TL; DR
Tha fichead pasgan npm a chaidh fhoillseachadh thar dà latha aig deireadh an Iuchair agus toiseach an Lùnastail 2026 gan taisbeanadh fhèin mar leabharlannan co-phàirtean UI a-staigh agus goireasan backend co-roinnte. Chan eil gin dhiubh a’ cur an gnìomh an comas-gnìomh a tha iad a’ sanasachadh. Bidh gach fear a’ cur clas stub, README a tha a’ toirt cunntas air a’ phacaid mar a tha a-staigh, agus faidhle leis an ainm. _polyfill.js.
Is e am pàirt inntinneach càite an deach am faidhle sin a ghairm. Chan e dubhan stàlaidh a th' ann — chan eil na manifestaichean ag ràdh ro-stàladh, stàladh, no iar-stàladh idir. An àite sin, an loidhne mu dheireadh de index.js Leugh: try { require("./_polyfill"); } catch (_) {}Bidh an luchd a’ ruith a’ chiad uair a bhios còd an tagraidh a’ toirt a-steach am pasgan. A’ stàladh le --ignore-scripts, a ' standard comhairle airson lùghdachadh nochdadh slabhraidh solair aig àm stàlaidh, chan eil e a’ cur casg air.
Dè _polyfill.js Is e an rud a nì e faidhle so-ghnìomhaichte sònraichte don àrd-ùrlar fhaighinn bho aon de thrì aoighean Cloudflare Workers, a sgrìobhadh gu eòlaire sealach fo ainm air thuaiream, a chomharrachadh mar fhaidhle so-ghnìomhaichte, agus a chuir air bhog air leth bhon phròiseas phàrant. Tha am faidhle so-ghnìomhaichte sin fhèin na luchdadair: bidh e ag àireamhachadh thoraidhean tèarainteachd ceann-uidhe a rèir ainm a’ phròiseis, a’ sgrùdadh an ainm-cleachdaiche làithreach an aghaidh cunntasan àrainneachd anailis aithnichte, a’ càradh eadar-aghaidhean telemeatraidh AMSI agus ETW sa chuimhne, a’ stàladh buanseasmhachd fo ainm co-phàirt claisneachd Windows, agus a’ faighinn air ais treas binary grunn megabytes ann am meud. Ruigidh an treas ìre crioptaichte agus tha e air a dhì-chrioptachadh agus air a chur an gnìomh sa chuimhne seach a bhith air a sgrìobhadh gu diosg.
Air 1 Lùnastal, timcheall air ceithir uairean a thìde às dèidh dha na pacaidean a bhith air an dearbhadh mar mhì-rùnach às dèidh ath-sgrùdadh làimhe, chaidh naoi-deug de na fichead ainm a thoirt air falbh bho npm leis an fhoillsichear aca fhèin ann an sreath fichead ’s a còig diogan. Air 2 Lùnastal chaidh aon de na h-ainmean sin a chlàradh a-rithist - le cunntas eadar-dhealaichte, leis an aon chòd. Bha am bun-structar lìbhrigidh a’ frithealadh nan trì ìrean nuair a chaidh seo a sgrìobhadh.
| pasgain | 20 ainm npm, ~74 dreachan foillsichte |
| A’ cur ainmean air cuspairean | beaver-ui-* (13), accounts-* (3), a bharrachd afisha-storybook-default, bcore-bravo-eslint-config, arbocrate-sla-prober-arbocrate-sla-prober-core, a.poltoradnev-package-c |
| adhbharachaidh | In-mhalairt mhodail (require), chan e sgriobt cearcall-beatha npm a th’ ann |
| Ìre 1 | _polyfill.js — faighinn air ais agus cur air bhog |
| Ìre 2 | Luchdadair ceangailte gu statach, pacaichte le UPX air Linux; àireamhachd tèarainteachd-crìochnachaidh, pasgadh AMSI/ETW, buan-sheasmhachd |
| Ìre 3 | beacon_linux.bin / beacon_mac.bin / update_win.exe, 4–13 MB; air a lìbhrigeadh crioptaichte, air a chur an gnìomh sa chuimhne |
| Àrd-ùrlaran | Linux x64 agus arm64, macOS uile-choitcheann, Windows x64 |
| Foillsichearan | Dà chunntas, aon stòr-còd |
| inbhe | 19 de 20 ainm gun fhoillseachadh leis an obraiche; 1 air ath-fhoillseachadh agus beò; bun-structar lìbhrigidh beò |
Anatomi ionnsaigh
Ìre 1 — am pasgan
Bidh gach ball a’ cur an aon chumadh trì-fhaidhlichean. clàr-amais.js a’ cur clas às-mhalairt le init () a shuidhicheas boolean, a dreach(), Agus rèiteachadh() a bhios a’ cothlamadh nì roghainnean. Chan eil dad eile ann. README.md a’ toirt seachad loidhne stàlaidh, a a dhìth loidhne, agus an seantans “Pasgan a-staigh. Faic CONTRIBUTING.md airson stiùiridhean” — A’ TABHARTAS.md chan eil e anns an tarball.
_polyfill.js beagan nas lugha na 5 KB agus tha e a’ leughadh mar chòd bun-structair àbhaisteach. Bidh e a’ fosgladh le trì sgrùdaidhean àrainneachd:
if (process.env.DISABLE_TELEMETRY ||
process.env.ANALYTICS_OPT_OUT ||
process.env.DO_NOT_TRACK)
return;’S e smachdan prìobhaideachd àbhaisteach a th’ anns na caochladairean sin. An seo bidh iad a’ dearbhadh a bheil faidhle binary air a luchdachadh sìos agus air a chur an gnìomh. Inneal a shuidhicheas NA_TRAC_ air a sheachnadh gu tur.
An ath rud thig stampa ruith-aon uair: faidhle aig /tmp/.staid_anailis, no staid_anailiseachd fo % TEMP% air Windows, agus an ùine atharrachaidh air a choimeas ri uinneag 20,357 diog. Taobh a-staigh na h-uinneige sin, bidh am modúl a’ tilleadh sa bhad, agus mar sin bidh ath-in-mhalairt rè togail a’ cruthachadh aon oidhirp air ais-ghairm seach dusanan.
Chan eil na h-aoighean ceann-uidhe an làthair mar litrichean. Tha iad air an cruinneachadh aig àm ruith bho bhloighean:
["oob-worker.cf102-","baf.workers.d","ev"].join("") Tha trì aoighean air an togail san dòigh seo agus air an measgachadh mus tèid an cleachdadh, agus mar sin bidh an òrdugh ag atharrachadh gach gnìomh. 'S e HTTPS GET a th' ann an ais-ghairm a tha air a phronnadh ri IPv4 le a Àidseant cleachdaiche of nód-fetch/2.6 — luach reusanta airson pròiseas Node a leigeil ma sgaoil. Thèid freagairt fo 1,000 bytes a thilgeil air falbh agus thèid an ath aoigh fheuchainn.
Ma dh’fhailicheas an trì, bidh am modúl a’ tilleadh gu DNS. Bidh e a’ cur a-mach iarrtas TXT airson c. gus àireamh phìosan fhaighinn, an uairsin iarrtasan 0. tro n. ann am baidsean de dheich, a’ ceangal nam freagairtean ri chèile, agus a’ dì-chòdachadh an toraidh le base64. Bidh an t-slighe seo a’ giùlan an aon ghnìomhaiche thairis air clàran DNS TXT, a mhaireas ann an àrainneachdan far a bheil HTTP a-muigh air a shìoladh ach nach eil rùn DNS.
Tha na bytes a chaidh fhaighinn air ais air an sgrìobhadh gu /var/tmp/.cache_<8-hex> air Unix, no %TEMP%\dotnet_diag_<8-hex>.exe air Windows — ainm faidhle a leughas mar nì-ealain breithneachaidh .NET. Air Unix, thèid modh 0755 a thoirt don fhaidhle. Is e an cur air bhog sìolachadh le neo-cheangailte: fìor, stdio: “leig seachad”, agus neo-iomradh(), agus mar sin bidh am pàiste beò nas fhaide na am pròiseas Node a thòisich e; air Windows cuiridh an gairm ris uinneaganFalaich: fìor.
Tha dà mhion-fhiosrachadh a’ crìochnachadh an dealbh. Neach-cuideachaidh air a mhìneachadh mar const _l = (…a) => pròiseas.stderr.sgrìobh(“”) air a ghairm aig gach ceum den ath-lorg — sgrìobhas e sreang falamh agus tilgidh e air falbh na h-argamaidean aige, a’ gabhail an t-suidheachaidh far am biodh logadh. Agus cuiridh gach pasgan faidhle 81 KB aig lib/telemetry.js aig a bheil beachd ceann-sgrìobhaidh a’ toirt cunntas air “Analytics SDK” le “còmhdhail HTTPS le cuairteachadh is ath-thadhal crìochnachaidh” agus “lorg seirbheis stèidhichte air DNS airson failover”. Chan eil feum air san togail làithreach.
Ìre 2 — an luchdadair
’S e faidhle ELF ceangailte gu statach a th’ anns a’ bhinary Linux x64 air a dhlùthadh le UPX 3.96. ’S e faidhle binary uile-choitcheann a th’ anns an togail macOS a tha a’ còmhdach x86_64 agus arm64; ’s e faidhle so-ghnìomhaichte PE32+ air a rùsgadh a th’ anns an togail Windows. Chaidh an ceathrar fhaighinn air ais agus a sgrùdadh gu statach; cha deach gin dhiubh a chur an gnìomh.
Tha clàr nan in-mhalairt agus nan sreangan ann an togail Windows a’ toirt cunntas soilleir air a ghiùlan. Bidh e a’ fuasgladh IsDebuggerPresent, CheckRemoteDebuggerPresent, agus Pròiseas Fiosrachaidh NtQuery, agus a’ leughadh SIOSTAM\SetSmachdLàithreach\Seirbheisean\Diosg\Àireamh-liosta — slighe clàraidh aig a bheil luachan a’ comharrachadh smachdairean diosc brìgheil. Bidh e a’ gairm FaighDiskFreeSpaceExW agus InbheCuimhneCruinneilEx, a rèir ri bhith a’ sgrùdadh a bheil goireasan an aoigh a’ freagairt ri eisimpleir anailis geàrr-ùine.
Tha liosta de dh’ainmean-cleachdaiche ann: Cleachdaiche Làithreach, Rianachd IT, Hong Lee, Bogsa-deuchainn, hapubws, milozs, Tìmidh, admin, malware, Co-theacsa, bhìoras, àrainneachdTha grunn dhiubh sin nan seann stuthan de dh’àrainneachdan anailis a chaidh a chlàradh gu poblach.
Tha liosta ann cuideachd de thoraidhean tèarainteachd ceann-uidhe agus ainmean nam pròiseasan aca, air an àireamhachadh tro CruthaichInneal-cuideachaidh32Dealbh-sgrìn agus Pròiseas32FirstW/Pròiseas32Air adhartW:
- CrowdStrike Falcon (
csfalconservice,CSFalconContainer) - Carbon dubh (
cb.exe) - Cothromachd (
cylancesvc.exe) - Bitdefender (
bdagent.exe) - Kaspersky (
avp.exe,kavfs.exe) - Trend Micro agus Tèarainteachd Deep (
coreServiceShell,ds_agent.exe) - FireEye/Trellix (
xagt.exe) - Tanium (
taniumclient.exe) - Hitmanpro (
hmpalert.exe) - SÙBAILTE (
elastic-agent.exe,elastic-endpoint,filebeat.exe,winlogbeat.exe) - Wazuh agus OSSEC (
wazuh-agent.exe,ossec-agent.exe) - Rannsaich:
- Windows Defender
Tha dà shamhla eile ann: AmsiScanBuffer, am puing inntrigidh a nochdas Windows airson sganadh susbaint sa chuimhne, agus SgrìobhadhTachartasEtw, an gnìomh tro am bi Event Tracing airson Windows a’ clàradh thachartasan. Tha an dà chuid nan targaidean cumanta airson atharrachadh sa phròiseas a chuireas casg air an telemeatraidh a bhiodh na h-eadar-aghaidhean sin a’ gineadh air dhòigh eile.
Nochdaidh buan-sheasmhachd dà uair air Windows. Thèid lethbhreac a dhèanamh den fhaidhle dhùbailte gu %APPDATA%\Microsoft\Windows\Themes\SystemSoundsService.exe, agus dà dhòigh-obrach ga ainmeachadh: luach fo BATHAR-BOG\Microsoft\Windows\TionndadhLàithreach\Ruith, agus gnìomh clàraichte clàraichte mar
schtasks /Create /F /SC ONLOGON
/TN "\Microsoft\Windows\Multimedia\SystemSoundsService"
/TR "\"%s\""
/RL HIGHESTTha slighe na h-obrach, ainm na h-obrach, agus ainm an obrachaidh a ghabhas cur an gnìomh uile a’ nochdadh fìor cho-phàirt claisneachd Windows. /RL AS ÀIRDE ag iarraidh an ìre sochair as àirde a tha ri fhaighinn.
Tha an togail macOS a’ leantainn an aon phàtran le ainmean iomchaidh don àrd-ùrlar: bidh e a’ sgrìobhadh liosta thogalaichean gu ~/Leabharlann/LaunchAgents/com.apple.windowserver.helper.plist agus cuiridh e a ghnìomhaiche aig ~/.ionadail/roinn/ùine-ruith/com.apple.ùine-ruithBidh e a’ dèanamh cinnteach gu bheil /Tagraidhean/VMware Fusion.app agus /Leabharlann/Taic Iarrtasan/Innealan VMware.
Tha comas lìonra a’ dol thairis air trì còmhdhail: WININET.dll airson HTTPS le a https://%s:%d%s sreang cruth, WS2_32.dll socaidean, agus DNSAPI.dll le DnsQuery_A ri taobh ri c.%s.%s sreang cruth — an aon chumadh ceiste cunntaidh-chunbhalach a bhios a’ chiad ìre a’ cleachdadh.
’S e an tuairisgeul gu h-àrd na tha in-mhalairt, sreangan, agus slighean clàraidh a’ sealltainn nuair a thèid an dà-fhaidhle a sgrùdadh. Bidh mion-sgrùdadh poblach ioma-einnsean den aon shamhla Windows a’ cur mion-fhiosrachadh ris nach urrainn leughadh statach de chlàr in-mhalairt a stèidheachadh leis fhèin, agus tha e air a thoirt seachad an seo seach ath-aithris mar bheachdan pearsanta. Tha an sgrùdadh sin ag aithris nach eil na h-iomraidhean AMSI agus ETW dìreach air am fuasgladh ach air am pasgadh — AmsiScanBuffer in amsi.dll agus SgrìobhadhTachartasEtw in ntdll.dll — a chuireas casg air sganadh susbaint sa chuimhne agus lorg thachartasan airson a’ phròiseis. Bidh e ag aithris nan sgrùdaidhean an-aghaidh anailis mar sgrùdaidhean stèidhichte air ùine a bharrachd air CheckRemoteDebuggerPresent, agus a’ comharrachadh an Co-theacsa GetThread gairm mar sgrùdadh puing-brisidh bathar-cruaidh a’ leughadh nan clàran dì-bhugachaidh. Bidh e cuideachd ag aithris mutex aon-eisimpleir, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}, agus ainmean SeirbheisFhuaimean an t-Siostaim mar luach an iuchair-ruith. Cha robh an luach mutex sin am measg nan sreangan a chaidh fhaighinn air ais an seo — cha do chuir an criathrag às-tharraing a chaidh a chleachdadh a-steach comharran heics-cheàrnach le litrichean mòra — agus tha e air a chlàradh anns a’ chlàr chomharran air neart na mion-sgrùdaidh phoblaich sin seach amharc dìreach.
Ìre 3
Tha an luchdadair a’ toirt iomradh air seata eile de shlighean air na h-aoighean ceudna. Bha iad uile ruigsinneach rè an anailis: beacon_linux.bin aig 5.3 MB, beacon_mac.bin aig 13.3 MB, ùrachadh_buannachd.exe aig 10.3 MB, agus gàirdean.bin aig 4.3 MB. Cha deach iad sin fhaighinn air ais, agus chan eil fios ciamar a bhios iad ag obair.
Airson slighe Windows, tha mion-sgrùdadh poblach den luchdair a’ mìneachadh mar a thèid an treas ìre sin a làimhseachadh: thèid a thoirt thairis air WinINet, ruigidh e crioptaichte, agus thèid a dhì-chrioptachadh sa chuimhne agus a chur an gnìomh gu meòrachail - cuimhne air a riarachadh, in-mhalairt air a rèiteachadh, ath-ghluasaidean air am pròiseasadh, agus smachd air a thoirt do shnàthainn ùr troimhe. CruthaichSnàthAir an adhbhar sin, cha tèid an treas ìre a sgrìobhadh a-riamh chun t-siostam faidhle, agus mar sin chan eil dad aig lorg stèidhichte air faidhlichean agus fòrensic diosc às dèidh tachartas ri fhaighinn air ais bhuaithe. Tha e cuideachd a’ ciallachadh gum biodh faighinn air ais na bytes bhon aoigh lìbhrigidh a’ toirt a-mach teacsa crioptaichte, chan e faidhle a ghabhas sgrùdadh.
Loidhne-tìm
Tha na stampaichean-ama uile ann an UTC agus tha iad a’ tighinn bho mheata-dhàta clàraidh npm, a bhios a’ clàradh cruthachadh is dì-fhoillseachadh phasganan gu neo-eisimeileach bho neach-amhairc sam bith.
Is fhiach beachdachadh air dà de na h-inntrigidhean seo.
Chuir am spreadhadh 13:04 naoi pacaidean air a’ chlàr ann an ceithir diogan, gach fear le aon dreach anns na dusan agus gun 0.0.1 foidhpe. Chan eil àireamhan tionndaidhean air an sgèile seo, air ainmean aon latha a dh'aois, a’ toirt cunntas air eachdraidh foillseachaidh.
Tha an sreath neo-fhoillseachadh a cheart cho meacanaigeach: naoi ainmean deug, còig diogan fichead, agus eadar-ama cothromach. Bidh npm gan clàradh mar thachartasan neo-fhoillseachadh àbhaisteach seach an neach-gleidhidh àite a dh’fhàgas toirt air falbh a thòisicheas an clàr, a chuireas an gnìomh leis a’ chunntas foillseachaidh seach leis a’ chlàr.
Comharran co-rèiteachaidh
Tha luchd-aoigheachd agus slighean air an dì-fhangadh. Na fuasgail no na faigh air ais iad bho shiostam riochdachaidh.
Ainmean pacaid
Cur às leth agus giùlan a chaidh fhaicinn
Tha dà chunntas npm an sàs. Chaidh na naoi ainmean deug nach deach fhoillseachadh fhoillseachadh le aon chunntas; a.poltoradnev-package-c chaidh ath-chlàradh air 2 Lùnastal fo ainm cunntais eadar-dhealaichte agus àrainn puist-d eadar-dhealaichte. Tha an còd den aon loidhne-shligheach anns an dà chuid, agus tha na h-aoighean lìbhrigidh ceudna, na h-àrainnean DNS cùl-taic ceudna, an aon togail slighe-tuiteam, agus an aon stampa ruith-aon-uair aig an dàrna clàradh.
Tha am paidhir ath-fhoillsichte cuideachd a’ sealltainn mar a chaidh a chur ri chèile. 0.0.2 agus 33.9.5 tha iad co-ionann ri byte ach a-mhàin an sreang dreach ann an pasgan.json, Agus a ' clàr-amais.js air a chur air falbh mar 0.0.2 a ’nochdadh const TIONNDADH = “33.9.5”Chaidh an dà nì a ghearradh bho aon chraobh thùsail agus an àireamhachadh às dèidh sin. Chan eil gin ann. 0.0.2 eachdraidh leasachaidh airson a’ 0.0.2 leigeil ma sgaoil airson riochdachadh.
Tha àireamhachadh nan dreachan air feadh an t-seata gu lèir a’ leantainn an aon loidsig. Tha ainmean phasgan san iomairt seo air an leughadh mar rudan a bhiodh ann am buidheann seach air clàr poblach: seata phàirtean UI, rèiteachadh ESLint, deuchainn SLA, pasgan air ainmeachadh às dèidh neach. Nuair a bhios togail a’ fuasgladh eisimeileachd a rèir ainm agus a’ bruidhinn ri clàr poblach còmhla ri fear prìobhaideach, is e an àireamh dreach as àirde am fear a bhuannaicheas. Ainm a chaidh a chruthachadh aig 0.0.1 air Diluain agus a’ giùlan 12.9.6 air Dimàirt suidhichte airson a’ choimeas sin.
Tha an dà thonn foillseachaidh eadar-dhealaichte cuideachd ann an dòigh a tha a’ moladh ath-aithris. Thug an còd na bu tràithe ainm air an fhaidhle luchd. suidheachadh.js agus liostaich e còig aoighean lìbhrigidh; is e ainm an fhaidhle làithreach _polyfill.js agus tha trì liostaichean ann. Thug an dreach na bu tràithe air falbh am faidhle a chaidh a leigeil às còig diogan às dèidh a chur air bhog, a’ fàgail a’ phròiseis a’ ruith bho inode a chaidh a dhubhadh às; chan eil an dreach làithreach ga dhèanamh. An fheadhainn gun iomradh lib/telemetry.js fhathast anns an tarball thar an dà chuid, fhathast air a chuir a-mach, gun a bhith air a uèirleadh a-steach tuilleadh.
Is fhiach aon bheachd mu na suidsichean marbhaidh a ràdh ro-làimhcisely, oir tha e a’ dol an aghaidh leughadh cumanta. DISABLE_TELEMETRY, ANAILITIGEAN_ROGHNACHAIDH_A-MACH, agus NA_TRAC_ air an urramachadh, agus air an sgrùdadh mus tachair dad sam bith eile. Bidh neach-rannsachaidh aig a bheil àrainneachd anailis a’ suidheachadh gin dhiubh a’ faicinn pasgan nach eil a’ dèanamh dad idir.
Buaidh agus na as urrainn do luchd-dìon a dhèanamh
Tha a’ bhuaidh phractaigeach a tha aig an inneal-brosnachaidh aig àm in-mhalairt cumhang agus is fhiach a ràdh leis fhèin. stàladh npm –sgriobtaichean-leig seachad a’ cur casg air sgriobtaichean cearcall-beatha bho bhith a’ ruith, agus ’s e deagh chomhairle a tha sin. Chan eil buaidh sam bith aige an seo, leis nach eil an còd seo a’ cleachdadh sgriobt cearcall-beatha. Bidh an luchd-pàighidh a’ ruith nuair a bhios còd tagraidh, ruith deuchainn, pasgan, no linter a’ toirt a-steach am modúl an toiseach. Air ruitheadair CI a bhios a’ stàladh agus an uairsin a’ togail sa bhad, tha an dà rud diogan bho chèile.
Airson seilg, tha na comharran maireannach structarail seach litearra. Bidh na h-aoighean, ainm an fhaidhle, agus na slighean leigeil às ag atharrachadh; tha na cumaidhean seo nas duilghe atharrachadh:
- Puing inntrigidh modúl aig a bheil an aithris mu dheireadh na feuch { cuir feum air(“./x”); } glac (_) {} timcheall air faidhle nach eil na phàirt den API às-phortaichte. Bidh pasgan le polyfill fìor ga thoirt a-steach aig a’ mhullach agus a’ cleachdadh a thoradh. Chan e làimhseachadh mhearachdan a th’ ann a bhith a’ slugadh gach mearachd bho in-mhalairt aig bonn faidhle.
- Sreangan aoigheachd air an cruinneachadh le .join(“”) bho shreath de phìosan. Chan eil adhbhar sam bith aig còd dligheach airson ainm-aoigheachd a roinn thar eileamaidean sreath.
- Pasgan aig a bheil eisimeileachdan dearbhte falamh ach a shìneas airson https, dns, agus pròiseas_chloinne aig àm an in-mhalairt. Is e faighinn air ais agus cur an gnìomh ann am pasgan a tha a’ sanasachd co-phàirt UI an lorg gu lèir.
- Àireamhan tionndaidh nach eil a rèir aois pacaid. Tha ainm a chaidh fhoillseachadh an toiseach o chionn làithean aig prìomh dhreach dà-dhigitach, gun fhoillseachaidhean eadar-amail, a’ toirt cunntas air rudeigin eile seach a leasachadh.
- A’ sgrìobhadh gu / var / tmp or % TEMP% Air a leantainn le chmod gu 0755 agus sìolachadh air leth. Tha an sreath goirid, òrdail, agus is ann ainneamh a bhios iad neo-chùramach còmhla.
Air aoighean Windows tha dà sgrùdadh saor, àrd-mhisneachail ann. Tha na h-artifactan buan-sheasmhach nan sreangan stèidhichte agus chan eil gin dhiubh a’ buntainn ri siostam glan: gnìomh clàraichte aig \Microsoft\Windows\Multimedia\SystemSoundsService, luach iuchair-ruith leis an ainm SeirbheisFhuaimean an t-Siostaim, agus prògram a ghabhas cur an gnìomh leis an ainm sin fo %APPDATA%\Microsoft\Windows\Cuspairean\Chan eil an t-seirbheis claisneachd fhìor Windows a’ fuireach ann an gin de na h-àiteachan sin. San dàrna àite, bidh an luchdadair a’ cleachdadh mutex aon-eisimpleir stèidhichte, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}; tha a làthaireachd air aoigh na chomharradh, agus leis gu bheil an luchdair a’ làimhseachadh mutex a tha ann mar-thà mar “a tha a’ ruith mu thràth”, tha a chruthachadh ro-làimh na in-ghabhail geàrr-ùine obrachail fhad ‘s a tha leigheas air a chlàradh.
Tha lorg air an treas ìre na dhuilgheadas nas duilghe agus is fhiach a bhith soilleir mu dheidhinn. Air a’ chunntas a thug mion-sgrùdadh poblach seachad, tha e air a dhì-chrioptachadh agus air a mhapadh sa chuimhne seach a bhith air a sgrìobhadh gu diosc, agus mar sin chan fhaic sganadh faidhle agus fòrensic diosc e. Is e lorg-coise an luchdaiche fhèin a tha fhathast ri fhaicinn - na h-inntrigidhean buan-sheasmhachd, am mutex, agus iarrtasan a-mach gu na h-aoighean lìbhrigidh no na raointean DNS-TXT.
Airson àrainneachdan a bhios a’ fuasgladh eisimeileachdan bho chlàr prìobhaideach agus bho chlàr poblach, chan eil an lughdachadh air atharrachadh le rud sam bith an seo: ainmean a-staigh raon gus nach urrainn dha ainm poblach an sàsachadh, agus rùn a phronnadh ris a’ chlàr a-staigh airson na raointean sin. Chan eil an giùlan atmhorachd dreach a chaidh a mhìneachadh gu h-àrd ag obair ach far am faod dreach poblach nas àirde ainm a chosnadh.
Mu dheireadh, is fhiach an neo-fhoillseachadh a leughadh gu faiceallach seach a bhith ga chleachdadh mar chrìoch. Dh’fhàg naoi ainmean deug an clàr ann an còig diogan fichead agus thill aon latha às deidh sin fo chunntas ùr, leis a’ bhun-structar lìbhrigidh gun suathadh fad na h-ùine. Chan e toirt air falbh pacaidean a tha a’ ciallachadh toirt air falbh an obrachaidh; lean na h-aoighean a’ frithealadh gach ìre fhad ‘s a chaidh seo a sgrìobhadh. Bu chòir dèiligeadh ri craobh eisimeileachd sam bith a dh’fhuasgail aon de na h-ainmean sin eadar 31 Iuchar agus 1 Lùnastal mar gum biodh cothrom aca ìre a h-aon a chur an gnìomh, ge bith a bheil an t-ainm fhathast ann no nach eil.
iomraidhean
- Mion-sgrùdadh ioma-einnsean air luchdadair Windows — stòr airson a’ phasgadh AMSI/ETW, an cur an gnìomh meòrachail sa chuimhne, agus mion-fhiosrachadh mutex a chaidh ainmeachadh gu h-àrd.
- sgrìobhainnean sgriobtaichean npm — na tachartasan cearcall-beatha nach eil an iomairt seo a’ cleachdadh.
- sgrìobhainnean stàlaidh npm — còmhdaichean –sgriobtaichean-leig seachad agus a raon-obrach.
