TL; DR
Ven pakè npm ki te pibliye pandan de jou nan fen Jiyè ak kòmansman Out 2026 prezante tèt yo kòm bibliyotèk konpozan UI entèn ak sèvis piblik pataje. Okenn nan yo pa aplike fonksyonalite yo fè piblisite a. Chak gen yon klas stub, yon README ki dekri pakè a kòm entèn, ak yon fichye ki rele _polyfill.js.
Pati enteresan an se kote yo envoke dosye sa a. Se pa yon zen enstalasyon — manifest yo pa deklare okenn preinstall, install, oubyen postinstall ditou. Okontrè, dènye liy lan index.js li: try { require("./_polyfill"); } catch (_) {}Chaj la ap fonksyone premye fwa kòd aplikasyon an enpòte pake a. Enstale avèk --ignore-scripts, An standard konsèy pou diminye ekspozisyon nan chèn ekipman an pandan enstalasyon an, pa anpeche li.
Ki sa ki _polyfill.js Sa li fè se rekipere yon ekzekisyon espesifik platfòm nan youn nan twa òdinatè Cloudflare Workers yo, ekri li nan yon anyè tanporè anba yon non o aza, make li kòm ekzekisyon, epi lanse li detache de pwosesis paran an. Egzekisyon sa a li menm se yon loader: li enumere pwodwi sekirite pwen final yo pa non pwosesis, li verifye non itilizatè aktyèl la ak kont anviwònman analiz li te ye yo, li mete patch sou koòdone telemetri AMSI ak ETW yo nan memwa, li enstale pèsistans anba non yon konpozan odyo Windows, epi li rekipere yon twazyèm binè ki gen plizyè megabyte nan gwosè. Twazyèm etap la rive chiffres epi li se dechifre epi egzekite nan memwa olye ke ekri sou disk.
Nan dat 1ye out, apeprè kat èdtan apre yo te fin konfime pakè yo te move nan yon revizyon manyèl, pwòp editè yo te retire diznèf nan ven non yo nan npm nan yon sekans vennsenk segonn. Nan dat 2 out, youn nan non sa yo te anrejistre ankò — pa yon lòt kont, ki te pote menm kòd la. Enfrastrikti livrezon an t ap sèvi tout twa etap yo lè yo te ekri sa a.
| Kontribisyon | 20 non npm, ~74 vèsyon pibliye |
| Nonmen tèm yo | beaver-ui-* (13) accounts-* (3), plis afisha-storybook-default, bcore-bravo-eslint-config, arbocrate-sla-prober-arbocrate-sla-prober-core, a.poltoradnev-package-c |
| Deklanche | Enpòtasyon modil (require), se pa yon script sik lavi npm |
| Etap 1 | _polyfill.js — rekipere ak lansman |
| Etap 2 | Loader lye estatikman, chaje ak UPX sou Linux; enumerasyon sekirite pwen final yo, koreksyon AMSI/ETW, pèsistans |
| Etap 3 | beacon_linux.bin / beacon_mac.bin / update_win.exe, 4–13 MB; delivre chiffres, egzekite nan memwa |
| Tribin | Linux x64 ak arm64, macOS inivèsèl, Windows x64 |
| Publishers | De kont, yon sèl baz kòd |
| Ki dènye nouvèl | 19 sou 20 non ki pa pibliye pa operatè a; 1 repibliye epi an dirèk; enfrastrikti livrezon an dirèk |
Anatomi atak
Etap 1 — pakè a
Chak manm voye menm fòm twa dosye a. index.js ekspòte yon klas ak yon nan li() ki fikse yon boolean, yon vèsyon (), Ak yon konfigire() ki fusionne yon objè opsyon. Pa gen anyen lòt. README.md bay yon liy enstalasyon, yon mande pou liy, ak fraz "Pakè entèn. Gade CONTRIBUTING.md pou direktiv" — KONTRIBWITE.md pa nan tarball la.
_polyfill.js Li gen yon ti kras anba 5 KB epi li li kòm kòd enfrastrikti òdinè. Li ouvri ak twa verifikasyon anviwònman:
if (process.env.DISABLE_TELEMETRY ||
process.env.ANALYTICS_OPT_OUT ||
process.env.DO_NOT_TRACK)
return;Varyab sa yo se kontwòl konfidansyalite konvansyonèl yo. La a, yo kontwole si yon binè telechaje epi egzekite. Yon machin ki mete PA_SWIV se sote nèt.
Apre sa, gen yon tenm ki ka egzekite yon sèl fwa: yon fichye nan /tmp/.analytics_state, Oswa eta_analitik anba % TEMP sou Windows, kote yo konpare tan modifikasyon li ak yon fenèt 20,357 segonn. Nan fenèt sa a, modil la retounen imedyatman, kidonk repete enpòtasyon pandan yon konstriksyon pwodui yon sèl tantativ rechèch olye de plizyè douzèn.
Òdinatè destinasyon yo pa prezan kòm literal. Yo rasanble yo pandan ekzekisyon an apati fragman:
["oob-worker.cf102-","baf.workers.d","ev"].join("")
Twa òdinatè yo konstwi nan fason sa a epi yo melanje yo anvan yo itilize yo, kidonk lòd la varye selon ekzekisyon an. Rekiperasyon an se yon HTTPS GET ki tache ak IPv4 ak yon Ajan Itilizatè of ne-fetch/2.6 — yon valè ki posib pou yon pwosesis Node emèt. Yon repons ki anba 1,000 okte yo jete epi yo eseye pwochen òt la.
Si toule twa yo echwe, modil la retounen sou DNS. Li voye yon demann TXT pou c. pou jwenn yon kantite moso, apre sa demann yo 0. nan n. an gwoup dis, li mete repons yo ansanm, epi li dekode rezilta a an base64. Chemen sa a pote menm fichye ekzekisyon an sou anrejistreman TXT DNS yo, ki siviv nan anviwònman kote HTTP sortan an filtre men rezolisyon DNS la pa filtre.
Yo ekri bayt yo rekipere nan /var/tmp/.cache_<8-hex> sou Unix, oubyen %TEMP%\dotnet_diag_<8-hex>.exe sou Windows — yon non fichye ki li kòm yon atifak dyagnostik .NET. Sou Unix, fichye a resevwa mòd 0755. Lansman an se anjandre ak detache: vre, stdio: "inyore", epi san referans(), kidonk pitit la ap viv pi lontan pase pwosesis Node ki te kòmanse li a; sou Windows, envokasyon an ajoute fenètKache: vre.
De detay konplete foto a. Yon asistan defini kòm konst _l = (…a) => pwosesis.stderr.write(“”) yo rele l nan chak etap rekiperasyon an — li ekri yon chèn vid epi li jete agiman li yo, li okipe pozisyon kote logging la ta dwe ye a. Epi chak pake voye yon fichye 81 KB nan lib/telemetri.js ki gen yon kòmantè nan tèt li ki dekri yon "SDK Analytics" ak "Transpò HTTPS ak wotasyon pwen final ak re-eseyay" ak "Dekouvèt sèvis ki baze sou DNS pou fayit". Nan vèsyon aktyèl la, pa gen anyen ki mande li.
Etap 2 — loader a
Binè Linux x64 la se yon ELF ki lye estatikman epi ki konprese ak UPX 3.96. Konstriksyon macOS la se yon binè inivèsèl ki kouvri x86_64 ak arm64; konstriksyon Windows la se yon ekzekisyon konsòl PE32+ dekonpoze. Yo te rekipere tout kat yo epi egzamine yo estatikman; yo pa t egzekite okenn.
Enpòtasyon ak tablo chèn karaktè konfigirasyon Windows la dekri konpòtman li klèman. Li rezoud ÈskeDebogajPrezan, TchekeDebogè a Distans Prezan, epi Pwosesis NtQueryInformation, epi li SISTÈM\CurrentControlSet\Sèvis\Disk\Enum — yon chemen rejis ki gen valè ki idantifye kontwolè disk vityèl yo. Li rele JwennDiskFreeSpaceExW ta dwe apwouve bèso tibebe w la epi GlobalMemoryStatusEx, ki konsistan avèk verifikasyon si resous lame a koresponn ak yon egzanp analiz ki pa dire lontan.
Li gen yon lis non itilizatè: CurrentUser, IT Admin, Hong Lee, Bwat Tès, hapubws, miloz, Timmy, admin, malveyan, echantiyon, viris, anviwònmanPlizyè nan sa yo se atifak ki soti nan anviwònman analiz ki dokimante piblikman.
Li gen ladan l tou yon lis pwodwi sekirite pou pwen final yo ak non pwosesis yo, ki endike atravè CreateToolhelp32Snapshot ta dwe apwouve bèso tibebe w la epi Pwosesis32PremyeW/Pwosesis32NextW:
- Sou entènèt jwèt CrowdStrike Falcon (
csfalconservice,CSFalconContainer) - Nwa Kabòn (
cb.exe) - Silans (
cylancesvc.exe) - Bitdefender (
bdagent.exe) - Kaspèrski (
avp.exe,kavfs.exe) - Trend Micro ak Deep Security (
coreServiceShell,ds_agent.exe) - FireEye/Trellix (
xagt.exe) - Tanium (
taniumclient.exe) - Hitmanpro (
hmpalert.exe) - Elastik (
elastic-agent.exe,elastic-endpoint,filebeat.exe,winlogbeat.exe) - Wazuh ak OSSEC (
wazuh-agent.exe,ossec-agent.exe) - Tcheke Pwen
- Windows Defansè
Gen de lòt senbòl ankò ki la: Tampon AmsiScan, pwen antre Windows ekspoze pou analiz kontni an memwa, epi Evènman EtwWrite, fonksyon kote Event Tracing pou Windows anrejistre evènman yo. Toulede se sib komen pou modifikasyon pandan pwosesis la ki siprime telemetri ke koòdone sa yo ta pwodui otreman.
Pèsistans parèt de fwa sou Windows. Yo kopye binè a nan %APPDATA%\Microsoft\Windows\Themes\SystemSoundsService.exe, epi de mekanis fè referans a li: yon valè anba LOJISYÈL\Microsoft\Windows\Vèsyon Aktyèl\Egzekite, ak yon travay pwograme ki anrejistre kòm
schtasks /Create /F /SC ONLOGON
/TN "\Microsoft\Windows\Multimedia\SystemSoundsService"
/TR "\"%s\""
/RL HIGHESTChemen travay la, non travay la, ak non ègzekisyon an tout reflete yon konpozan odyo Windows otantik. /RL PI WO mande pi wo nivo privilèj ki disponib la.
Konstriksyon macOS la swiv menm modèl la ak non ki apwopriye pou platfòm nan: li ekri yon lis pwopriyete pou ~/Bibliyotèk/LaunchAgents/com.apple.windowserver.helper.plist epi li mete ekzekisyon li a nan ~/.local/share/runtime/com.apple.runtimeLi tcheke pou /Aplikasyon/VMware Fusion.app ta dwe apwouve bèso tibebe w la epi /Bibliyotèk/Sipò Aplikasyon/Zouti VMware.
Kapasite rezo a kouvri twa transpò: WININET.dll pou HTTPS ak yon https://%s:%d%s fòma chèn, WS2_32.dll priz, ak DNSAPI.dll ak DnsQuery_A ansanm ak yon c.%s.%s fòma chèn — menm fòm rechèch kantite blòk premye etap la itilize a.
Deskripsyon ki anwo a se sa enpòtasyon binè a, chèn karaktè yo, ak chemen rejis yo montre lè w enspekte yo. Analiz piblik plizyè motè sou menm echantiyon Windows la ajoute detay ke yon lekti estatik yon tablo enpòtasyon pa ka etabli poukont li, epi li atribiye isit la olye ke yo repete li kòm yon obsèvasyon dirèk. Analiz sa a rapòte ke referans AMSI ak ETW yo pa sèlman rezoud men yo korije yo — Tampon AmsiScan in amsi.dll ta dwe apwouve bèso tibebe w la epi Evènman EtwWrite in ntdll.dll — ki siprime eskanè kontni an memwa ak trasaj evènman pou pwosesis la. Li rapòte verifikasyon anti-analiz yo kòm baze sou tan anplis de TchekeDebogè a Distans Prezan, epi idantifye JwennKontèksFil rele kòm yon verifikasyon pwen depa materyèl k ap li rejis debogaj yo. Li rapòte tou yon mutex yon sèl enstans, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}, ak non yo Sèvis Son Sistèm kòm valè Run-key la. Valè mutex sa a pa t pami chèn yo te rekipere isit la — filtè ekstraksyon ki te itilize a te eskli jeton egzagonal majiskil ki te gen parantèz — epi li anrejistre nan tablo endikatè a sou baz analiz piblik sa a olye de obsèvasyon dirèk.
Etap 3
Loader a fè referans a yon lòt seri chemen sou menm òdinatè yo. Yo tout te aksesib pandan analiz la: beacon_linux.bin nan 5.3 MB, beacon_mac.bin nan 13.3 MB, update_win.exe nan 10.3 MB, epi bra.bin a 4.3 MB. Yo pa t rekipere yo, epi yo pa konnen kijan pou yo fonksyone.
Pou chemen Windows la, analiz piblik loader a dekri kijan twazyèm etap sa a jere: li telechaje sou WinINet, li rive chiffres, epi li dechifre nan memwa epi li egzekite reflechisman — memwa asiyen, enpòtasyon rezoud, relokasyon trete, epi kontwòl pase nan yon nouvo fil atravè KreyeFilPoutèt sa, twazyèm etap la pa janm ekri nan sistèm fichye a, kidonk deteksyon ki baze sou fichye ak analiz disk apre ensidan pa gen anyen pou rekipere ladan l. Sa vle di tou ke rekipere okte yo nan men lame livrezon an ta bay tèks chifre, pa yon fichye ekzekisyonab analize.
Timeline
Tout timestamp yo se UTC epi yo soti nan metadone rejis npm, ki anrejistre kreyasyon pake ak depiblikasyon endepandamman de nenpòt obsèvatè.
De nan antre sa yo vo lapenn rete sou yo.
Rafal 13:04 la te mete nèf pakè nan rejis la nan kat segonn, chak ak yon sèl vèsyon nan douzèn yo e pa gen okenn. 0.0.1 anba li. Nimewo vèsyon sou echèl sa a, sou non ki gen yon jou, pa dekri yon istwa lage.
Sekans depiblikasyon an se menm jan mekanik: diznèf non, vennsenk segonn, espas egal. npm anrejistre sa yo kòm evènman depiblikasyon òdinè olye de espas vid yon sipresyon inisye pa rejis la kite dèyè, ki mete aksyon an ak kont piblikasyon an olye de rejis la.
Endikatè konpwomi
Yo retire fonksyon òdinatè ak chemen yo. Pa rezoud yo oubyen rekipere yo nan yon sistèm pwodiksyon.
Non pakè yo
Atribisyon ak konpòtman obsève
De kont npm enplike. Diznèf non ki pa pibliye yo te pibliye pa yon sèl kont; a.poltoradnev-package-c te re-anrejistre nan dat 2 Out anba yon lòt non kont ak yon lòt domèn imel. Kòd la se menm liyaj nan toude, epi dezyèm anrejistreman an pote menm òdinatè livrezon yo, menm domèn DNS rezèv yo, menm konstriksyon chemen pou depoze a, ak menm etikèt "execution-once" la.
Pè ki te repibliye a montre tou kijan yo te rasanble li. Vèsyon yo 0.0.2 ta dwe apwouve bèso tibebe w la epi 33.9.5 yo idantik an kantite okte apa de chèn vèsyon an nan package.json, ak nan index.js anbake kòm 0.0.2 deklare VÈSYON konstan = “33.9.5”Toulede atifak yo te koupe nan menm pyebwa sous la epi yo te nimewote yo apre sa. Pa gen okenn 0.0.2 istwa devlopman pou la 0.0.2 lage pou reprezante.
Nimewotasyon vèsyon yo atravè tout seri a swiv menm lojik la. Non pakè yo nan kanpay sa a li kòm bagay ki ta egziste andedan yon òganizasyon olye ke sou yon rejis piblik: yon seri konpozan UI, yon konfigirasyon ESLint, yon sondè SLA, yon pakè ki gen non yon moun. Lè yon build rezoud yon depandans pa non epi konsilte yon rejis piblik ansanm ak yon rejis prive, nimewo vèsyon ki pi wo a se li ki genyen. Yon non ki kreye nan 0.0.1 lendi epi pote 12.9.6 nan madi a byen pozisyone pou konparezon sa a.
De vag piblikasyon yo diferan tou nan yon fason ki sijere iterasyon. Kòd anvan an te rele dosye chaj li a konfigirasyon.js epi li te bay lis senk lame livrezon; dosye aktyèl la rele _polyfill.js epi li bay lis twa. Vèsyon anvan an te retire fichye ki te lage a senk segonn apre lansman an, sa ki te kite pwosesis la ap fonksyone apati yon inode ki te efase; vèsyon aktyèl la pa fè sa. Fichye ki pa gen referans lan lib/telemetri.js rete nan tarball la atravè tou de, toujou anbake, pa branche ankò.
Yon obsèvasyon sou switch pou touye yo vo mansyone davans.cisely, paske li ale kont yon lekti komen. DISABLE_TELEMETRY, ANALYTICS_OPT_OUT, epi PA_SWIV yo onore, epi yo verifye yo anvan nenpòt lòt bagay rive. Yon chèchè ki gen yon anviwònman analiz ki mete nenpòt nan yo obsève yon pake ki pa fè anyen ditou.
Enpak ak sa defansè yo ka fè
Konsekans pratik deklanchè lè enpòtasyon an se limite e li vo lapenn mansyone li poukont li. enstalasyon npm –ignore-scripts anpeche script sik lavi yo fonksyone, epi se yon bon konsèy. Li pa gen okenn efè isit la, paske kòd sa a pa itilize yon script sik lavi. Chaj la fonksyone lè kòd aplikasyon an, yon tès, yon bundler, oswa yon linter enpòte modil la an premye. Sou yon kourè CI ki enstale epi ki bati imedyatman, de yo se kèk segonn apa.
Pou lachas, siyal dirab yo estriktirèl olye ke literal. Otè yo, non fichye a, ak chemen lage yo ap chanje; fòm sa yo pi difisil pou varye:
- Yon pwen antre modil ki gen deklarasyon final li se yon eseye { mande("./x"); } trape (_) {} alantou yon fichye ki pa fè pati API ekspòte a. Yon pake ki gen yon polyfill otantik enpòte li anlè epi li itilize rezilta li. Vale chak erè ki soti nan yon enpòtasyon anba fichye a se pa jesyon erè.
- Chèn lame yo rasanble pa .antre ("") soti nan yon seri fragman. Kòd lejitim pa gen okenn rezon pou divize yon non lame (hostname) ant eleman yon etalaj.
- Yon pake ki gen depandans deklare vid men ki rive jwenn https, dn, epi pitit_pwosesis nan moman enpòtasyon an. Rekiperasyon plis ekzekisyon nan yon pake ki pibliye yon eleman koòdone itilizatè se tout dekouvèt la.
- Nimewo vèsyon ki pa konsistan avèk laj yon pake. Yon non ki te pibliye pou premye fwa kèk jou de sa nan yon vèsyon prensipal de chif, san okenn lage ant yo, ap dekri yon lòt bagay apa devlopman li.
- Ekri pou / var / tmp or % TEMP ki te swiv pa yon chmod rive nan 0755 ak yon spawn detache. Sekans lan kout, li byen òganize, epi raman benin ansanm.
Sou òdinatè Windows yo, gen de verifikasyon bon mache men ki gen anpil konfyans. Atifak pèsistans yo se chèn fiks e okenn nan yo pa ta dwe sou yon sistèm pwòp: yon travay pwograme nan \Microsoft\Windows\Miltimedya\Sèvis Son Sistèm, yon valè kle-ekzekisyon ki rele Sèvis Son Sistèm, ak yon dosye ekzekisyon ki pote non sa a anba %APPDATA%\Microsoft\Windows\Tèm\Sèvis odyo Windows orijinal la pa egziste nan okenn nan kote sa yo. Dezyèmman, loader a itilize yon mutex fiks pou yon sèl enstans, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}; prezans li sou yon lame se yon endikatè, epi paske loader a trete yon mutex ki deja egziste kòm "deja ap fonksyone", pre-kreyasyon li se yon inokilasyon kout tèm ki posib pandan y ap pwograme remèdyasyon an.
Deteksyon nan twazyèm etap la se yon pwoblèm ki pi difisil epi li vo lapenn pou nou klarifye li. Dapre kont analiz piblik la, li dechifre epi li trase nan memwa olye pou l ekri sou disk, kidonk eskanè fichye ak analiz disk pa pral wè li. Sa ki rete obsèvab se pwòp anprint loader la - antre pèsistans yo, mutex la, ak demann sortan yo bay lame livrezon yo oswa domèn DNS-TXT yo.
Pou anviwònman ki rezoud depandans ki soti nan yon rejis prive ak yon rejis piblik, mezi pou diminye pwoblèm nan pa chanje ak anyen isit la: mete non entèn yo nan yon kad pou yon non piblik pa ka satisfè yo, epi mete rezolisyon an nan rejis entèn lan pou kad sa yo. Konpòtman enflasyon vèsyon ki dekri pi wo a sèlman fonksyone kote yon vèsyon piblik ki pi wo ka genyen yon non.
Finalman, li vo lapenn li ak anpil atansyon olye ke li se yon fen. Diznèf non te kite rejis la nan vennsenk segonn epi youn te retounen yon jou apre anba yon nouvo kont, ak enfrastrikti livrezon an san touche pandan tout tan an. Retire pakè yo pa vle di retire operasyon an; òdinatè yo te kontinye sèvi chak etap pandan y ap ekri sa a. Nenpòt pyebwa depandans ki te rezoud youn nan non sa yo ant 31 jiyè ak 1ye out ta dwe trete kòm si li te gen opòtinite pou egzekite premye etap la, kit non an toujou egziste oswa non.
Referans
- Analiz plizyè motè nan loader Windows la — sous pou patch AMSI/ETW, ekzekisyon refleksyon an memwa, ak detay mutex ki atribiye pi wo a.
- Dokimantasyon script npm yo — evènman sik lavi kanpay sa a pa itilize yo.
- Dokimantasyon enstalasyon npm — kouvri –Ignore-Scripts ak dimansyon li.
