TL; DR
Ib pob khoom PyPI hu ua gcli-tswj xa ib lub cuab yeej nkag mus rau hauv Windows uas ua tiav lawm: kev sau cov ntawv sau cia, kev ntes webcam thiab microphone, kev saib xyuas clipboard, kev nkag mus rau hauv browser-certificential, kev tswj xyuas screen, kev ua siab ntev, kev nce qib tshwj xeeb, thiab kev tshaj tawm tus kheej "140+ cov lus txib." Nws tsis zais nws yog dab tsi: lub pob ntawv PyPI cov ntsiab lus piav qhia nws tias yog "Cuab yeej nkag mus rau hauv chaw deb ntawm npoint.io".
Cov ntsiab lus tsim nyog nres ntawm kab lus ntawd "via npoint.io." Es tsis txhob hu xov tooj mus rau lub server uas mob siab rau, qhov kev cog qoob loo siv npoint[.]io (ib qho kev pabcuam pub dawb, raug cai rau kev tuav cov ntaub ntawv JSON me me) ua nws qhov kev xa xov thiab kev tswj hwm. Tus neeg teb xov tooj sau cov lus txib rau hauv JSON bin; lub implant polls lub bin ntawd, ua haujlwm, thiab sau cov txiaj ntsig rov qab. Tsis muaj lub npe sau los ntawm tus neeg tawm tsam los thaiv, tsis muaj IP tshiab los cim: cov tsheb khiav mus rau qhov kev pabcuam uas cov neeg tsim khoom siv txhua hnub.
Muaj rau phau ntawv luam tawm hauv kwv yees li kaum peb teev thiab ib nrab, txhua phau ntawv muaj peev xwm ntau dua li phau ntawv kawg. Txhua phau ntawv tau qhab nia zoo heev. ml_predicted_safe los ntawm tus neeg faib ua pawg tsis siv neeg ua ntej kev tshuaj xyuas phau ntawv tau rov faib ua pawg tsev neeg raws li qhov phem.
Kev tawm tsam lub cev
gcli-tswj nruab ib lub pob khoom import gcli, ib qho 35-module Python codebase. Tsis muaj sijhawm teeb tsa hooks - tsis muaj dab tsi khiav thaum lub sijhawm pip nruabLub peev xwm nyob hauv cov modules lawv tus kheej, hu ua thaum lub cuab yeej khiav, thiab qhov layout module nyeem zoo li daim ntawv qhia txog khoom:
Qhov kev hais kom ua yog qhov nthuav. Feem ntau cov cuab yeej nkag mus rau thaj chaw deb ncav cuag lub server uas tus neeg teb xov tooj tswj hwm - IP, lub npe sau, tus neeg muab kev pabcuam hosting uas tuaj yeem tshaj tawm thiab coj mus offline. gcli-tswj es tsis txhob kho ib qho kev pabcuam JSON-bin dawb ua ib qho kev poob tuag. cov npoint module nyeem thiab sau cov ntaub ntawv JSON me me rau ntawm npoint[.]io dhau ntawm HTTPS ib txwm muaj; tus Crypto/encrypt Cov modules qhwv cov payloads uas pauv pauv yog li cov ntsiab lus ntawm lub thawv tsis yog cov lus txib yooj yim. Qhov cuam tshuam yog ib qho kev sib txuas lus, encrypted relay:
- Tus neeg teb xov tooj tso ib qho lus qhia (encrypted) rau hauv ib lub JSON bin.
- Qhov implant, khiav ntawm tus neeg raug tsim txom, xaiv cov bin ntawd, decrypts, ua tiav ib qho ntawm nws cov lus txib handlers, thiab sau cov txiaj ntsig (encrypted) rov qab.
- Rau tus neeg saib xyuas network, tus neeg raug tsim txom tsuas yog tham nrog npoint[.]io — ib qho kev pabcuam uas muaj laj thawj raug cai tshwm sim hauv cov neeg tsim khoom tsheb khiav.
Tsis muaj kev rub tawm theem ob thiab tsis muaj lub loader tsis meej pem ntawm no: lub peev xwm xa tag nrho, hauv Python nyeem tau, thiab tsuas yog "zais" yog qhov kev xaiv ntawm relay thiab kev encryption ntawm cov payloads relayed.
Vim li cas JSON-bin dead-drop thiaj li zoo rau kev ua haujlwm yog qhov tsim nyog sau tawm, vim nws piav qhia vim li cas peb xav tias yuav pom tus qauv dua:
- Tsis muaj qhov kawg uas tus neeg teb xov tooj muaj. Tsis muaj C2 domain rau kev sau npe, tsis muaj VPS rau kev xauj, thiab tsis muaj dab tsi rau tus neeg tiv thaiv lossis tus neeg sau npe kom txeeb. Kev rhuav tshem ntawm pob tsis kov lub channel; tshem tawm ntawm qhov channel txhais tau tias thov kom muaj SaaS dav dav los tswj ib daim ntawv ntawm ntau lab tus neeg.
- Kev ntxuav lub koob npe nrov. HTTPS tawm mus rau ib qho kev pabcuam tsim tawm uas paub zoo tsis muaj kev rau txim rau lub koob npe nrov ib yam li lub npe tshiab lossis IP raw yuav ua. Ntau qhov kev teeb tsa egress-filtering tso cai rau nws implicitly.
- Asynchrony thiab deniability. Ib qho qauv kev xaiv tsa - qhov kev cog lus rub tawm daim ntawv ntawm lub sijhawm tsis yog tuav lub qhov (socket) qhib - tsim cov tsheb khiav uas zoo li kev xaiv tsa API tsis tu ncua, tsis yog kev sib tham sib tham. Kev encrypting cov ntsiab lus ntawm daim ntawv txhais tau tias txawm tias tus kws tshuaj ntsuam xyuas uas pom lub thawv pom ciphertext, tsis yog daim ntawv teev lus txib.
- Kev sib hloov me meTsiv mus rau lwm lub thawv sib txawv, lossis lwm qhov kev pabcuam sau ntawv/muab tshuaj sib txawv kiag li, yog kev hloov pauv ib kab rau tus neeg teb xov tooj. Txhua daim ntawv teev npe uas raug kaw rau lub relay tshwj xeeb yuav qub thaum nws xa khoom.
Qhov kev pauv pauv uas tus neeg teb xov tooj lees txais yog qhov throughput thiab latency: lub dead-drop relay qeeb dua thiab qis dua bandwidth dua li kev sib txuas ncaj qha. Rau kev saib xyuas thiab tswj hwm implant uas feem ntau muab cov lus txib luv luv thiab sau cov txiaj ntsig dhau sijhawm, qhov kev pauv pauv ntawd yooj yim ua.
Ncua sij hawm
Tsev neeg tau nce siab sai heev. Cov sijhawm tsim daim pib rau cov qauv uas tau cim ua rau tag nrho cov kab ke uas tau pom hauv kwv yees li kaum peb teev thiab ib nrab, thiab tus lej pov thawj ntawm lub tshuab luam theej tau loj hlob nrog rau cov lej - los ntawm ob peb lub xaib uas tau cim hauv thawj version mus rau kaum plaub hauv qhov tseeb.
Cov lej ntawm cov version tsis tau muab luam tawm raws li qhov kev txiav txim siab nruj, tab sis qhov kev taw qhia meej: thawj zaug me me, tom qab ntawd rov ua dua sai sai mus rau 0.7.1 uas muaj tag nrho cov yam ntxwv. Qhov no yog daim duab ntawm ib qhov project uas tab tom tsim kho uas raug thawb mus rau hauv kev sau npe rau pej xeem thaum nws loj hlob, tsis yog ib qho poob ib zaug xwb.
Cov Cim Qhia Txog Kev Sib Tw
Tag nrho cov cim qhia hauv qab no tau lees paub raws li cov ntsiab lus ntawm pob khoom hauv disk thiab kev ntsuas qhov ntsuas ntawm version 0.7.1; tsis muaj ib qho yog kev kwv yees.
Cov lus qhia ntawm tus neeg tiv thaiv: lub teeb liab muaj zog tshaj plaws tsis yog lub npe (tus tswj hwm relay tig me ntsis) tab sis zoo: ib pob khoom uas muab peb lossis ntau dua cov khoom siv saib xyuas tus tswv tsev sib txawv ua ke thiab xa ib txoj kab lus txib/lus teb los ntawm kev pabcuam pej xeem. Kev thaiv npoint[.]io outright tsis yooj yim rau feem ntau lub khw; kev ceeb toom txog cov txheej txheem tsis tau xav txog uas ob qho tib si ntes cov khoom siv nkag thiab tham nrog JSON-bin kev pabcuam yog qhov muaj zog dua.
Kev coj cwj pwm thiab kev teeb tsa uas tau pom
Ob yam ua rau cov qauv no txawv txawv, thiab ob qho tib si yog cov lus tseeb uas pom tau es tsis yog kev xaus lus txog lub hom phiaj.
Nws tshaj tawm nws tus kheej. Cov ntsiab lus luv luv ntawm pob khoom faib rau ntawm PyPI tau suav cov peev xwm hauv cov lus yooj yim - kev nkag mus rau thaj chaw deb, kev tswj hwm desktop, kev tswj hwm tus neeg siv, webcam, suab, keylogger, kev ruaj khov, cov ntaub ntawv browser, WiFi, kev sau npe, "140+ cov lus txib." Tsis muaj kev sim xa cov lej tawm ua tus pab tsim, CLI wrapper, lossis AI-agent utility, uas yog qhov kev dag ntxias ntau dua uas peb pom ntawm cov npe pej xeem. Txawm hais tias qhov qhib ntawd cuam tshuam txog cov cuab yeej pab pawg liab uas luam tawm yam tsis muaj kev tswj hwm kev nkag mus lossis lwm yam yog ib lo lus nug cov ntsiab lus ntawm pob khoom ib leeg tsis daws; qhov tseeb yog tias cov cuab yeej ua haujlwm, kev nkag mus rau thaj chaw deb thiab kev saib xyuas dav dav tau teeb tsa los ntawm leej twg uas muaj pip.
Nws vam khom kev ntseeg siab rau kev pabcuam zoo. siv npoint[.]io vim tias qhov relay yog tus txheej txheem txhais. Nws yog ib qho piv txwv ntawm tus qauv dav dua - kev xa C2 los ntawm SaaS raug cai (cov chaw muab tshuaj, JSON bins, sib tham hauv webhooks, cov ntaub ntawv huab) yog li ntawd cov tsheb khiav phem sib xyaw rau hauv cov haujlwm ib txwm ntawm tus tsim tawm thiab tsis muaj qhov kawg ntawm tus neeg teb xov tooj kom ntes tau. Cov payloads ntawm qhov relay tau encrypted, yog li cov ntsiab lus ntawm lub thawv yuav tsis nyeem ua cov lus txib rau tus neeg saib xyuas ib txwm.
Cov cim qhia ntawm tus tshaj tawm yog nyias thiab dav dav. Lub pob khoom tau tshaj tawm tias muaj Sau ntawm "gcli contributors" thiab daim ntawv tso cai MIT, thiab taw qhia nws lub vev xaib thiab cov chaw khaws cia ntawm github[.]com/gcli-control/gcli. Tsis muaj ib qho ntawm qhov ntawd yog kev txheeb xyuas: ib txoj hlua sau yog cov ntawv dawb, lub npe ntawm daim ntawv tso cai MIT tsis raug nqi dab tsi, thiab qhov URL chaw cia khoom hauv cov metadata pob khoom yog ib qho kev thov, tsis yog pov thawj ntawm qhov chaw. Tus qauv - lub npe tshiab, tus sau ua ke, thiab tus kheej-referential org / repo tsim nyob ib puag ncig pob khoom - yog qhov project zoo li thaum nws sawv tshwj xeeb los nqa cov lej, es tsis yog lub cuab yeej tsim uas tau tsim los uas tau loj hlob qhov tshwj xeeb tswj chaw taws teeb. Peb sau cov no ua kev soj ntsuam; lawv yog sib xws nrog, tab sis tsis yog lawv tus kheej tsim, kev faib khoom tsim.
Peb piav qhia txog qhov kev npaj ua phem raws li lub peev xwm thiab kev xa khoom: ib qho tiav, khiav tau los ntawm kev nkag mus rau hauv chaw deb thiab kev soj ntsuam, faib rau ntawm cov ntaub ntawv pob khoom pej xeem nrog lub relay zais cia. Peb tsis muab lub hom phiaj lossis lub hom phiaj.
Kev cuam tshuam, cov qauv & yam uas cov neeg tiv thaiv tuaj yeem ua tau
Ib qho chaw dig muag rau kev sib tw ua txhaum cai. Ntau lub khawm xaiv pob khoom tsis siv neeg ntawm disguise cov cim qhia ntawm cov malware sau npe ib txwm muaj - cov blobs uas tsis meej, lub sijhawm teeb tsa hooks, cov ntaub ntawv pov thawj sau ib kab. Ib pob khoom uas yooj yim qhib siab RAT, nrog rau cov lej nyeem tau huv si thiab tsis muaj qhov txuas rau nruab, tsis muaj ib qho ntawm cov lus qhia ntawd thiab tuaj yeem plam dhau qhov kev ntsuas uas xav kom zais cia. Cov cim qhia uas ntes tau cov chav kawm no yog cov qauv es tsis yog kev dag ntxias: kev suav pej xeem muaj peev xwm (muaj pes tsawg tus tswv tsev-kev saib xyuas primitives sib koom ua ke hauv ib pob) thiab C2-puab kev tshuaj xyuas (lub voj voog hais kom ua/teb uas tau xa mus los ntawm kev pabcuam tuav cov ntsiab lus dav dav). Cov kev kuaj xyuas ntawd tua hluav taws txawm tias ncaj ncees lossis obfuscated lub ntim khoom yog.
Tus qauv SaaS-as-C2. Kev siv tsis raug ntawm cov kev pabcuam hosting raug cai ua qhov tsis zoo tsis yog qhov tshiab, tab sis nws tseem ua haujlwm vim tias tus nqi tiv thaiv ntawm kev thaiv cov kev pabcuam siab thiab tus nqi tawm tsam ntawm kev hloov cov kev pabcuam ze li xoom. Xav kom muaj ntau ntxiv ntawm nws. Kev tiv thaiv network keyed rau cov domains phem tshwj xeeb laus tam sim ntawd; cov cai coj cwj pwm ("cov txheej txheem no nyeem cov clipboard thiab lub webcam thiab tom qab ntawd tham nrog API-hosting") tsis ua.
Ib daim duab kos uas qhia txog kev kuaj pom tseeb. Txoj cai ruaj khov tsis qhia npe npoint[.]io li. Nws muab ob qho kev soj ntsuam uas yog ib qho uas pom ntau tab sis tsis tshua muaj rau tus tsim tawm lossis CI tus tswv tsev:
ceeb toom thaum ib qho txheej txheem, hauv ib lub sijhawm, ob qho tib si:
(A) nkag mus rau tus tswv tsev-kev saib xyuas primitive - ntaus ntawv nkag (keyboard/mouse hook), lub koob yees duab, microphone, kev ntes qhov screen, clipboard nyeem-loop, lossis lub browser credential store ("Login Cov Ntaub Ntawv" / "Lub Xeev Hauv Zos" / DPAPI); THIAB
(B) ua cov kev thov tawm mus rau qhov kev pabcuam pej xeem-hosting / paste / JSON-bin / chat-webhook ces tsa rau kev tshuaj xyuas, tsis hais txog qhov kev pabcuam tshwj xeeb hauv (B).
Tsis muaj ib nrab twg uas tsis muaj kev ua xyem xyav ib leeg: muaj ntau cov cuab yeej raug cai screenshot, thiab ntau tshaj tawm JSON rau lub hosting API. Qhov kev sib txuas hauv ib qho txheej txheem luv luv yog lub teeb liab, thiab nws muaj sia nyob txhua qhov kev sib hloov relay.
Cov kauj ruam ua tau rau cov pab pawg:
- Kho cov pob khoom pej xeem rau ntawm tus tsim tawm thiab CI cov tswv tsev ua tus ciam teb ua tiav, tsis yog qhov yooj yim - RAT ntawm tus neeg sawv cev tsim kho yog RAT nrog koj cov lus zais.
- Nyiam cov iav sab hauv uas tau teev tseg tso cai; ib pob khoom uas muaj npe rau kev tswj chaw taws teeb thiab piav qhia txog tus keylogger yuav tsum tsis txhob daws teeb meem ntawm cov ntaub ntawv lag luam.
- Ceeb Toom rau ntawm thaum lawv tseem — cov cuab yeej nkag lossis kev ntes duab ntxiv rau kev khiav tawm mus rau cov ntsiab lus / muab tshuaj txhuam / JSON-bin kev pabcuam — es tsis yog rau ib qho primitive, uas muaj kev siv zoo nyob rau hauv kev sib cais.
- Tsis txhob cia siab rau qhov qhab nia "muaj kev nyab xeeb" uas tsis siv neeg ua qhov kev txiav txim siab kawg rau cov pob khoom uas muaj peev xwm nkag mus rau tus tswv tsev dav dav; xa lawv mus rau kev tshuaj xyuas tib neeg.
Cov tsev neeg pob khoom tau raug cais ua qhov tsis zoo thiab xa mus rau kev tshem tawm cov npe sau npe. Vim tias C2 raws li relay tsis tso tus tswv tsev uas tus neeg teb xov tooj muaj rau hauv qhov chaw poob qis, tus nqi tiv thaiv ruaj khov yog nyob rau hauv tus cwj pwm ntiv tes saum toj no, tsis yog nyob rau hauv ib qho kev nkag mus rau hauv daim ntawv teev npe thaiv.
