TL; DR
nolimit-agent se yon pake npm ki gen vèsyon pibliye — 1.0.299 jiska 1.0.307, pibliye sou kat jou soti 26/06/2026 rive 29/06/2026 — chak pote yon kad konplè pou èskrokri ak voye imèl an mas andedan yon anyè kache, konplètman obfuske. Nan chak vèsyon, antre prensipal la rezoud nan .ad/x0.js, youn nan ~86 fichye nan yon dosye ki rele dotfile ki gen anviwon 4,200 blob string-array javascript-obfuscator; hook enstalasyon an ak layout antre a idantik sou tout liy lan.
Dèyè ofiskasyon an chita yon Koule kòd aparèy Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) ki, yon fwa yon kòd apwouve, li bwat resepsyon Outlook viktim nan ak atik li voye yo atravè Microsoft Graph API a; yon motè voye SMTP ak SMS an gwo ki fonksyone ak lis moun k ap resevwa yo bay pa operatè a; modèl mesaj pou imitasyon mak; konstriksyon lyen redireksyon ouvè; ak rekonesans atravè rechèch kòd DNS-sou-HTTPS, WHOIS, ak GitHub. Baliz trafik an fonksyon pou enfrastrikti operatè a nan api[.]nolimitent[.]xyz:4100.
Afekte: nenpòt moun ki enstale nenpòt vèsyon pake a, ak nenpòt Bwat lèt elektwonik Microsoft 365 ki mèt li apwouve yon kòd aparèy prezante atravè li. Vèsyon ki pi resan an, 1.0.307, se dènye etikèt aktyèl la epi li gen menm kapasite bwat mesaj kòd aparèy la — kòd move a pa limite a yon sèl vèsyon anvan.
Severite: kritikEkosistem ki afekte a: npmSèl endikatè pou chèche an premye: lame a api[.]nolimitent[.]xyz.
Atak la: kijan li fonksyone
Yon kokiy benin sou yon chaj kache
Pake a prezante yon sifas òdinè. package.json deklare yon apre enstalasyon zen –
text postinstall: node scripts/postinstall.js — epi sou enspeksyon scripts/postinstall.js pa danjere: li enstale yon shim kòmand Windows epi li sòti. Konpòtman an pa nan hook la. prensipal ta dwe apwouve bèso tibebe w la epi bin tou de jaden yo montre nan .piblisite/, yon anyè ki gen yon pwen prensipal ki anpeche l antre nan aktivite aksidantèl ls pwodiksyon, epi ki gen kontni yo inifòmman kache pa machin nan. Eskanè estatik la te konte ~4,293 longè chaj kode atravè .piblisite/ seri modil; javascript-obfuscator se yon depandans devlopman deklare, ki koresponn ak fòm wotasyon string-array-rotation fichye ki nan pake a.
Separasyon an se premye siyal ki vo nonmen: zen enstalasyon yon revizè ta egzamine a pwòp, alòske kòd operasyonèl la chita nan yon anyè pi lwen, kache epi bouche, yo aksesib li sèlman lè pwen antre ekspòte pake a ap fonksyone.
Aksè bwat lèt pa kòd aparèy Microsoft 365
Modil la .ad/x12.js Pote kapasite ki pi enpòtan nan kad travay la. Li kondwi otorizasyon aparèy Microsoft 365 OAuth 2.0 la:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode Sibvansyon kòd aparèy la se yon koule Microsoft lejitim ki fèt pou aparèy ki gen kontrent antre: yon sèvis mande yon kòd, itilizatè a tape kòd sa a nan microsoft.com/aparèylogin` sou yon dezyèm aparèy epi apwouve, epi sèvis ki fè demann lan resevwa jeton yo. Lè sèvis ki fè demann lan se pou yon lòt moun apa de pwopriyetè bwat lèt la, apwobasyon an bay twazyèm pati sa a yon jeton. Yon fwa yo jwenn yon jeton, .ad/x12.js` li bwat lèt la dirèkteman atravè Microsoft Graph:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients The $chwazi Pwojeksyon yo rale adrès moun k ap voye yo nan bwat resepsyon an ak adrès moun k ap resevwa yo nan atik yo voye yo — materyèl bwit pou trase korespondan yon viktim. Sa a se aksè advèsè-nan-mitan (AiTM) pa konsantman olye ke pa kaptire modpas: pa gen okenn kalifikasyon pou phishing nan sans klasik la, sèlman yon kòd pou jwenn apwobasyon.
Yon motè imèl an gwo ak SMS ak modèl imitasyon
Toutotou aksè bwat lèt la gen yon lapòs. Pakè a voye fichye done ke operatè a ka modifye — lis moun k ap voye yo (moun k ap voye yo.txt, smts.txt) ak yon fichye modèl (fonksyon.txt) — ki gen adrès plase yo li kòm yon fèy pou imitasyon: sekirite@apple.com, login-verifikasyon, sèvis OAuth, bòdwo, ak moun k ap voye notifikasyon kont kont yon yourdomain.com operatè ranplasman an ranplase. Bò SMS la pote yon telefònebook ak konfigirasyon pòtay la. Moun k ap voye mesaj la repete lis moun k ap resevwa mesaj yo bay pa operatè a epi voye mesaj la atravè relè SMTP ki configuré yo.
Pou fè lyen yo ateri, .ad/xu.js ta dwe apwouve bèso tibebe w la epi .ad/xq.js bati URL ki eksplwate anbigwite analiz URL ak swivi klik. Modèl fo yo entegre yon otorite ki sanble fyab anvan yon @ kidonk prefiks vizib la diferan de lame reyèl la:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Kad la pran tou favicon nan men gwo konsomatè yo ak enterprise founisè lapòs — yon teknik routin pou rann yon envit oswa yon paj aterisaj konvenkan ak mak founisè a.
Rekonesans sib ak enfrastrikti
Plizyè modil rasanble kontèks anvan yo voye l. .ad/x0.js rezoud non yo sou DNS-sou-HTTPS (dns[.]google/resolve), .ad/xa.js rechèch WHOIS (api[.]ki moun[.]vu), Ak .ad/x9.js fè rechèch kòd GitHub (api[.]github[.]com/rechèch/kòd?q=) — yon modèl ki konsistan avèk dekouvèt konfigirasyon sèvè lapòs ki ekspoze ak kalifikasyon SMTP pou nouri lis relè a. .ad/xs.js fè rechèch sou endèks CDX Wayback Machine lan.
Kòmand ak kontwòl
Atravè seri ki bouche a, .ad/x4.js referans a pwen final operatè a:
text http://api[.]nolimitent[.]xyz:4100 Otès la pataje li san limit mak ak pwòp non editè a, ak la : 4100 pò a se kanal apèl lakay kad travay la. Sa a se endikatè ki pi dirab pou defansè yo: yon pake, yon estasyon travay devlopè, oswa yon ajan konstriksyon ki rive api[.]nolimitent[.]xyz te egzekite kòd sa a.
Endikatè konpwomi
Endikatè ki anba yo se sa yon defansè ka aji sou yo — grep a lockfile, bloke yon lame, oubyen rechèch proxy ak jounal DNS yo. Pwen final Microsoft yo parèt paske kad travay la abize yo; yo menm pa move epi yo pa ta dwe bloke.
Dosye hach yo te kaptire nan triyaj la:
- pake/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- pake/pake.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Yon siyal lokatè Microsoft 365 ki vo lapenn chèche endepandamman de pake sa a: koneksyon kòd aparèy ki reyisi ki te swiv rapidman pa lekti graf. Dosye lapòs/bwat resepsyon ta dwe apwouve bèso tibebe w la epi Dosye lapòs/sentimèt, sitou nan yon sesyon itilizatè a pa rekonèt.
Atribisyon ak konpòtman obsève
Sa ki obsèvab la rete separe de moun ki dèyè l la.
Enfòmasyon obsèvab: pake a pibliye anba manch lan ajan san limit avèk yon adrès Gmail ki pa verifye epi san yon depo sous ki lye; li package.json dekri li kòm yon "moun k ap voye imèl avanse" epi li make li ak ekip wouj la mo kle; kòd ekzekisyon an konsantre nan yon bagay kache, ki pa klè .piblisite/ anyè ki gen chèn zouti (javascript-obfuscator) se yon depandans deklare; epi lame apèl lakay la api[.]nolimitent[.]xyz reitilize san limit mak. Sa a se yon sèl pake ak yon sèl pwen enpòtan enfrastrikti kontwole pa operatè a — pa yon gwoup plizyè pake, epi pa gen okenn sipèpoze ak yon kanpay ki te deja nonmen ki te idantifye.
The ekip wouj la Mo kle a pa chanje klasifikasyon an. Zouti sekirite ofansif lejitim ki bay kapasite doub itilizasyon fè sa yon fason transparan: sous lizib, sib yo bay pa operatè a, epi pa gen okenn apèl lakay kache. Pake sa a envèse chak pwopriyete sa yo — kòd operasyonèl li a bouche epi kache, epi li voye yon avètisman bay yon enfrastrikti operatè fiks olye de yon sib itilizatè a bay. Konpòtman an, pa etikèt la, ki gouvène vèdik la, ki se move.
Yo pa deklare entansyon an isit la. Pòs la dekri sa kòd la fè — mande yon kòd aparèy, li yon bwat lèt sou Graph, voye lapòs an gwo atravè relè ki configuré, voye yon baliz bay yon òdinatè fiks — epi li pa di motif la.
Enpak, tandans ak konsèy defansè
De efè enpòtan sou tan enstalasyon an. Premyèman, nenpòt devlopè oswa ajan CI ki enstale ajan san limit pote kad la sou lame sa a epi etabli apèl lakay la pou api[.]nolimitent[.]xyzDezyèmman, kapasite kòd aparèy la depase lame enstalasyon an: yon bwat lèt Microsoft 365 ke pwopriyetè li a apwouve yon kòd prezante li li dirèkteman atravè Graph, san okenn modpas pa janm travèse fil la.
Tandans ki pi laj la se youn pou internalize. Èskrokri kòd aparèy (AiTM) la soti nan yon enfrastrikti èskrokri endepandan pou vin tounen yon pake sou yon rejis piblik — distribisyon pa npm enstale olye de yon lyen voye pa imèl. Anbalaj twous la nan fason sa a chanje pwoblèm hosting ak livrezon lyen operatè èskrokri a pou rive nan yon rejis, epi kache kòd operasyonèl la dèyè yon zen enstalasyon pwòp ak yon anyè obfuske ki rele dotfile ki anpeche yon rapid gade manyèl.
Pou defansè yo:
- Revizyon rejis ak depandans. Trete yon pake ki gen prensipal/bin Li rezoud nan yon anyè kache (ak pwen prefiks) ki gen kòd premye pati ki obfuske inifòmman kòm yon gwo risk sèlman sou estrikti a, endepandan de si zen enstalasyon an sanble pwòp. Minifikasyon pa obfuskasyon — pòtay sou siyati dekodeur string-array la, pa sou longè liy lan.
- Ranfòsman Microsoft 365. Restrenn koule otorizasyon kòd aparèy la ak Aksè Kondisyonèl kote li pa nesesè pou operasyon an; sibvansyon kòd aparèy yo se yon vektè AiTM byen koni epi itilizatè entèaktif yo raman bezwen yo. Fè odit pou koneksyon kòd aparèy ki te swiv pa yon lis imedya bwat lèt Graph.
- Deteksyon rezo. Bloke epi avèti sou api[.]nolimitent[.]xyzChache jounal DNS ak proxy sortan yo pou li atravè devlopè a epi konstwi enfrastrikti a.
- Deteksyon chemen lapòs. The itilizatè@òganizatè Fòm URL-spoof (ou fè konfyans[.]com@…) yo detektab nan pòtay lapòs la ak nan proxy a; make lyen ki gen yon eleman otorite ki vin anvan yon @.
Pake a te disponib sou npm nan moman analiz la. Paske kad kache a kouvri tout liy vèsyon pibliye a ak vèsyon aktyèl la dènye etikèt (1.0.307) la pote kapasite kòd aparèy la, anilasyon rejis la ta dwe kouvri tout vèsyon, pa sèlman yon sèl vèsyon anvan.
