Aku; DR
He pūʻolo PyPI i kapa ʻia kaohi-gcli ua hoʻouna aku i kahi mea hana komo mamao piha o Windows: ka hoʻopaʻa ʻana i ke kī, ka hopu ʻana i ka webcam a me ka microphone, ka nānā ʻana i ka clipboard, ke komo ʻana i ka palapala hōʻoia o ka polokalamu kele pūnaewele, ka mana o ka pale, ka hoʻomau ʻana, ka hoʻokiʻekiʻe ʻana i nā kuleana, a me kahi "140+ mau kauoha" i hoʻolaha ponoʻī ʻia. ʻAʻole ia i hūnā i kona ʻano: ua wehewehe ka hōʻuluʻulu manaʻo PyPI ponoʻī o ka pūʻolo iā ia he "Mea hana komo mamao ma o npoint.io".
ʻO ka kikoʻī e pono ai ke hoʻomaha ʻia ʻo ia kēlā ʻōlelo "ma o npoint.io." Ma mua o ke kāhea ʻana i ka home i kahi kikowaena i hoʻolaʻa ʻia, ua hoʻohana ʻia ka implant npoint[.]io (he lawelawe manuahi a kūpono no ka hoʻokipa ʻana i nā palapala JSON liʻiliʻi) ma ke ʻano he relay kauoha-a-mana. Kākau ka mea hoʻohana i nā kauoha i loko o kahi ʻōpala JSON; koho ka mea hoʻokomo i kēlā ʻōpala, hoʻokō, a kākau i nā hopena. ʻAʻohe kikowaena nona ka mea hoʻouka e ālai, ʻaʻohe IP hou e hōʻailona: hele ke kaʻa i kahi lawelawe a nā mea hoʻomohala e hoʻohana ai i kēlā me kēia lā.
ʻEono mau mana i paʻi ʻia ma kahi o ʻumikumamākolu hola a me ka hapa, ʻoi aku ka maikaʻi o kēlā me kēia ma mua o ka mea hope. Ua loaʻa ka helu i kēlā me kēia o lākou ml_predicted_safe e kahi mea hoʻokaʻawale hana ponoʻī ma mua o ka loiloi lima i hoʻokaʻawale hou i ka ʻohana he mea ʻino.
ʻAnoma hoʻouka
kaohi-gcli hoʻouka i ka pūʻolo lawe mai gcli, he codebase Python 35-module. ʻAʻohe manawa hoʻonohonoho hooks — ʻaʻohe mea e holo ana i ka wā hoʻokomo pipNoho ka hiki i loko o nā modula ponoʻī, i kāhea ʻia ke holo ka mea hana, a heluhelu ʻia ka hoʻolālā modula e like me kahi pepa kikoʻī huahana:
ʻO ke kahawai kauoha ka ʻāpana hoihoi. Hiki ka hapa nui o nā mea hana komo mamao i kahi kikowaena a ka mea hoʻohana e hoʻomalu ai - kahi IP, kahi kikowaena, kahi mea hoʻolako kikowaena hiki ke hōʻike ʻia a lawe ʻia ma waho pūnaewele. kaohi-gcli akā, mālama i kahi lawelawe JSON-bin manuahi ma ke ʻano he dead-drop. ka npoint heluhelu a kākau ka module i nā palapala JSON liʻiliʻi ma npoint[.]io ma luna o HTTPS maʻamau; ka crypto/hoʻopā'ālua Hoʻopili nā modula i nā ukana i hoʻololi ʻia i ʻole nā mea o ka bin he mau kauoha plaintext. ʻO ka hopena he relay i hoʻopili ʻia a hoʻopāʻālua ʻia:
- Hoʻokuʻu ka mea hoʻohana i kahi kuhikuhi (i hoʻopāʻālua ʻia) i loko o kahi ʻōpala JSON.
- ʻO ka implant, e holo ana ma ka kikowaena i hōʻeha ʻia, e nānā i kēlā bin, wehe i nā decrypts, hoʻokō i kekahi o kāna mau mea lawelawe kauoha, a kākau i ka hopena (i hoʻopāʻālua ʻia).
- I kahi mea nānā pūnaewele, ke kamaʻilio wale nei ka mea i hōʻeha ʻia me npoint[.]io — kahi lawelawe me ke kumu kūpono e ʻike ʻia ai i ke kaʻa o nā mea hoʻomohala.
ʻAʻohe hoʻoiho pae lua a ʻaʻohe mea hoʻouka i hoʻopaʻa ʻia ma aneʻi: hoʻouna holoʻokoʻa ka hiki, ma Python hiki ke heluhelu ʻia, a ʻo ka "peʻe" wale nō ke koho ʻana o ka relay a me ka hoʻopāʻālua ʻana o nā ukana i hoʻoili ʻia.
He mea kūpono ke wehewehe ʻana i ke kumu e makemake ai mākou e ʻike hou i ke ʻano o kahi JSON-bin dead-drop:
- ʻAʻohe wahi hopena i loaʻa i ka mea hoʻohana. ʻAʻohe kikowaena C2 e hoʻopaʻa inoa, ʻaʻohe VPS e hoʻolimalima, a ʻaʻohe mea no ka mea pale a mea hoʻopaʻa inoa paha e hopu. Wehe ʻia o ka 'ōpili ʻaʻole e hoʻopā i ke kahawai; wehe ʻana i lalo o ka Kanal ʻo ia hoʻi ke noi ʻana i kahi SaaS kumu maʻamau e mākaʻi i hoʻokahi palapala i waena o nā miliona.
- Ka holoi ʻana i ka inoa maikaʻi. ʻAʻohe o nā hoʻopaʻi kaulana o ka HTTPS i waho i kahi lawelawe mea hoʻomohala kaulana e like me kahi kikowaena hou a i ʻole kahi IP maka. Nui nā hoʻonohonoho kānana puka e ʻae iā ia me ka ʻike ʻole ʻia.
- ʻO ka Asynchrony a me ka hiki ke hōʻole ʻia. ʻO kahi kumu hoʻohālike koho balota - kiʻi ka implant i kahi palapala ma kahi wā ma mua o ka paʻa ʻana i kahi socket hāmama - hana i ke kaʻa e like me ke koho balota API manawa, ʻaʻole he hālāwai launa pū. ʻO ka hoʻopāʻālua ʻana i nā ʻike o ka palapala ʻo ia hoʻi kahi mea kālailai e ʻike ana i ka ʻōpala e ʻike i ka ciphertext, ʻaʻole kahi papa inoa kauoha.
- Hoʻohuli TrivialʻO ka neʻe ʻana i kahi ʻōpala ʻē aʻe, a i ʻole kahi lawelawe memo/hoʻopili ʻokoʻa loa, he hoʻololi hoʻonohonoho laina hoʻokahi no ka mea hoʻohana. ʻO kēlā me kēia papa inoa poloka i hoʻopaʻa ʻia i ka relay kikoʻī e palau i ka manawa e hoʻouna ʻia ai.
ʻO ke kūkaʻi a ka mea hoʻohana e ʻae ai, ʻo ia ka throughput a me ka latency: ʻoi aku ka lohi o ka relay dead-drop a me ka bandwidth haʻahaʻa ma mua o kahi pilina pololei. No kahi implant nānā-a-kaohi e hoʻopuka pinepine ana i nā kauoha pōkole a hōʻiliʻili i nā hopena i ka hala ʻana o ka manawa, maʻalahi kēlā kūkaʻi e hana.
'alemanaka
Ua piʻi koke ka piʻi ʻana o ka ʻohana. ʻO nā hōʻailona manawa hana tikiki no nā mana i hōʻailona ʻia e kau ana i ka arc holoʻokoʻa i nānā ʻia i loko o kahi o ʻumikumamākolu hola a me ka hapa, a ua ulu pū ka helu hōʻike ponoʻī o ka scanner me ke code - mai kekahi mau pūnaewele i hōʻailona ʻia ma ka mana mua a i ka ʻumikumamāhā ma ka mea hou loa.
ʻAʻole i paʻi ʻia nā helu mana ma ke kaʻina paʻa, akā ua maopopo ke kuhikuhi: kahi ʻoki liʻiliʻi mua, a laila ka hana hou wikiwiki ʻana i ka 0.7.1 piha piha. ʻO kēia ke ʻano o kahi papahana ma lalo o ka hoʻomohala hana e hoʻouna ʻia ana i kahi papa inoa lehulehu i kona ulu ʻana, ʻaʻole he hāʻule hoʻokahi wale nō.
Nā Hōʻailona o ke Kuʻikahi
Ua hōʻoia ʻia nā ʻōkuhi a pau ma lalo nei e kūʻē i nā ʻike o ka pūʻolo ma ka disk a me kahi scan ʻōkuhi deterministic o ka mana 0.7.1; ʻaʻohe mea kuhi wale.
Memo a ka mea pale: ʻO ka hōʻailona paʻa ikaika loa ʻaʻole ia ke kikowaena (hoʻohuli maʻalahi kahi kikowaena relay) akā ʻo ka ʻano: kahi pūʻolo hoʻokahi e hoʻopili ana i ʻekolu a ʻoi aku paha nā primitives kiaʻi kikowaena ʻokoʻa a ke ala nei i kahi loop kauoha/pane ma o kahi lawelawe hoʻokipa ʻike lehulehu. Ke ālai nei npoint[.]io ʻAʻole kūpono ka outright no ka hapa nui o nā hale kūʻai; ʻoi aku ka ikaika o ka makaʻala ʻana i kahi kaʻina hana i manaʻo ʻole ʻia e hopu ana i nā mea hoʻokomo a kamaʻilio pū me kahi lawelawe JSON-bin.
ʻAno i nānā ʻia a me ke kālai ʻana
ʻElua mau mea e hoʻolilo ai i kēia laʻana i mea ʻokoʻa, a he mau ʻoiaʻiʻo i ʻike ʻia nā mea ʻelua ma mua o nā manaʻo e pili ana i ke kumu.
Ua hoʻolaha ia iā ia iho. Ua helu ʻia ka hōʻuluʻulu manaʻo o ka pūʻolo i hāʻawi ʻia ma PyPI i nā hiki i ka ʻōlelo maʻalahi - ke komo mamao, ka mana pākaukau, ka hoʻokele mea hoʻohana, webcam, leo, keylogger, ka hoʻomau ʻana, ka ʻikepili polokalamu kele pūnaewele, WiFi, papa inoa, "140+ mau kauoha." ʻAʻohe hoʻāʻo e hoʻouna i ke code ma ke ʻano he kōkua kūkulu, kahi ʻōwili CLI, a i ʻole kahi pono hana AI-agent, ʻo ia ka peʻe maʻamau a mākou e ʻike ai ma nā papa inoa lehulehu. Inā paha e hōʻike ana kēlā wehe ʻana i kahi mea hana hui ʻulaʻula i paʻi ʻia me ka ʻole o nā kaohi komo a i ʻole kekahi mea ʻē aʻe he nīnau ia ʻaʻole i hoʻoholo ʻia nā ʻike o ka pūʻolo wale nō; ʻo ka mea maopopo, hiki ke hoʻokomo ʻia kahi pahu hana mamao a me ka nānā ʻana e kekahi me pip.
Ua hilinaʻi ia ma ka hilinaʻi i kahi lawelawe maikaʻi. E ho ohana npoint[.]io ʻoiai ʻo ka relay ke ʻano hana wehewehe. He laʻana ia o kahi ʻano ākea - ke kuhikuhi ʻana iā C2 ma o kahi SaaS kūpono (nā pūnaewele hoʻopili, nā ʻōpala JSON, pūnaewele kamaʻiliohooks, nā palapala ao) i hui pū ai ke kaʻa ʻino i ka hana hoʻomohala maʻamau a ʻaʻohe wahi hope nona ka mea hoʻohana e hopu. Ua hoʻopāʻālua ʻia nā ukana ma ka relay, no laila ʻaʻole e heluhelu ʻia nā ʻike o ka bin ma ke ʻano he kauoha i kahi mea nānā maʻamau.
He lahilahi a maʻamau nā hōʻailona o ka mea hoʻopuka. Ua haʻi aku ka pūʻolo i kahi Ka mea kākau Ke o nā "mea hāʻawi gcli" a me kahi laikini MIT, a kuhikuhi i kāna ʻaoʻao home a me nā kahua waihona ma github[.]com/gcli-control/gcliʻAʻohe o ia mea he hōʻoia: he kikokikona manuahi kahi kaula mea kākau, ʻaʻohe uku o kahi poʻo laikini MIT, a he koi kahi URL waihona i loko o ka metadata pūʻolo, ʻaʻole he hōʻike o ke kumu. ʻO ke ʻano - he inoa hou, he mea kākau hui maʻamau, a me kahi org/repo kuhikuhi ponoʻī i hana ʻia a puni ka pūʻolo - ʻo ia ke ʻano o kahi papahana ke kū pololei ia e lawe i ke code, ma mua o kahi mea hana i hoʻokumu ʻia i ulu i kahi hiʻohiʻona kaohi mamao. Hoʻomaopopo mākou i kēia mau mea ma ke ʻano he mau nānā ʻana; kūlike lākou me, akā ʻaʻole lākou iho e hoʻokumu, i kahi hoʻolaha i kūkulu ʻia.
Ke wehewehe nei mākou i ka hoʻonohonoho ʻana he mea ʻino ma ke kumu o ka hiki a me ka lawe ʻana: kahi mea hoʻokomo piha, hiki ke holo mamao a me ka nānā ʻana, i hoʻolaha ʻia ma kahi papa kuhikuhi pūʻolo lehulehu me kahi relay malū. ʻAʻole mākou e hāʻawi i kahi pahuhopu a i ʻole ke kumu.
Hopena, nā ʻano a me nā mea hiki i nā mea pale ke hana
He wahi makapō no ka triage i hoʻonohonoho ʻia i ka hoʻopunipuni. He nui nā kī triage pūʻolo hana aunoa ma ka hoʻopau hōʻailona o polokalamu kamepiula hoʻopaʻa inoa maʻamau — nā blobs i hoʻopaʻa ʻia, manawa hoʻouka hooks, nā ʻōlelo hoʻokahi e hōʻiliʻili ana i nā palapala hōʻoia. He pūʻolo ia he maʻalahi he ʻIOLE ma ke ʻano ākea, me ke code maʻemaʻe hiki ke heluhelu ʻia a me ka ʻole o ka makau hoʻonohonoho, ʻaʻole hōʻike i kekahi o kēlā mau haʻi a hiki ke hala i nā heuristics e manaʻo ana i ka hūnā ʻana. ʻO nā hōʻailona e hopu pono i kēia papa he ʻano kūkulu ma mua o ka hoʻopunipuni ʻana: kahi helu helu hiki (ehia mau primitives host-surveillance like ʻole e noho pū ana i loko o hoʻokahi pūʻolo) a me ka loiloi ʻano C2 (kahi loop kauoha/pane i hoʻokele ʻia ma o kahi lawelawe hoʻokipa ʻike kumu maʻamau). Hoʻomaka kēlā mau nānā me ka nānā ʻole i ka pololei a i ʻole hōʻeha ʻo ka ʻōpala.
ʻO ke ʻano SaaS-as-C2. ʻAʻole ia he mea hou ka hana ʻino ʻana i kahi lawelawe kikowaena kūpono ma ke ʻano he make-drop, akā ke hana mau nei ia no ka mea he kiʻekiʻe ke kumukūʻai pale o ka pale ʻana i ka lawelawe a kokoke i ka ʻole ke kumukūʻai hoʻouka o ka hoʻololi ʻana i nā lawelawe. E manaʻo i nā mea hou aku. ʻO nā pale pūnaewele i hoʻopaʻa ʻia i nā kikowaena maikaʻi ʻole e pau koke; nā lula hana ("heluhelu kēia kaʻina hana i ka clipboard a me ka webcam a laila kamaʻilio me kahi API hoʻokipa memo").
He kiʻi ʻike sima. ʻAʻole inoa ka lula paʻa npoint[.]io ʻaʻole loa. Hoʻohui ia i ʻelua mau nānā ʻana i maʻamau pākahi akā kakaikahi pū kekahi ma kahi mea hoʻomohala maʻamau a i ʻole kahi kikowaena CI:
makaʻala i ka wā o kahi kaʻina hana hoʻokahi, i loko o hoʻokahi kau, ʻelua:
(A) komo i kahi mea hoʻokomo mua o ka host-sighting (keyboard/mouse hook), kāmela, microphone, screen capture, clipboard read-loop, a i ʻole kahi hale kūʻai hōʻoia polokalamu kele pūnaewele ("Login ʻIkepili" / "Mokuʻāina kūloko" / DPAPI); A ME
(B) hana i nā noi i waho i kahi lawelawe hoʻokipa ʻike lehulehu / hoʻopili / JSON-bin / chat-webhook a laila hāpai no ka loiloi, me ka nānā ʻole i ka lawelawe kikoʻī ma (B).
ʻAʻole kānalua kekahi hapalua hoʻokahi: nui nā kiʻi paʻi kiʻi o nā mea hana kūpono, a nui ka hoʻouna ʻana iā JSON i kahi API kikowaena. ʻO ka hui pū ʻana i loko o hoʻokahi kaʻina hana pōkole ka hōʻailona, a ola ia i kekahi hoʻololi relay.
Nā hana kūpono no nā hui:
- E mālama i nā hoʻonohonoho pūʻolo lehulehu ma nā mea hoʻomohala a me nā kikowaena CI ma ke ʻano he palena hoʻokō, ʻaʻole he mea maʻalahi - ʻo kahi RAT ma kahi mea kūkulu he RAT me kāu mau mea huna.
- Makemake ʻia nā aniani kūloko i ʻae ʻia; ʻaʻole pono e hoʻoholo ʻia kahi pūʻolo i kapa ʻia no ka mana mamao a wehewehe i kahi keylogger ma kahi papa kuhikuhi ʻoihana.
- Hoʻomaopopo ma ka me ka hui pu — mea hoʻokomo a i ʻole ka hopu kiʻi me ke kaʻa i waho i kahi lawelawe ʻikepili/hoʻopili/JSON-bin — ma mua o kekahi ʻano mua hoʻokahi, kahi e hoʻohana maikaʻi ʻia ai ma kahi kaʻawale.
- Mai hilinaʻi i kahi helu "palekana" hana aunoa ma ke ʻano he ʻōlelo hoʻoholo hope loa no nā pūʻolo me ka hiki ke komo ākea o ka mea hoʻokipa; e hoʻohuli iā lākou i ka loiloi kanaka.
Ua hoʻokaʻawale ʻia ka ʻohana pūʻolo he ʻino a ua kuhikuhi ʻia no ka wehe ʻana i ke kau inoa. No ka mea, ʻaʻole waiho kahi C2 e pili ana i ka relay i kahi kikowaena nona ka mea hoʻokele i ka sinkhole, aia ka waiwai pale paʻa ma ka manamana lima hana ma luna, ʻaʻole ma kekahi komo papa inoa poloka hoʻokahi.
