TL; DR
Pasgan PyPI leis an ainm smachd-chli chuir iad a-mach inneal ruigsinneachd iomallach Windows coileanta: clàradh stròcan-iuchrach, glacadh camara-lìn agus micreofon, sgrùdadh clàr-bhòrd, ruigsinneachd teisteanas brabhsair, smachd sgrion, buanseasmhachd, àrdachadh sochairean, agus "140+ àithne" fèin-shanasaichte. Cha do chuir e falach air na bha ann: mhìnich geàrr-chunntas PyPI a’ phacaid fhèin e mar "Inneal ruigsinneachd iomallach tro npoint.io".
Is fhiach stad a chuir air an abairt sin "tro npoint.io." An àite a bhith a’ fònadh dhachaigh gu frithealaiche sònraichte, chaidh an implant a chleachdadh puing[.]io (seirbheis an-asgaidh, dligheach airson sgrìobhainnean beaga JSON a chumail) mar an ath-chraoladh àithne is smachd aige. Bidh an gnìomhaiche a’ sgrìobhadh òrduighean a-steach do bhin JSON; bidh an implant a’ sgrùdadh a’ bhin sin, ga chur an gnìomh, agus a’ sgrìobhadh thoraidhean air ais. Gun àrainn leis an ionnsaighear ri bhacadh, gun IP ùr ri chomharrachadh: thèid an trafaic gu seirbheis a bhios luchd-leasachaidh a’ cleachdadh a h-uile latha.
Chaidh sia dreachan fhoillseachadh ann an timcheall air trì uairean deug gu leth, gach fear nas comasaiche na an tè mu dheireadh. Chaidh sgòr a thoirt do gach aon dhiubh. ml_ro-innse_sàbhailte le seòrsaichear fèin-ghluasadach mus deach an teaghlach ath-sheòrsachadh le làimh mar dhroch-rùnach.
Anatomi ionnsaigh
smachd-chli a’ stàladh a’ phacaid in-mhalairt gcli, stòr-còd Python le 35 modalan. Chan eil ùine stàlaidh ann hooks — chan eil dad a’ ruith rè na h-ùine stàladh pipTha an comas a’ fuireach anns na modalan fhèin, air an gairm aon uair ‘s gu bheil an inneal a’ ruith, agus tha cruth a’ mhodail coltach ri duilleag-sònrachaidh toraidh:
’S e an sianal àithne am pàirt inntinneach. Bidh a’ mhòr-chuid de dh’innealan ruigsinneachd iomallach a’ ruighinn frithealaiche a tha fo smachd an obraiche – IP, àrainn, solaraiche aoigheachd a ghabhas aithris agus a thoirt far-loidhne. smachd-chli an àite sin a’ làimhseachadh seirbheis JSON-bin an-asgaidh mar dead-drop. Tha puing Bidh am modúl a’ leughadh agus a’ sgrìobhadh sgrìobhainnean beaga JSON air puing[.]io thairis air HTTPS àbhaisteach; an crypto/Encrypt Bidh modalan a’ pasgadh nan luchdan a chaidh iomlaid gus nach bi susbaint a’ bhin nan òrdughan teacsa soilleir. Is e ath-chraoladh crioptaichte, meadhanaichte a’ bhuaidh:
- Bidh an gnìomhaiche a’ leigeil stiùireadh (crioptaichte) a-steach do bhin JSON.
- Bidh an implant, a’ ruith air an aoigh fulangach, a’ sgrùdadh a’ bhin sin, a’ dì-chrioptachadh, a’ cur aon de na làimhsichearan àithne aige an gnìomh, agus a’ sgrìobhadh an toradh (crioptaichte) air ais.
- Ri sgrùdaiche lìonra, tha an neach-fulang dìreach a’ bruidhinn ri puing[.]io — seirbheis le adhbhar dligheach airson nochdadh ann an trafaic luchd-leasachaidh.
Chan eil luchdachadh sìos dàrna ìre ann agus chan eil luchdadair doilleir an seo: tha an comas air a lìbhrigeadh gu lèir, ann am Python a ghabhas leughadh, agus is e an aon “fhalach” an roghainn ath-chraolaidh agus crioptachadh nan luchdan ath-chraolaidh.
Is fhiach a mhìneachadh carson a tha dead-drop JSON-bin tarraingeach a thaobh obrachaidh, oir tha e a’ mìneachadh carson a tha sinn an dùil am pàtran fhaicinn a-rithist:
- Gun cheann-uidhe leis an obraiche. Chan eil àrainn C2 ann airson clàradh, chan eil VPS ann airson màl, agus chan eil dad ann airson neach-dìon no clàraiche a ghlacadh. Pasgan chan eil e a’ beantainn ris an t-sianal; toirt sìos an sianal a’ ciallachadh iarraidh air SaaS ioma-adhbharach aon sgrìobhainn a phoileasadh am measg milleanan.
- Glanadh cliù. Chan eil buaidh sam bith aig HTTPS a-mach gu seirbheis leasaiche ainmeil air cliù mar a bhiodh aig àrainn ùr no IP amh. Tha mòran de shuidheachaidhean sìolaidh egress ga cheadachadh gu neo-dhìreach.
- Neo-shioncronachd agus àicheadh. Bidh modail bhòtaidh – bidh an implant a’ faighinn sgrìobhainn aig àm sònraichte seach a bhith a’ cumail socaid fosgailte – a’ gineadh trafaic a tha coltach ri bhòtadh API cunbhalach, chan e seisean eadar-ghnìomhach. Tha crioptachadh susbaint na sgrìobhainn a’ ciallachadh gum faic eadhon anailisiche a lorgas am bin teacsa crioptaichte, chan e liosta òrduighean.
- Cuairteachadh trì-fhillte'S e atharrachadh rèiteachaidh aon-loidhne a th' ann airson an obraiche nuair a ghluaiseas tu gu bin eadar-dhealaichte, no seirbheis notaichean/pasgadh eadar-dhealaichte gu tur. Bidh liosta bacaidh sam bith a tha ceangailte ris an ath-chraoladh sònraichte sean nuair a thèid a chur.
Is e an co-rèiteachadh a tha an gnìomhaiche a’ gabhail ris an àireamh de thoraidhean a ghabhas a-steach agus an dàil: tha ath-chraoladh dead-drop nas slaodaiche agus le leud-bann nas ìsle na ceangal dìreach. Airson implant faireachais is smachd a bhios sa mhòr-chuid a’ toirt a-mach òrdughan goirid agus a’ tional thoraidhean thar ùine, tha an co-rèiteachadh sin furasta a dhèanamh.
Loidhne-tìm
Dh’fhàs an teaghlach nas miosa gu luath. Tha stampaichean-ama cruthachadh thiogaidean airson nan dreachan le bratach a’ cur an arc iomlan a chaidh fhaicinn taobh a-staigh timcheall air trì uairean deug gu leth, agus dh’fhàs àireamh fianais an sganair fhèin còmhla ris a’ chòd - bho dhà làrach le bratach anns a’ chiad dreach gu ceithir-deug anns an fhear as ùire.
Cha deach na h-àireamhan tionndaidh fhoillseachadh ann an òrdugh teann, ach tha an stiùireadh soilleir: gearradh beag an toiseach, agus an uairsin gluasad luath a dh’ionnsaigh 0.7.1 làn-ghnìomhach. Is e seo cruth pròiseict fo leasachadh gnìomhach ga phutadh gu clàr poblach mar a bhios e a’ fàs, chan e tuiteam aon-uair.
Comharran Co-rèiteachaidh
Chaidh na comharran gu h-ìosal uile a dhearbhadh an aghaidh susbaint a’ phacaid air an diosg agus sganadh comharran cinnteach de dhreach 0.7.1; chan eil gin dhiubh tuairmeasach.
Nota an neach-dìon: chan e an àrainn an comharra maireannach as làidire (bidh aoigh ath-chraolaidh a’ tionndadh gu neo-chùramach) ach an cumadhpasgan singilte a bhios a’ pasgadh trì no barrachd phrìomh eileamaidean faire-aoigheachd fa leth agus a’ stiùireadh lùb àithne/freagairt tro sheirbheis aoigheachd susbaint phoblach. Bacadh puing[.]io Chan eil e gu tur practaigeach airson a’ mhòr-chuid de bhùthan; tha e fada nas làidire rabhadh a thoirt seachad mu phròiseas ris nach robh dùil a ghlacas innealan cuir-a-steach agus a bhruidhneas ri seirbheis JSON-bin.
Giùlan is frèamadh a chaidh fhaicinn
Tha dà rud a tha a’ dèanamh an sampall seo neo-àbhaisteach, agus tha an dà chuid nan fìrinnean a ghabhas fhaicinn seach co-dhùnaidhean mu adhbhar.
Rinn e sanasachd dha fhèin. Bha geàrr-chunntas a’ phacaid a chaidh a sgaoileadh air PyPI ag ainmeachadh nan comasan ann an cànan soilleir - ruigsinneachd iomallach, smachd deasg, riaghladh luchd-cleachdaidh, camara-lìn, claisneachd, keylogger, buanseasmhachd, dàta brobhsair, WiFi, clàr, “140+ àithne.” Cha deach oidhirp sam bith a dhèanamh an còd a thoirt seachad mar neach-cuideachaidh togail, còmhdach CLI, no goireas AI-agent, agus is e sin an seòrsa falach as cumanta a chì sinn air clàran poblach. Co-dhiù a tha an fosgarrachd sin a’ nochdadh inneal sgioba-dhearg a chaidh fhoillseachadh às aonais smachdan ruigsinneachd no rudeigin eile, ’s e ceist nach eil susbaint a’ phacaid leis fhèin a’ rèiteachadh; is e an rud a tha cinnteach gu robh pasgan innealan ruigsinneachd iomallach agus sgrùdaidh coitcheann, obrachail, comasach a stàladh le duine sam bith le… pip.
Bha e stèidhichte air earbsa ann an seirbheis chaoimhneil. cleachdadh puing[.]io leis gur e an ath-chraoladh an dòigh-obrach a tha a’ mìneachadh. ’S e eisimpleir de phàtran nas fharsainge a th’ ann — a’ stiùireadh C2 tro SaaS dligheach (làraichean-lìn pasgain, bionaichean JSON, cabadaich lìnhooks, sgrìobhainnean sgòthan) gus am bi an trafaic droch-rùnach a’ measgachadh a-steach do ghnìomhachd àbhaisteach an leasaiche agus nach eil ceann-uidhe aig an obraiche ann airson grèim fhaighinn air. Bha na luchdan air an ath-chraoladh crioptaichte, agus mar sin cha bhiodh susbaint a’ bhin a’ leughadh mar òrdughan do neach-amhairc àbhaisteach.
Tha comharran an fhoillsichear tana agus coitcheann. Dh’ainmich am pasgan a Author de “luchd-tabhartais gcli” agus cead MIT, agus chomharraich e na raointean duilleag-dhachaigh agus stòr-dàta aige aig github[.] com/gcli-control/gcliChan eil gin de sin na dhearbhadh: tha sreang ùghdair na theacsa saor, chan eil ceann-sgrìobhaidh cead MIT a’ cosg dad, agus tha URL stòrais ann am meata-dhàta pacaid na thagradh, chan e dearbhadh air tùs. Is e am pàtran - ainm ùr-nodha, ùghdar coitcheann coitcheann, agus org/repo fèin-iomraidh air a chruthachadh timcheall air a’ phacaid - mar a tha pròiseact a’ coimhead nuair a thèid a stèidheachadh gu sònraichte gus an còd a ghiùlan, seach inneal stèidhichte a thachras a tha air feart smachd iomallach fhàs. Tha sinn a’ toirt fa-near iad sin mar bheachdan; tha iad a rèir, ach chan eil iad leotha fhèin a’ stèidheachadh, sgaoileadh a chaidh a thogail a dh’aona ghnothach.
Tha sinn a’ toirt cunntas air an dòigh-obrach mar dhroch-rùnach stèidhichte air comas agus lìbhrigeadh: implant ruigsinneachd iomallach agus faireachais iomlan, a ghabhas ruith, air a sgaoileadh air clàr-amais pacaid poblach le ath-chraoladh falaichte. Chan eil sinn a’ cur targaid no adhbhar air.
Buaidh, gluasadan & na as urrainn do luchd-dìon a dhèanamh
Àite dall airson triage stèidhichte air falach. Mòran iuchair triage pacaid fèin-ghluasadach air an smuaineachadh comharran de malware clàraidh àbhaisteach — blobaichean doilleir, àm stàlaidh hooks, aon-loidhne a’ buain teisteanasan. Pasgan a tha dìreach gu fosgailte mar RAT, le còd glan a ghabhas leughadh agus gun dubhan stàlaidh, chan eil gin de na comharran sin ann agus faodaidh e teicheadh seachad air heuristics a tha an dùil ri falach. Tha na comharran a ghlacas an clas seo gu earbsach structarail seach stèidhichte air falach: cunntas comas (cia mheud prìomhadail faire-aoigheachd eadar-dhealaichte a tha ann an aon phacaid) agus mion-sgrùdadh cumadh C2 (lùb àithne/freagairt air a stiùireadh tro sheirbheis aoigheachd susbaint coitcheann). Bidh na sgrùdaidhean sin a’ losgadh ge bith dè cho onarach no air a dhubhadh às tha am pacaigeadh.
An gluasad SaaS-mar-C2. Chan eil e ùr seirbheis aoigheachd dligheach a dhroch-chleachdadh mar roghainn eile, ach tha e fhathast ag obair leis gu bheil cosgais dìon bacadh na seirbheis àrd agus gu bheil cosgais oilbheumach atharrachadh sheirbheisean faisg air neoni. Bi an dùil ri barrachd dheth. Bidh dìonan lìonra a tha ceangailte ri raointean droch sònraichte a’ fàs sean sa bhad; chan eil riaghailtean giùlain (“bidh am pròiseas seo a’ leughadh a’ bhòrd-sgriobhaidh agus an camara-lìn agus an uairsin a’ bruidhinn ri API aoigheachd notaichean”) a’ fàs sean.
Sgeidse lorg concrait. Chan eil an riaghailt mhaireannach ag ainmeachadh puing[.]io idir. Tha e a’ cothlamadh dà bheachd a tha cumanta leotha fhèin ach tearc còmhla air leasaiche àbhaisteach no aoigh CI:
rabhadh nuair a bhios pròiseas singilte, taobh a-staigh aon seisean, an dà chuid:
(A) a’ faighinn cothrom air prìomhaideach faire-aoigheachd — inneal cuir-a-steach (dubhan meur-chlàir/luchaige), camara, micreofon, glacadh-sgrìn, lùb leughaidh clàr-bhòrd, no stòr teisteanasan brabhsair ("Login Dàta" / "Stàit Ionadail" / DPAPI); AGUS
(B) a’ dèanamh iarrtasan a-mach gu seirbheis aoigheachd-susbaint / pasgain / JSON-bin / chat-webhook poblach agus an uairsin gan togail airson ath-sgrùdadh, ge bith dè an t-seirbheis shònraichte ann an (B).
Chan eil leth dhiubh amharasach leotha fhèin: gu leòr innealan dligheach a’ glacadh-sgrìn, agus gu leòr a’ postadh JSON gu API aoigheachd. Is e an ceangal taobh a-staigh aon phròiseas geàrr-ùine an comharra, agus mairidh e cuairteachadh sealaidheachd sam bith.
Ceumannan practaigeach airson sgiobaidhean:
- Làimhsich stàlaidhean pasgan poblach air luchd-leasachaidh agus aoighean CI mar chrìoch cur an gnìomh, chan e goireasachd — tha RAT air àidseant togail na RAT leis na dìomhaireachdan agad.
- B’ fheàrr leam sgàthanan a-staigh air an liosta cheadaichte; cha bu chòir pasgan a tha air ainmeachadh gu litireil airson smachd iomallach agus a tha a’ toirt cunntas air keylogger fuasgladh fhaighinn air clàr-amais corporra a-riamh.
- Rabhadh air an measgachadh — inneal-ionchuir no glacadh-sgrìn a bharrachd air trafaic a-mach gu seirbheis susbaint/paste/bin JSON — seach air aon phrìomhaideach sam bith, aig a bheil cleachdaidhean neo-chùramach leis fhèin.
- Na bi an urra ri sgòr “sàbhailte” fèin-ghluasadach mar bhreith crìochnachaidh airson pacaidean le comas ruigsinneachd farsaing don aoigh; stiùir iad gu ath-sgrùdadh daonna.
Chaidh an teaghlach phasgan a sheòrsachadh mar dhroch-rùnach agus chaidh a chur air adhart airson a thoirt air falbh bhon chlàr. Leis nach eil C2 stèidhichte air ath-chraoladh a’ fàgail aoigh sam bith leis an obraiche gu toll-dol fodha, tha an luach dìon maireannach anns a’ lorgan-meòir giùlain gu h-àrd, chan ann an inntrigeadh singilte sam bith air an liosta bacaidh.
