TL; DR
N'agbata Eprel 1 na Mee 3, 2026, otu onye mbipụta npm, user0001, edenyere aha na adreesị Gmail a na-anaghị enyocha tanvisoul9@gmail.com, jiri nwayọ kwaga ngwugwu isii nwere aha ndị a ma ama, ndị na-ada ụda akụrụngwa: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, na node-env-resolve.
Ụdị abụọ kachasị ọhụrụ nke node-env-resolve, 1.0.7 na 1.0.8, ka sistemụ Xygeni's Malware Early Warning (MEW) gosiri na ọ bụ ihe ọjọọ na Mee 2 ma gosi na ọ bụ ihe ọjọọ na Mee 3.
Ihe a na-etinye n'ime ihe a adịghị ahụkebe maka ihe ọ na-abụghị: enweghị bot Telegram, enweghị oku OAST, mba obfuscation, na enweghị mgbalị iji nweta asambodo AWS n'oge nrụnye. Kama, postinstall.js na-akụ ntinye Windows boot-persistence, site na iji igodo HKCU Run nke na-amalite wscript.exe megide VBS stub. Mgbe ahụ ọ na-emepụta ihe nnọchite anya Node.js nke na-ejikọta modulu maka ijide igwe okwu, izu ohi akụkọ ihe nchọgharị, nseta ihuenyo, na ịme ihe ngosi òké/keyboard.
Anyị na-akpọ otu a klaasị DevTap, mgbe ngwa ahụ gasịrị, ọ na-apụ na igwe onye nrụpụta.
Ngwugwu isii niile dị ndụ na npm n'oge a na-ede ihe a. Anyị enyela ha na ọwa mmegbu nke ndekọ ahụ. Ndị na-agbachitere kwesịrị iwepụ ntinye ọ bụla n'aka onye mbipụta tupu ewepụ ya.
Òtù: Ngwugwu isii, otu onye mbipụta
Akaụntụ onye mbipụta ahụ user0001 enweghị nkwenye. O nweghị SCM nkwenye, enweghị ozi-e jikọtara na ngalaba, enweghịkwa akụkọ ihe mere eme gara aga. Njikwa Gmail tanvisoul9 ọ pụtaghị na ndekọ onye mbipụta npm ọ bụla ọzọ anyị nwere ike ịchọta.
Ngwugwu isii niile depụtara otu onye na-elekọta ha, e bipụtara ha site n'otu akaụntụ, ma kesaa otu ihe ahụ. package.json efere ihe eji esi nri. Enweghị repository, ee e homepage, ma ee e description ogologo karịa otu ahịrị.
Usoro aha bụ akụkụ na-adọrọ mmasị. N'adịghị ka mkpọsa ndabere-mgbagwoju anya ma ọ bụ typosquat nkịtị, ọ dịghị otu n'ime aha ndị a lekwasịrị anya n'ọbá akwụkwọ dị n'elu. Kama, a na-ahazi ha ka ha pụọ n'ezie package.json or npm ls mmepụta.
| ngwugwu | Mbụ bipụtara | Versiondị Ọhụrụ | Versions | Ọrụ na Klọsta |
|---|---|---|---|---|
| onye na-ede ihe etiti | 2026-04-01 12:46 UTC | 1.0.9 | 5, site na 1.0.5 ruo 1.0.9 | Mkpuchi "ọrụ ndekọ" nke Cluster; mbipụta mbụ |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Mkpuchi enyemaka DOM nkịtị |
| node-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Ezinụlọ Mimics node-fetch |
| onye nnọchite anya njikọ | 2026-04-25 05:12 UTC | 1.0.0 | 1 | Aha izugbe "onye nnọchite anya" |
| oge ọrụ node-gyp | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Ngwaọrụ owuwu Mimics nke nwere modulu obodo |
| dozie node-env | 2026-04-25 05:21 UTC | 1.0.9 | 10, site na 1.0.0 ruo 1.0.9 | ihe na-adọpụ ihe na-arụ ọrụ; ihe e tinyere n'ime ya zuru oke |
Aha dị ka centralogger, node-fetch-lite, na node-gyp-runtime e mere ha ka ha yie ihe na-anaghị agbagha agbagha na nyocha koodu. Ha na-ada ka ihe ndị ga-adịlarị n'osisi ịdabere na ọrụ.
Ha na ndị mbipụta ọhụrụ, nke a na-anaghị enyocha na njikọ ebe nchekwa data na-efu, ha na-etolite usoro a na-amata: onye na-eme ihe nkiri na-etinye aha ndị na-adịghị mma n'ime ndekọ ahụ, wee maliteghachi ngwa ngwa na nke dị mkpa. N'okwu a, node-env-resolve natara ụdị iri n'ime ụbọchị asatọ.
Ihe Na-ada na Igbe Mmepụta Windows
Agbụ ọjọọ dị na node-env-resolve:1.0.8 dị mkpụmkpụ, kpọmkwem, ma nwee atụmatụ pụrụ iche maka npm RAT.
Mgbe etinyere ya: Nkwụsi ike na Onye nnọchi anya nkewapụrụ
package.json na-ekwupụta otu njikọ nrụnye:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js na-eme ihe atọ n'usoro.
Nke mbụ, ọ na-ahazi ndekọ nrụnye n'èzí osisi npm. A na-agbakọ ụzọ ahụ n'oge ọsọ na edemede ahụ dị ka INSTALL_DIRMgbe ahụ ọ na-agba ọsọ n'ime execSync('npm install --production --silent ...') n'ime ya iji dọpụta ihe ndị metụtara oge ọrụ nke ihe etinyere n'ime ya. Nke a na-etinye ihe nnọchi anya ahụ na diski ebe ntuziaka. node_modules agaghị ahụ nyocha.
Nke abụọ, ọ na-ede ihe mmalite VBS ma na-edeba ya maka nkwụsi ike buut:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe bụ Windows Script Host, nke bụ Microsoft binary nke e tinyere aka na ya nke na-agba ọsọ .vbs faịlụ na-enweghị windo njikwa. Nke ahụ bụ tupucisihe kpatara ya bụ na ọ ka mma maka sistemụ arụmọrụ autorun.
E nwekwara otu ihe dakọtara reg delete ụzọ dị n'ime src/index.js, na-atụ aro na e mere ihe e tinyere n'ime ihe ahụ ka ọ bụrụ nke a pụrụ iwepụ kpamkpam na iwu onye ọrụ.
Nke atọ, ọ na-emepụta usoro nwatakịrị nkewa:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })Nkọwa abụọ dị mkpa ebe a.
SERVER_URL a na-agụ site na gburugburu ebe obibi. N'ihi ya, a na-ahazi njedebe C2 kwa ntinye ma ọ bụghị n'ime ngwugwu ahụ. Nhọrọ nta ahụ mana e ji aka mee na-emeri ọtụtụ nyocha static-IOC.
Ọzọkwa, nwa a mụrụ ga-eketa gburugburu ebe obibi nne na nna ya zuru oke. Ya mere, ihe ọ bụla NPM_TOKEN, AWS_*, GITHUB_TOKEN, ma ọ bụ oghere SSH-agent dị na shei onye nrụpụta n'oge nrụnye na-abanye na ebe nchekwa onye nnọchi anya ahụ dị ogologo oge.
Ihe Onye Nnọchiteanya Na-ebuga
The jikọtara src/ osisi ahụ nwere modulu atọ aha ha na-akọ akụkọ ahụ: audioCapture.js, browserHistory.js, na systemInfo.js.
Ndepụta ndabere oge ọrụ, edoziri n'oge a na-ahazi usoro npm install, na-akwado ha.
Ụzọ a na-eme ka ihe na-eme n'ọgba aghara ghọọ nzaghachi a na-achịkwa.
Kama imeghachi omume n'amaghị ama, ndị otu na-arụ ọrụ na idobe ihe nke ọma na idozi ya ngwa ngwa.
| dependency | Ihe Ọ Bụ Maka N'ọnọdụ A |
|---|---|
| nseta ihuenyo-desktọpụ | Ịdekọ ihuenyo mgbe niile |
| @ndụdụ-osisi-akị/ndụdụ-akị | Mmegharị aka nke òké na ahụigodo / ntinye |
| mma-sqlite3 | Ọgụgụ ozugbo nke Chrome, Edge, na Firefox History SQLite data |
| adm-zip | Ịchịkọta ihe ndị e ji aka chịkọta tupu a wụpụ ha |
| nkọ | Ịhazi nha/ịkpakọ nseta ihuenyo na ihe onyonyo |
| socket.io-client | Ọwa C2 nke na-adịgide adịgide |
| node-machine-id | Mkpisi aka kwụsiri ike maka onye ọ bụla na-akwado ya maka nsochi onye a na-eme ihe ike |
systemInfo.js oku os.networkInterfaces() maka nyocha mkpịsị aka ọzọ tupu akara mbụ ahụ.
Ihe Mere Ndekọ Ọdịyo Ji Bụrụ Ihe Mgbaàmà Pụrụ Iche
Ọtụtụ npm RATs anyị na-enyocha na MEW na-akwụsị na izu ohi nzuzo n'oge nrụnye. Ha na-agụ ~/.npmrc, gụọ ~/.aws/credentials, kpụchaa process.env, BIpụ na webhook, wee pụọ. Nke ahụ dabara na ụdị akụnụba dị mfe ma dị mfe iji. Asambodo nwere ọkara ndụ dị mkpirikpi, onye na-awakpo ahụ kwesịkwara ịkpata ego ngwa ngwa.
node-env-resolve dị iche na ọdịdị.
A na-edozi nnọgidesi ike ahụ ka ọ dịgide na mmaliteghachi. Onye nnọchi anya ahụ na-apụ apụ ma na-adịru ogologo oge n'okpuru wscript.exeNgwa ọ na-ebu bụ maka ịnọ ebe ahụ na igwe onye nrụpụta, ọ bụghị maka ijide na ịpụ: ihe ndekọ igwe okwu, ihe ọkwọ ụgbọala kiiboodu/òké, ihe nchọgharị zuru oke na-etinye, njide ihuenyo, na ọwa Socket.IO na-emekọrịta ihe laghachi na C2 nke enwere ike ịhazi.
Njide igwe okwu karịsịa bụ akara mgbasa ozi a na-agafe nke ọtụtụ malware npm anaghị agafe.
Ebe ọrụ mmepụta ihe na-aghọkarị ebe ọrụ ebe ndị mmepe na-anọ, na-akpọ oku ndị ahịa, na-ekwurịta okwu gbasara imewe, na-akpọ oku. Ihe e tinyere n'ime igwe okwu anaghị agbaso ihe ngosi npm nke onye nrụpụta. Ọ bụ ihe onye nrụpụta ahụ kwuru n'ihu laptọọpụ ahụ.
E tinyela ikike ahụ, tinyere enweghị ihe mgbochi na enweghị ihe ọ bụla na-eme ka ọ dị mma n'oge nrụnye, dị ka ihe e ji echekwa ohere maka nnweta ezubere iche kama izu ohi asambodo ohere.
Anyị anaghị ekwu na ọ bụ naanị nke a ka anyị na-ekwu. Anyị na-ahụ profaịlụ ọrụ.
Oge mmegharị nke ụbọchị asatọ ahụ dị na node-env-resolve bụ nkọwa kachasị mkpa n'oge usoro iheomume.
Nke a abụghị ihe a na-atụfu ma chefuo. Onye mbipụta akwụkwọ ahụ na-ejigide ihe ndọda ahụ nke ọma, nke na-apụtakarị otu n'ime ihe abụọ. Ma ha na-agbanwe ya ka ọ dabara na gburugburu nnwale tupu e tinye ya n'ọtụtụ ebe, ma ọ bụ ha enweelarị ihe ndọda ahụ na-alaghachi ma na-aza ya.
Ngwugwu ise ndị ọzọ ahụghị mgbanwe ọ bụla mgbe ebipụtachara ha mbụ. Nke ahụ dabara na usoro "otu oge, aha aha" maka otu nkwado ebe mbọ injinia na-elekwasị anya na ngwugwu nke na-arụ ọrụ ahụ.
Nkọwapụta: Obere Ntụaka, Enweghị Mkpebi Siri Ike
Public OSINT ihe mgbaàmà dị gịrịgịrị, anyị agaghịkwa agbatị ha. Ihe a na-ahụ anya:
Aka Gmail tanvisoul9 yiri nke dị n'akụkụ aha e nyere na South Asia, "Tanvi." Nke a bụ ihe mgbaàmà na-adịghị ike. Aka Gmail abụghị njirimara, ihe ndị na-esochi ya bụkwa ihe na-esochi ya. soul9 ọ bụ nke a na-ahụkarị. Ọ dịghị mma ịchọpụta ọdịdị ala site na email mpaghara naanị.
Ụdị koodu ahụ enweghị atụ Node.js: standard oku ọbá akwụkwọ dịka os, child_process, spawn, na reg addEnweghị ihe mgbochi, enweghị ntụgharị eriri, na enweghị usoro mgbochi nchọpụta nsogbu. Onye dere ya nwere obi ụtọ na ihe mbụ e ji edekọ Windows na nhazi usoro nwa, mana o yighị ka ọ na-achọ azụmaahịa zoro ezo nke ha nwere ike iji.
A naghị ewere ihe ndị a dịka ihe na-adịghị mma ma a maara nke ọma: screenshot-desktop, nut-js, better-sqlite3, na socket.io-clientEnweghị usoro omenala, enweghị nchịkọta C2 a gbagọrọ agbagọ, ọ dịghịkwa aghụghọ ntachi obi ọhụrụ gafere akwụkwọ ọgụgụ Igodo ọsọ HKCUNke a bụ onye na-eme ihe dị mkpa, ọ bụghị onye dere ngwa ọrụ.
Anyị ahụghị eriri ndị na-abụghị nke Bekee, okwu ndị e tinyere n'ime ha, data mpaghara, ma ọ bụ mkpịsị aka mpaghara oge ihe mejupụtara n'ime ihe ochie ndị e bipụtara.
Anyị lere anya maka njikọ koodu na mkpọsa ndị gara aga anyị na-esochi, gụnyere Shai Hulud, Owiviọn, Buildkite, na heibai / nke na-adịbeghị anya claude-code-best Ezinụlọ Anthropic-CLI clone. Anyị ahụghị nke ọ bụla: enweghị ụkpụrụ C2 ekekọrịtara, enweghị nhazi faịlụ ekekọrịtara, na enweghị okwu ekekọrịtara.
Ihe anyị na-agaghị ekwu: na nke a bụ onye ome ihe gbasara steeti, otu a maara, ma ọ bụ nke jikọtara ya na obodo ọ bụla kpọmkwem.
Nkọwa ọrụ ahụ kwekọrọ na obere ndị otu nwere nkà dị nta na-eme nleba anya na ebe ọrụ ndị mmepe. O yikarịrị ka ọ bụ ego sitere na iji ohere ahụ eme ihe n'ụzọ dị ala, mana o nwekwara ike ịbụ ọrụ nyocha maka onye zụrụ ya.
Isi ihe abụọ na-apụtaghị ìhè na-akwado nke na-agụ: izere usoro mwepụ ihe na-adọrọ adọrọ nke ga-agba ọkụ ngwa ngwa, dị ka bots Telegram, oastify.com, ma ọ bụ canarytokens, na aha ngwugwu ndị a na-amaghị ama, nke na-akwado ntinye ọdụ ogologo dị jụụ n'ime obere mmụba olu dị elu.
Ihe Ndị Na-egosi Nkwekọrịta na Nchọpụta
| Ngwugwu na Onye Mbipụta | |
|---|---|
| ubi | uru |
| onye mbipụta npm | user0001 |
| Ozi email onye mbipụta | tanvisoul9@gmail.com, ekwenyeghị |
| nchịkọta | centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, node-env-resolve |
| Ekwenyesiri na e nwere ihe ọjọọ | node-env-resolve@1.0.7, node-env-resolve@1.0.8 |
| Ihe Ochie Ndị Nnọchiteanya | |
|---|---|
| ụdị | uru |
| Isi ihe na-adịgide adịgide | HKCU\Software\Microsoft\Windows\CurrentVersion\Run |
| Uru nkwụsi ike | Aha mgbanwe; data nke ụdị wscript.exe " \\ .vbs" |
| Wụnye nko | postinstall: node postinstall.js na ngosipụta ngwugwu |
| Modulu ntinye | src/audioCapture.js, src/browserHistory.js, src/systemInfo.js |
| Ndepụta nhazi | Edoziri INSTALL_DIR n'èzí modulu node_ọrụ ahụ; postinstall.js setịpụrụ ọnọdụ ahụ n'oge nrụnye. |
| Network | |
|---|---|
| ụdị | uru |
| Njem C2 | socket.io-client, ọwa abụọ na-adịgide adịgide |
| njedebe C2 | Enyere onye nnọchi anya ahụ site na mgbanwe gburugburu ebe obibi SERVER_URL; anaghị akọwapụta koodu siri ike n'ime ihe ochie ebipụtara |
Ihe Ndetu Nchọpụta
Iwu abụọ na-ejide ezinụlọ a na-enweghị mkpa njedebe C2.
Nke mbụ, tọọ akara edemede postinstall nke na-arụ ọrụ dị n'ime npm install banye n'ụzọ dị n'èzí ndekọ nke ngwugwu ahụ. Onye nbudata ihe owuwu mbụ ọ bụla ziri ezi, dịka node-gyp na-ewughachi ma ọ bụ na-ebudata ihe ndị na-ebudata ihe ọhụrụ, na-ede ihe n'ime ngwugwu ahụ ma ọ bụ n'ime ikpo okwu-standard ụzọ nchekwa nwere hashes enyochachara. Ọ naghị ede ihe n'ime nke e kere ọhụrụ INSTALL_DIR ebe ọzọ na diski.
Nke abụọ, tọọ akara edemede postinstall nke na-apụta reg add HKCU\…\Run na wscript.exe dị ka onye na-ebupụta ihe. Nke a abụghị ihe ziri ezi site na ngwugwu npm. Kpọọ ya akara ma kpọchie ya iche.
Nkọwa nke atọ bara uru maka ịchọpụta ngwugwu nwanne na-esote tupu ekwenye ya: onye mbipụta npm ọhụrụ na-enweghị SCM nkwenye, email Gmail, mba repository ubi, na ọtụtụ aha ngwugwu dị mkpụmkpụ, nke a na-ebipụta n'ime ụbọchị ole na ole nke ibe ha, zuru oke iji kwado nyocha aka.
Akọrọ m ya na ndekọ npm. Anyị ga-emelite ozi a mgbe ewepụchara akaụntụ onye mbipụta ahụ.
