòisich an iomairt mar ghoid teisteanasan is sporanan àbhaisteach, a’ toirt dàta a-mach gu Tunail HTTPS Serveo.
On 2026-05-17, le axois-utils:1.0.9, dh’atharraich an gnìomhaiche an luchd gu tur: an aon sgafaill trì-chrùc stàlaidh, an aon fhoillsichear, an aon ainm pacaid.
Ach tha an sgriobt stàlaidh a-nis na fastaiche botnet DDoS thar-àrd-ùrlar.
Tha an luchd a’ bruidhinn ri localhost.run tunail agus a’ gabhail ri òrdughan tuilte, a’ tionndadh àrainneachdan gabhaltach gu bhith nam pàirt de botnet comasach air DDoS.
Chuir an gnìomhaiche eadhon an Binary frithealaiche C2 taobh a-staigh an tarball, a’ sealltainn àrdachadh soilleir bho ghoid teisteanasan gu bun-structar botnet gnìomhach.
Dà phacaid, ceithir dreachan fhathast gnìomhach air a’ chlàr, agus aon obraiche a-nis a’ ruith an dà mhodal aig an aon àm.
Cruaidheachd: àrd.
An Ionnsaigh: Mar a tha e ag Obrachadh
Tha an iomairt air a togail air sgafaill lìbhrigidh a tha air a dhèanamh gu dòrainneach a dh'aona ghnothach: dà ainm pacaid typosquat, aon litir dheth bho phasganan le ceudan de mhilleanan de luchdachadh sìos seachdaineil (axios, teamplaid cailce), agus stàladh trì-fhillte hooks a tha a’ gealltainn coileanadh. Is e an rud a tha inntinneach dè an sgafaill a ’giùlan — agus an fhìrinn gun do dh’atharraich an gnìomhaiche an luchd gun dad sam bith eile atharrachadh.
An sgafaill co-roinnte
Tha gach dreach foillsichte den dà phacaid ag ràdh an aon trì cearcall-beatha hooks in pasgan.json:
"scripts": { "preinstall": "node <payload>.js", "install": "node <payload>.js", "postinstall": "node <payload>.js" } A’ liostadh an luchd fo na trì hooks tha e ro-mhòr - às dèidh an stàlaidh bhiodh e na aonar a’ ruith gu bunaiteach stàlaich npmTha an roghainn cudromach: stàladh npm –sgriobtaichean-leig seachad a’ leum sgriobtaichean, ach grunn shruthan-obrach cumanta (ath-nuadhachadh tasgadan CI a bhios ag ath-ruith cearcall-beatha hooks gu roghnach, no luchd-leasachaidh a bhios a’ dèanamh sgrùdadh a-mhàin às dèidh an stàlaidh) dearbhadh trì-iomarcach a dhèanamh an geall as sàbhailte don ionnsaighear.
teamplaidean cailce a’ cur dàrna dòigh-obrach ris: tha e ag ràdh axois-utils:^1.0.7 mar ùine ruith eisimeileachdA’ stàladh an typosquatted teamplaid cailce mar sin a’ tarraing a-steach an typosquat sibling cuideachd, agus bidh an dà luchd a’ ruith. Tha an dà phacaid nan paidhir cho-òrdanaichte, chan e liostaichean neo-eisimeileach.
Ìre A — goid teisteanasan / sporan (2026-05-15 → an-diugh)
Is e Ìre A an luchd tùsail. Tha an luchdadair goirid. postinstall.js a tha a’ comharrachadh aig tunail-aisig HTTPS Serveo:
// chalk-tempalte/postinstall.js:11-13 const C2_HOST = "f04a273bd84c0622-80-200-28-28.serveousercontent.com"; const C2_PORT = 443; const C2_PATH = '/collect'; Bidh fo-àrainn Serveo a’ còdachadh IP an ceann-uidhe (80.200.28.28) gu dìreach san ainm-aoigheachd — gnàthas aithnichte airson na seirbheis sin. Bidh an gnìomhaiche a’ tionndadh ro-leasachan an fho-àrainn air thuaiream eadar dreachan gus liostaichean bacaidh àrainn neo-àbhaisteach a sheachnadh, ach cha ghluais an IP bunaiteach gu bràth.teamplaidean-cailc: 1.0.14 chleachdte 8a3e818ea8f11186-80-200-28-28…; 1.0.16 / 1.0.19 / 1.0.20 cleachdadh f04a273bd84c0622-….)
postinstall.js làmhan dheth gu phantom.js, modúl “cruinneachaidh” pacaichte le 7,667 loidhne. phantom.js a’ coiseachd an aoigh airson:
Iuchraichean prìobhaideach SSH (~/.ssh/*) |
.npmrc susbaint agus rud sam bith npm_* comharran àrainneachd |
| Faidhlichean teisteanasan AWS, GCP, agus Azure |
Comharra ruigsinneachd pearsanta GitHub regex (ghp_*, gho_*, ghu_*, ghs_*) |
| Artaigilean crypto-wallet airson Bitcoin, Exodus, Electrum, Monero, Litecoin, Dogecoin, Zcash, Dash |
Ath-chuairteach .env* coisich troimhe ~/projects, ~/dev, ~/code, ~/workspace, agus an stàladh cwd |
Eachdraidh Shell agus an làn process.env |
Tha am pasgan air a phostadh chun tunail Serveo aig /cruinnichChan eil doilleireachd ann, chan eil loidsig an-aghaidh VM, chan eil àrd-ùrlar ann - tha geall an obraiche air meud agus astar.
Ìre B — Fastadh PhantomBot DDoS (2026-05-17, axois-utils:1.0.9 a-mhàin)
Ann an Ìre B, thèid phantom.js + postinstall.js a chur an àite faidhle singilte leis an ainm distrube.js (is e mearachd clò-sgrìobhaidh an obrachaiche a tha ann). Chan eil an sgafaill trì-dhùc ann am package.json air atharrachadh; tha an aon ainm, raon-obrach, agus pàtran cnap-tionndadh aig a’ phacaid. Bhon taobh a-muigh, tha coltas gu bheil axois-utils:1.0.9 na leantainn bheag air 1.0.6. A-staigh, tha e na theaghlach malware eadar-dhealaichte.
distrube.js a’ fosgladh le bloc rèiteachaidh a tha ag ainmeachadh branndadh an obrachaiche fhèin:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
Tha na beachdan air an cur gu obraiche san àm ri teachd a ruitheas an inneal (“Cleachd an URL HTTPS localhost.run agad”). Is e sin, a bharrachd air na tha ri taobh neach-dèiligidh a’ bhot, an comharra nach e dìreach luchd fulang a tha seo - is e an inneal a th’ ann.
An t-sruth:
- Fuasgladh ruitheas an toiseach. Bidh an sgriobt ga stàladh fhèin ann an trì diofar dhòighean gach OS (clàr Run + Pasgan tòiseachaidh + schtasks air Windows; crontab + seirbheis bot-phantom aonad siostam + .bashrc/.zshrc cuir ris + /etc/rc.local air Linux; LaunchAgent com.phantom.bot.plist air macOS). Tha ainm na seirbheis buan-sheasmhachd agus an leubail LaunchAgent le chèile bot-taibhse / com.phantom.bot, agus is ann às a sin a tha ainm an iomairt a’ tighinn cuideachd.
- Fiosrachadh siostam exfil a’ ruith aon uair — POST lorgan-meòir aon-shligheach gu b94b6bcfa27554.lhr.life:443/collect a’ giùlan ainm-aoigheachd, àrd-ùrlar, bogha, ainm-cleachdaiche, CPU/RAM, eadar-aghaidhean lìonra, process.env, cwd, homedir, dreach nód, agus IP poblach. Tha seo tòrr nas lugha ionnsaigheach na Ìre A: gun SSH, gun sporanan, gun ath-chuairteachadh .env. Is e obair a’ bhot clàradh, chan e goid.
- Lùb buille cridhe a’ fosgladh POST HTTPS gach 30 diog gu b94b6bcfa27554.lhr.life:443/. ’S e PhantomBot/1.0 an Àidseant-Cleachdaiche. Tha dearbhadh TLS air a dhì-cheadachadh gu soilleir (rejectUnauthorized: meallta). Tha am freagairt C2 air a pharsadh mar JSON den chruth {type, target, port, duration, threads, method} agus air a chur air falbh.
- Armlann tuilte air a cheangal ri sia òrdughan:
| Seòrsa àithne | Modal | Notaichean |
|---|---|---|
| ping | Freagairt beòthalachd | Tha am bot ga aithneachadh fhèin |
| http | Tuil HTTP | Tuil iarrtasan ìre-7 |
| https | Tuil HTTPS | An aon rud ri http, air a phasgadh le TLS |
| tcp | Tuil TCP | Spama luchdaidh air thuaiream 65 KB |
| udp | Tuil UDP | Pacaidean UDP 65,507-byte |
| luath | DoS ath-shuidheachadh luath HTTP/2 | An dòigh-obrach CVE-2023-44487 ann an 2023 |
Bidh na còig modalan tuile uile a’ gabhail a targaid, port, ùine, agus ceangal a-nall argamaid — ’s e inneal-tuileachaidh coitcheann a th’ anns a’ bot, nach eil ag amas air neach-fulang sònraichte sam bith. Tha liosta luchd-fulang an obraiche a’ fuireach air an C2, chan ann sa phacaid.
Dè a tha ùr an seo — am binary C2 a chaidh a thoirt seachad
Tha Ìre A na chumadh eòlach: goid teisteanasan, dubhan stàlaidh, C2 air a thunaileadh leis an neach-reic. Tha Ìre B cuideachd cruth eòlach — tha botnets DDoS air a bhith nam pàirt de phasganan npm droch-rùnach airson bhliadhnaichean. Is e an rud neo-àbhaisteach gun do chuir an gnìomhaiche an taobh an fhrithealaiche den phasgan taobh a-staigh tarball npm:
- c2 — dà-chànan Go ELF co-chruinnichte 4-megabyte
- c2.go — an stòr Go 426-loidhne airson a’ dhùbailte sin
Chan eil ceachtar faidhle air a ghairm le dubhan stàlaidh sam bith. Chan eil iad nam pàirt de luchd an neach-fulang. Tha iad nan suidhe anns an eòlaire pacaid san aon dòigh ri faidhle sgrìobhainnean. Is e an leughadh as coltaiche gun do phut an gnìomhaiche an craobh-obrach leasachaidh aca gu npm gun liosta nam faidhlichean a thaghadh - mearachd OpSec fìor - agus is e an rud a chaidh a lìbhrigeadh an inneal dà-thaobhach iomlan: an neach-dèiligidh a bhios an neach-fulang a’ ruith, agus am frithealaiche a bhios an gnìomhaiche a’ ruith.
Seo am pàirt den sgeulachd a tha a’ fìreanachadh frèamadh “inneal botnet deiseil”. Duine sam bith a luchdaich sìos e axois-utils:1.0.9 chan e a-mhàin sampall den neach-fulang a th’ ann mus tèid an toirt sìos - tha frithealaiche C2 ag obair aca.
Am pivot, ann an aon seantans
An aon fhoillsichear, na h-aon ainmean pacaid, an aon sgafaill trì-dubhan, an aon bhrandadh “taibhse” - ach dh’atharraich an luchd-pàighidh modail monetization thar oidhche: bho “dìomhaireachdan buain as urrainn dhomh ath-reic” gu “comas tuile a thoirt air màl as urrainn dhomh a thoirt air màl”. Tha na TTPn aig àm an stàlaidh a bu chòir do luchd-dìon a bhith a’ cumail sùil orra cha mhòr co-ionann thar an dà ìre; dìonan stèidhichte air ainmean-sgrìobhte ceangailte ri sreangan slighe-wallet Ìre A no gu phantom.jsBhiodh neach-cruinneachaidh 7,667-loidhne air Ìre B a chall gu tur.
| Ceann-latha (UTC) | tachartas |
|---|---|
| 2026-05-15 | A’ chiad fhoillseachadh: axois-utils:1.0.4 (Togail deuchainn LAN, inneal leasachaidh aig 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 foillsichte — Ìre A C2 air a ghluasad gu 80.200.28.28 tro thunail Serveo; beachd an stòrais // Change to '80.200.28.28' for public a’ dearbhadh an iomlaid dev→prod |
| 2026-05-16 | chalk-tempalte:1.0.14 agus 1.0.16 foillsichte — luchdair slabhraidh ag aithris axois-utils:^1.0.7 mar eisimeileachd rè ùine; fo-àrainn Serveo air a rothlachadh |
| 2026-05-16 | Chaidh iomairt Ìre A a lorg rè sganadh àbhaisteach npm; chaidh breithneachaidhean droch-rùnach dearbhte a chur an sàs |
| 2026-05-17 | axois-utils:1.0.9 foillsichte — pivot luchd-pàighidh: fastadh PhantomBot DDoS tro thunail localhost.run; taobh an obraiche c2 dà-chànanach agus c2.go stòr air a chur sa tarball |
| 2026-05-17 | chalk-tempalte:1.0.19 agus 1.0.20 foillsichte — fhathast Ìre A (goideadair); an gnìomhaiche a-nis a’ ruith an dà mhodal aig an aon àm |
| 2026-05-17 | Lorg Ìre B rè sganadh àbhaisteach; breithneachaidhean air an cur an sàs thar gach nì 2026-05-17 tionndaidhean |
| (a’ dol air adhart) | Aithisgean toirt air falbh ri thighinn; tha na ceithir pacaidean foillsichte fhathast rim faighinn air a’ chlàr aig àm sgrìobhaidh |
Comharran Co-rèiteachaidh
pasgain
| Ceanglaichean taic | pasgan | dreachan |
|---|---|---|
| npm | axois-utils (typosquat de axios) | 1.0.4, 1.0.6, 1.0.9 |
| npm | chalk-tempalte (typosquat de theamplaid cailce) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
Dearbh-aithne an ùghdair
| Field | luach |
|---|---|
| foillsichear npm | deadcode09284814 |
| Post-d an fhoillsichear | phantomdeadcode@tutamail.com |
| SCM fìreanachadh | chan eil gin |
Òrdugh-agus-smachd
| Ceum | Pàirt deireannach | Còmhdhail |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | Tunail HTTPS Serveo |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | Tunail HTTPS Serveo (tionndadh na bu tràithe) |
| A | 80.200.28.28:443/collect | Ceann-uidhe VPS bunaiteach |
| B | b94b6bcfa27554.lhr.life:443/ | localhost.run HTTPS reverse-tunnel |
Geàrr-chunntasan faidhle (SHA-256)
| File | SHA-256 | Notaichean |
|---|---|---|
c2 (Rach gu ELF, 4 MB) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | Frithealaiche C2 taobh an obraiche, air a lìbhrigeadh a-staigh axois-utils:1.0.9 |
c2.go (426 loidhne) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | Rach don stòr airson an dà-chànan C2 |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | Neach-dèiligidh bot Ìre B |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | Teisteanas Ìre A / neach-cruinneachaidh wallet |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | Neach-cruinneachaidh Ìre A (caochladh 1.0.20) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | Luchdadair Ìre A, co-ionann ri byte thar an dà dhreach |
Cur às do Bhrosnachadh &
Bidh sinn a’ cumail sùil air an iomairt seo mar Taibhse Bot, a’ gabhail branndadh an gnìomhaiche fhèin bhon Àidseant-Cleachdaiche: PhantomBot/1.0 ceann-cinn cridhe, an seirbheis bot-phantom aonad siostamach, an com.phantom.bot leubail LaunchAgent, agus an còd-mharbh-phantom@ làmh puist-d. Tha an gnìomhaiche cunbhalach mun ainm seo thar co-dhiù ceithir nithean.
Catalog chomharran
- Air fhoillseachadh le - còd-mharbh09284814 air npm. Cunntas aon-làimhseachaidh, post-d cuidhteasach Tutamail, chan eil SCM dearbhadh. Gun eachdraidh foillseachaidh roimhe seo nas fhaide na an iomairt seo.
- Ath-chleachdadh brandaidh — nochdaidh “phantom” ann am post-d an fhoillsichear, ann an ainm faidhle cruinneachaidh Ìre A (phantom.js), ann an ainm seirbheis buan-sheasmhachd Ìre B (seirbheis bot-phantom), anns an leubail LaunchAgent (com.phantom.bot), agus anns a’ bot Cleachdaiche-Àidseant (Bot-Taibhse/1.0).
- Bun-structair — Aon VPS aig 80.200.28.28 a’ toirt aghaidh air Ìre A tro chuairteachadh fo-àrainn Serveo; gluaisidh Ìre B gu a ruith aoigh ionadail tunail-ais (b94b6bcfa27554.lhr.beathaTha an dà sheirbheis solaraiche an-asgaidh agus chan fheum iad ach SSH a-mach air taobh an obrachaiche, a rèir rèiteachaidhean buidseit ìosal, OpSec ìosal.
- stoidhle còd — JavaScript sìmplidh air feadh; gun mhearachd, gun chòdachadh sreang, gun sgrùdaidhean an-aghaidh VM. Tha ainmean caochladairean tuairisgeulach (goidFiosrachadhSiostaim, cuir an gnìomh an Àithne, httpTuilBeachdan ann an distrube.js cuir fios gu dìreach gu obraiche san àm ri teachd (“Cleachd an URL HTTPS localhost.run agad”), a’ moladh gun robh am faidhle an dùil ath-sgaoileadh mar phasgan, gun a bhith air a chleachdadh le aon ionnsaighear.
- Sleamhnag OpSec — Bidh an tarball Ìre B a’ cur an dà chuid an neach-dèiligidh bot agus am frithealaiche C2 taobh an obraiche (c2 ELF + c2.go stòr). Tha seo a’ freagairt ri gnìomhaiche a phut an craobh-obrach aca gu npm gun sgrùdadh a dhèanamh air an liosta fhaidhlichean. Chan eil eòlas aig an gnìomhaiche, no chan eil an inneal ceart. ciallachadh ri sgaoileadh gu poblach agus tha am faidhle dà-chànanach C2 nam pàirt den toradh.
- Fèin-dhearbhadh - axois-utils:1.0.4 anns a bheil beachd an stòrais // Atharraich gu '80.200.28.28' airson a' phobaill air loidhne 12, a’ dearbhadh an adhartais leasachaidh / àrd-ùrlair / cinneasachaidh a bhios luchd-obrachaidh mar as trice a’ diùltadh.
Adhbharan
Tha luchd Ìre A na ghoid ionmhais dhìreach: tha margaidhean ath-reic leachtach aig teisteanasan, iuchraichean sgòthan, comharran GitHub, agus wallets crypto uile. Tha Ìre B cuideachd ionmhaiseach, ach neo-dhìreach: bidh seirbheisean DDoS-air-mhàl (“booter”) a’ màl comas tuilte gach mionaid, agus is e bots mar an tè a chaidh a chuir an seo an clàr-stuthan air a bheil na seirbheisean sin ag obair. Am buille cridhe 30-diog, an ginealach targaid/port/ùine sgeama àithne, agus an arsenal tuilte còig-phròtacal an standard toradh gnìomhaiche booter.
A’ ruith an dà mhodal aig an aon àm — teamplaidean-cailc: 1.0.19 agus 1.0.20 lean ort a’ cur an goideadair air falbh fhad ’s a axois-utils:1.0.9 a’ cur a’ bhot air falbh — a’ moladh gu bheil an gnìomhaiche a’ dìon sruthan teachd-a-steach seach a bhith a’ trèigsinn Ìre A. Tha am pivot na bharrachd, chan e àite.
Na rudan nach eil sinn ag agairt
Cha b’ urrainn dhuinn dearbh-aithne san t-saoghal fhìor a dhearbhadh air cùl an còd-mharbh09284814 làmh, agus chan eil sinn a’ cur an iomairt seo às leth cleasaiche, buidheann no dùthaich bagairt ainmichte sam bith. Tha am branndadh “phantom” cunbhalach gu leòr thar artaifeactan gus aon ghnìomhaiche a mholadh, ach tha lìbhrigeadh stoidhle pasgan den dà-chòd C2 a’ fàgail a’ chothruim gum bi pacaidean san àm ri teachd bho làmhan neo-cheangailte ag ath-chleachdadh an aon chòd.
Buaidh, Gluasadan & Na Bu Chòir do Luchd-dìon a Dhèanamh
Buaidh
Na targaidean squat dligheach axios agus teamplaid cailce air an earbsa gu mòr ann an eag-shiostam JavaScript; axios leis fhèin am measg nan trithead pasgan npm as motha a chaidh a luchdachadh sìos. Tha na h-ainmean typosquat aon bhrùthadh iuchair air falbh bho na fìor fheadhainn (axois ↔ axios, teamplaidean ↔ teamplaid), agus tha an dà chuid nan litreachadh ceàrr a tha reusanta a thaobh cànain.
Cha b’ urrainn dhuinn staitistig earbsach luchdachadh sìos fhaighinn airson nan dreachan droch-rùnach mus deach an toirt air falbh — chan eil npm a’ cumail cunntasan luchdachadh sìos gach dreach às deidh pasgan a bhith air fhoillseachadh, agus npms.ioTha progsaidhean stoidhle -fuaimneach aig an sgèile seo. Buidheann sam bith aig a bheil am faidhle glasaidh a’ fuasgladh gu pasgan leis an ainm axois-utils or teamplaidean cailce bhon fhoillsichear còd-mharbh09284814 bu chòir a làimhseachadh mar rud a chaidh a mhilleadh: rothlaich gach teisteanas a tha an làthair ann an pròiseas.cèin air an aoigh air a bheil buaidh, dèan sgrùdadh air vectaran buan-sheasmhachd gach OS (faic “Dè bu chòir do luchd-dìon a dhèanamh” gu h-ìosal), agus thoir air falbh an eisimeileachd.
Pàtrain a tha a’ tighinn am bàrr
Tha an iomairt seo na eisimpleir de ghluasad a chunnaic sinn ann an grunn thachartasan npm o chionn ghoirid: ’S e an sgafaill dubhan-stàlaidh an so-mhaoin mhaireannach; tha an luchd so-mhalairteachAn aon fhoillsichear, an aon phacaid, an aon rud ro-stàladh / stàlaich / às dèidh an stàlaidh trì-fhillte, agus eadhon an aon ruitheam dreach-bump — an aon rud a dh’atharraich eadar axois-utils:1.0.6 agus axois-utils:1.0.9 an robh am faidhle hooks ruith. Lorg stèidhichte air ainm-sgrìobhte air a chur ris an luchd Ìre A (sreangan slighe-wallet, phantom.jsBhiodh neach-cruinneachaidh 7,667-loidhne, an aoigh Serveo C2) air na trì dreachan tùsail a chomharrachadh agus Ìre B a chall gu tur.
Tha an aon phàtran ri fhaicinn thar iomairtean eile ann an 2026 a tha sinn air a leantainn: aon ghnìomhaiche le sgafaill sheasmhach, ag iomlaid eadar goid teisteanasan, teachdaichean meallta deuchainnean, Telegram-bot exfil, agus a-nis fastadh DDoS. Cumaidh luchd-dìon a bhios an urra ri ainmean-sgrìobhte luchd-pàighidh a’ call an dàrna cuairt de gach iomairt.
Is e an co-dhùnadh gu bheil ’S e TTPan aig àm an stàlaidh an comharra as fheàrrDearbhaidhean trì-fhillte stàlaidh-dubhan, sgriobtaichean stàlaidh a bhios ag iompòrtadh https or pròiseas_chloinne, stàlaich sgriobtaichean a sgrìobhas gu pasganan tòiseachaidh an neach-cleachdaidh, agus stàlaich sgriobtaichean a dh’fhuasglas ainmean aoigheachd air seirbheisean tunail cùil an-asgaidh (Serveo, ruith aoigh ionadail, ngrok, cloudflared) uile tearc ann am pasganan dligheach agus cumanta ann am pasganan droch-rùnach.
Dè bu chòir do luchd-dìon a dhèanamh
- Sgrùdadh faidhle glasaidh. Lorg gach glas-pacaid.json / snàth.glas / glas-pnpm.yaml anns a’ bhuidhinn agad airson nan sreangan ceart axois-utils agus teamplaidean cailce. Làimhsich maids sam bith mar cho-rèiteachadh.
- Cuairtich dìomhaireachdan air aoighean air a bheil buaidh. Teisteanasan SSH, sgòthan, GitHub, npm, agus wallet air an cruinneachadh ann an ìre A. Gabh ris gu bheil a h-uile teisteanas a-riamh an làthair ann an pròiseas.cèin, ~ / .ssh, ~/.aws, ~/.npmrc, ~/.config, no gin .cèis* tha faidhle air an aoigh air a bheil buaidh fosgailte.
- Thoir air falbh buanseasmhachd (Ìre B). Air Windows, cuir às HKCU\Software\Microsoft\Windows\Làithreach\Ruith\Ùrachadh Siostaim, cuir às %APPDATA%\Microsoft\Windows\Clàr-taice Tòisich\Prògraman\Tòiseachadh\siostam-ùrachadh.bat, agus schtasks /sguab às /tn Ùrachadh Siostaim /fAir Linux, crontab -e agus cuir às @nòd ath-thòiseachaidh …, systemctl – cuir às do neach-cleachdaidh – a-nis phantom-bot.service an uairsin cuir às ~/.config/systemd/user/phantom-bot.service, sgrìob .bashrc / .zshrc / /etc/rc.localAir macOS, dì-luchdaich launchctl ~/Leabharlann/LaunchAgents/com.phantom.bot.plist an uairsin cuir às don plist.
- Cuir bacadh air na h-aoighean C2. Cuir na ceithir puingean-crìochnachaidh C2 anns a’ chlàr IOC ris an liosta bacaidh egress agad. *.serveousercontent.com agus *.lhr.beatha faodar a bhacadh gu mòr mura h-eil feum dligheach aig an àrainneachd agad airson seirbheisean tunail cùil.
- Sealg a rèir TTP aig àm an stàlaidh, chan e luchd. Inntrigidhean glasaidh clàr-stuthan aig a bheil pasgan.json a ’nochdadh ro-stàladh, stàlaich, agus às dèidh an stàlaidh uile a’ comharrachadh an aon sgriobt. Dèan crois-sgrùdadh an aghaidh aois a’ phacaid agus inbhe dearbhaidh an fhoillsichear. Tha am pàtran seo tearc ann am pasganan dligheach agus is e an comharra as earbsaiche a bhios PhantomBot ag ath-chleachdadh.
- Sgrùdadh airson an dà-chànan C2. Duine sam bith a luchdaich sìos axois-utils:1.0.9 aig a bheil frithealaiche C2 an obrachaiche (c2 ELF, sha256 165fa92d…) air diosg. Sgan tasgadan agus stòran artifact CI. Tha am binary neo-ghnìomhach leis fhèin, ach tha a làthaireachd air stèisean-obrach na fhianais shoilleir gun deach am pasgan a stàladh.
Loidhne dùnaidh
Faodaidh an aon obraiche, an aon phacaid, agus an aon dubhan stàlaidh bagairtean gu tur eadar-dhealaichte a lìbhrigeadh taobh a-staigh 48 uairean. Coimhead air an sgafaill, chan e an luchd.
