TL; DR
Rong puluh paket npm sing diterbitake sajrone rong dina ing pungkasan Juli lan awal Agustus 2026 nampilake awake dhewe minangka pustaka komponen UI internal lan utilitas backend sing dienggo bareng. Ora ana sing ngetrapake fungsi sing diiklanake. Saben ngirim kelas stub, README sing nggambarake paket kasebut minangka internal, lan file sing diarani _polyfill.js.
Bagean sing menarik yaiku saka ngendi file kasebut diundang. Iku dudu gantungan instalasi — manifes kasebut nyatakake ora ana prainstal, instalasi, utawa pascainstal babar pisan. Nanging, baris pungkasan saka index.js maos: try { require("./_polyfill"); } catch (_) {}Payload mbukak nalika kode aplikasi pisanan ngimpor paket kasebut. Nginstal nganggo --ignore-scripts, ing standard saran kanggo ngurangi paparan rantai pasokan nalika instalasi, ora nyegah iku.
Opo _polyfill.js Cara kerjane yaiku njupuk file eksekusi khusus platform saka salah siji saka telung host Cloudflare Workers, nulis menyang direktori sementara kanthi jeneng acak, menehi tandha minangka file eksekusi, lan ngluncurake kanthi kapisah saka proses induk. File eksekusi kasebut dhewe minangka loader: file kasebut ngetung produk keamanan titik akhir kanthi jeneng proses, mriksa jeneng panganggo saiki karo akun lingkungan analisis sing dikenal, nambal antarmuka telemetri AMSI lan ETW ing memori, nginstal persistensi kanthi jeneng komponen audio Windows, lan njupuk biner katelu kanthi ukuran sawetara megabyte. Tahap katelu teka kanthi enkripsi lan didekripsi lan dieksekusi ing memori tinimbang ditulis menyang disk.
Tanggal 1 Agustus, kira-kira patang jam sawisé paket-paket kasebut dikonfirmasi mbebayani nalika ditinjau manual, sangalas saka rong puluh jeneng kasebut dibusak saka npm déning penerbité dhéwé sajrone rong puluh lima detik. Tanggal 2 Agustus, salah siji jeneng kasebut didaftaraké manèh — déning akun liya, sing nggawa kode sing padha. Infrastruktur pangiriman nglayani kabeh telung tahapan nalika iki ditulis.
| Packages | 20 jeneng npm, ~74 versi sing wis diterbitake |
| Njenengi tema | beaver-ui-* (13), accounts-* (3), ditambah afisha-storybook-default, bcore-bravo-eslint-config, arbocrate-sla-prober-arbocrate-sla-prober-core, a.poltoradnev-package-c |
| Pemicu | Impor modul (require), dudu skrip siklus urip npm |
| 1 internship | _polyfill.js - njupuk lan miwiti |
| 2 internship | Loader sing disambungake sacara statis, dikemas UPX ing Linux; enumerasi keamanan titik pungkasan, patching AMSI/ETW, persistensi |
| 3 internship | beacon_linux.bin / beacon_mac.bin / update_win.exe, 4–13 MB; dikirim kanthi dienkripsi, dieksekusi ing memori |
| Platform | Linux x64 lan arm64, macOS universal, Windows x64 |
| Publishers | Rong akun, siji basis kode |
| status | 19 saka 20 jeneng durung diterbitake dening operator; 1 diterbitake maneh lan langsung; infrastruktur pangiriman langsung |
Anatomi serangan
Tahap 1 — paket
Saben anggota ngirim wujud telung file sing padha. indeks.js ngekspor kelas nganggo init() sing nyetel boolean, a versi(), Lan ngatur() sing nggabungake obyek opsi. Ora ana liyane. README.md menehi baris instalasi, a mbutuhake baris, lan ukara "Paket internal. Deleng CONTRIBUTING.md kanggo pandhuan" — KONTRIBUSI.md ora ana ing tarball.
_polyfill.js ukurané kurang saka 5 KB lan diwaca minangka kode infrastruktur biasa. Iki dibukak nganggo telung pamriksan lingkungan:
if (process.env.DISABLE_TELEMETRY ||
process.env.ANALYTICS_OPT_OUT ||
process.env.DO_NOT_TRACK)
return;Variabel-variabel kasebut minangka kontrol privasi konvensional. Ing kene dheweke ngetung apa biner diundhuh lan dieksekusi. Mesin sing nyetel AJA_LAKONI dilewati kabeh.
Sabanjure ana cap run-once: file ing /tmp/.analytics_state, utawa analitik_state ing % TEMP% ing Windows, sing wektu modifikasine dibandhingake karo jendela 20,357 detik. Ing jendela kasebut, modul kasebut langsung bali, mula impor sing bola-bali sajrone pembangunan ngasilake siji upaya pengambilan tinimbang puluhan.
Host tujuan ora ana minangka literal. Iki dirakit nalika runtime saka fragmen:
["oob-worker.cf102-","baf.workers.d","ev"].join("")
Telung host digawe kanthi cara iki lan dikocok sadurunge digunakake, mula urutane beda-beda saben eksekusi. Retrieval yaiku HTTPS GET sing disemat menyang IPv4 nganggo Agen Panganggo of njupuk simpul/2.6 — nilai sing masuk akal kanggo proses Node supaya bisa dipancarake. Respon sing kurang saka 1,000 byte dibuwang lan host sabanjure dicoba.
Yen kabeh telu gagal, modul kasebut bali menyang DNS. Modul kasebut ngetokake query TXT kanggo c. kanggo entuk cacahing potongan, banjur njaluk 0. liwat n. (utawa: n.) ing batch sepuluh, nggabungake jawaban, lan base64-dekode asil. Path iki nggawa file sing bisa dieksekusi sing padha liwat rekaman TXT DNS, sing bisa tahan ing lingkungan ing ngendi HTTP metu difilter nanging resolusi DNS ora.
Byte sing dijupuk ditulis menyang /var/tmp/.cache_<8-hex> ing Unix, utawa %TEMP%\dotnet_diag_<8-hex>.exe ing Windows — jeneng berkas sing diwaca minangka artefak diagnostik .NET. Ing Unix berkas kasebut diwenehi mode 0755. Peluncuran yaiku ngendhog karo kapisah: bener, stdio: "ora usah digatekake", Lan ora nuduhake (), dadi anak kasebut urip luwih suwe tinimbang proses Node sing miwiti; ing Windows, panyuwunan kasebut nambahake windowsNdhelikake: bener.
Rong rincian ngrampungake gambar kasebut. Pembantu sing ditegesake minangka const _l = (…a) => proses.stderr.nulis("") ditimbali ing saben langkah pengambilan — file kasebut nulis string kosong lan mbuwang argumen-argumen kasebut, manggoni posisi ing ngendi logging bakal dilebokake. Lan saben paket ngirim file 81 KB ing lib/telemetri.js sing komentar header-e nggambarake "Analytics SDK" nganggo "transportasi HTTPS nganggo rotasi endpoint lan coba maneh" lan "panemuan layanan berbasis DNS kanggo failover". Ing versi saiki, ora ana sing mbutuhake.
Tahap 2 — loader
Binary Linux x64 kuwi ELF sing disambungake sacara statis sing dikompres nganggo UPX 3.96. Build macOS kuwi binary universal sing nutupi x86_64 lan arm64; Build Windows kuwi eksekusi konsol PE32+ sing wis dicopot. Kabeh papat mau dijupuk lan ditliti kanthi statis; ora ana sing dieksekusi.
Impor lan tabel string ing Windows build njlèntrèhaké prilakuné kanthi gamblang. Iki ngrampungaké IsDebuggerPresent, PriksaRemoteDebuggerPresentasi, Lan Proses Informasi NtQuery, lan maca SISTEM\CurrentControlSet\Layanan\Disk\Enum — jalur registri sing nilaine ngenali kontroler disk virtual. Iki nyeluk Entuk DiskFreeSpaceExW lan StatusMemoriGlobalEx, konsisten karo mriksa apa sumber daya host cocog karo conto analisis sing umure cendhak.
Iku nggawa dhaptar jeneng panganggo: Panganggo Saiki, Admin IT, Hong Lee, Kothak Uji, wong-wong sing ora duwe omah, milozs, timmy, admin, malware, konteks, virus, lingkunganSawetara iki minangka artefak saka lingkungan analisis sing didokumentasikake sacara umum.
Iki uga nggawa dhaptar produk keamanan endpoint lan jeneng prosese, sing dicantumkan liwat CreateToolhelp32Snapshot lan Proses 32PisananW/Proses 32SabanjureW:
- CrowdStrike Falcon (
csfalconservice,CSFalconContainer) - Karbon Hitam (
cb.exe) - Siluman (
cylancesvc.exe) - Bitdefender (
bdagent.exe) - Kaspersky (
avp.exe,kavfs.exe) - Keamanan Trend Micro lan Deep (
coreServiceShell,ds_agent.exe) - FireEye/Trellix (
xagt.exe) - Tanium (
taniumclient.exe) - Hitmanpro (
hmpalert.exe) - lentur (
elastic-agent.exe,elastic-endpoint,filebeat.exe,winlogbeat.exe) - Wazuh lan OSSEC (
wazuh-agent.exe,ossec-agent.exe) - Check Point
- Windows Defender
Ana rong simbol liyane: AmsiScanBuffer, titik mlebu sing diekspos Windows kanggo pemindaian konten ing memori, lan EtwEventWrite, fungsi sing digunakake kanggo nglacak kedadeyan ing Windows kanggo ngrekam kedadeyan. Kalorone minangka target umum kanggo modifikasi sajrone proses sing nyegah telemetri sing bakal diasilake antarmuka kasebut.
Persistence katon kaping pindho ing Windows. Binary kasebut disalin menyang %APPDATA%\Microsoft\Windows\Themes\SystemSoundsService.exe, lan ana rong mekanisme sing ngrujuk: nilai ing ngisor iki PIRANTI LUNAK\Microsoft\Windows\Versi Saiki\Run, lan tugas sing wis dijadwalake kadhaptar minangka
schtasks /Create /F /SC ONLOGON
/TN "\Microsoft\Windows\Multimedia\SystemSoundsService"
/TR "\"%s\""
/RL HIGHESTJalur tugas, jeneng tugas, lan jeneng sing bisa dieksekusi kabeh nggambarake komponen audio Windows asli. /RL PALING DUWUR njaluk tingkat hak istimewa paling dhuwur sing kasedhiya.
Pambangun macOS ngetutake pola sing padha karo jeneng sing cocog karo platform: macOS nulis dhaptar properti kanggo ~/Library/LaunchAgents/com.apple.windowserver.helper.plist lan nyelehake sing bisa dieksekusi ing ~/.local/share/runtime/com.apple.runtimeIku mriksa /Aplikasi/VMware Fusion.app lan /Pustaka/Dhukungan Aplikasi/Piranti VMware.
Kapabilitas jaringan nyakup telung transportasi: WININET.dll kanggo HTTPS nganggo https://%s:%d%s format string, WS2_32.dll soket, lan DNSAPI.dll karo DnsQuery_A bebarengan karo c.%s.%s format string — wangun query cacah-chunk sing padha karo sing digunakake ing tahap pertama.
Katrangan ing ndhuwur yaiku apa sing dituduhake dening impor, string, lan jalur registri binar nalika dipriksa. Analisis multi-mesin umum saka conto Windows sing padha nambahake rincian sing ora bisa ditetepake dening maca statis tabel impor dhewe, lan dihubungake ing kene tinimbang dinyatakake maneh minangka pengamatan langsung. Analisis kasebut nglaporake manawa referensi AMSI lan ETW ora mung dirampungake nanging uga ditambal — AmsiScanBuffer in amsi.dll lan EtwEventWrite in ntdll.dll — sing nyegah pemindaian konten ing memori lan pelacakan acara kanggo proses kasebut. Iki nglaporake pamriksan anti-analisis minangka adhedhasar wektu saliyane PriksaRemoteDebuggerPresentasi, lan ngidentifikasi Konteks EntukUtas nelpon minangka pamriksan breakpoint perangkat keras sing maca register debug. Uga nglaporake mutex instansi tunggal, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}, lan jeneng Layanan SistemSwara minangka nilai Run-key. Nilai mutex kuwi ora kalebu string sing ditemokake ing kene — filter ekstraksi nggunakake token heksadesimal kapital sing dikurung — lan dicathet ing tabel indikator adhedhasar kekuwatan analisis umum kasebut tinimbang pengamatan langsung.
3 internship
Loader kasebut ngrujuk sakumpulan jalur luwih lanjut ing host sing padha. Kabeh bisa dijangkau sajrone analisis: beacon_linux.bin ing 5.3 MB, beacon_mac.bin ing 13.3 MB, nganyari_win.exe ing 10.3 MB, lan tong sampah kanthi ukuran 4.3 MB. Iki ora bisa dijupuk, lan prilakune ora dingerteni.
Kanggo jalur Windows, analisis umum loader njlèntrèhaké kepriyé tahap katelu ditangani: dijupuk liwat WinINet, tekan kanthi dienkripsi, lan didekripsi ing memori lan dieksekusi kanthi reflektif — memori dialokasikan, impor dirampungaké, relokasi diproses, lan kontrol dikirim menyang thread anyar liwat Nggawe UtasAmarga saka iku, tahap katelu ora tau ditulis menyang sistem file, mula deteksi berbasis file lan forensik disk pasca-kedadeyan ora ana sing bisa dipulihake. Iki uga tegese njupuk byte saka host pangiriman bakal ngasilake ciphertext, dudu file sing bisa dieksekusi sing bisa dianalisis.
timeline
Kabeh cap wektu iku UTC lan asale saka metadata registri npm, sing nyathet nggawe lan ora diterbitake paket kanthi mandiri saka pengamat apa wae.
Loro saka entri iki pantes dirembug.
Burst 13:04 ndadekake sangang paket mlebu registri sajrone patang detik, saben paket mung ana siji versi ing rolas detik lan ora ana siji paket liyane. 0.0.1 ing ngisore. Nomer versi ing skala iki, ing jeneng sing umure sedina, ora nggambarake riwayat rilis.
Urutan ora diterbitake uga mekanis: sangalas jeneng, rong puluh lima detik, jarak sing padha. npm nyathet iki minangka kedadeyan ora diterbitake biasa tinimbang placeholder sing ditinggalake dening penghapusan sing diwiwiti dening registri, sing nyelehake tumindak karo akun penerbitan tinimbang karo registri.
Indikator kompromi
Host lan path wis ora ana fungsine. Aja dirampungake utawa dijupuk saka sistem produksi.
Jeneng paket
Atribusi lan prilaku sing diamati
Ana rong akun npm sing terlibat. Sangalas jeneng sing durung diterbitake diterbitake dening siji akun; a.poltoradnev-package-c didaftarake maneh tanggal 2 Agustus nganggo jeneng akun lan domain email sing beda. Kode kasebut nduweni garis keturunan sing padha ing loro-lorone, lan registrasi kapindho nggawa host pangiriman sing padha, domain fallback DNS sing padha, konstruksi jalur drop sing padha, lan cap run-once sing padha.
Pasangan sing diterbitake maneh uga nuduhake kepiye carane dirakit. Versi 0.0.2 lan 33.9.5 iku identik karo byte kajaba string versi ing paket.json, Lan indeks.js dikirim minangka 0.0.2 nyatakake const VERSI = “33.9.5”Kaloro artefak kasebut dipotong saka siji wit sumber lan diwenehi nomer sawise iku. Ora ana 0.0.2 sejarah pembangunan kanggo 0.0.2 ngeculake kanggo makili.
Penomoran versi ing kabeh set ngetutake logika sing padha. Jeneng paket ing kampanye iki diwaca minangka barang sing bakal ana ing njero organisasi tinimbang ing registri umum: set komponen UI, konfigurasi ESLint, prober SLA, paket sing dijenengi miturut jeneng wong. Nalika build ngatasi dependensi kanthi jeneng lan konsultasi karo registri umum bebarengan karo registri pribadi, nomer versi sing luwih dhuwur yaiku sing menang. Jeneng sing digawe ing 0.0.1 dina Senin lan nggawa 12.9.6 dina Selasa diposisikan kanggo perbandingan kasebut.
Rong gelombang publikasi uga beda kanthi cara sing nuduhake iterasi. Kode sadurunge menehi jeneng file payload persiyapan.js lan ndhaptar limang host pangiriman; file saiki dijenengi _polyfill.js lan ndhaptar telu. Versi sadurungé mbusak file sing dicopot limang detik sawisé diluncurake, saéngga proses kasebut mlaku saka inode sing dibusak; versi saiki ora. Sing ora direferensikake lib/telemetri.js tetep ana ing tarball ing loro-lorone, isih dikirim, ora dipasang kabel maneh.
Siji pengamatan babagan saklar mateni sing pantes dicritakake sadurungecisely, amarga ngelawan bacaan umum. TELEMETRI_MATIKAN, ANALITIS_OPT_OUT, Lan AJA_LAKONI diajeni, lan dicenthang sadurunge kedadeyan liyane. Peneliti sing lingkungan analisise nyetel salah sijine mirsani paket sing ora nindakake apa-apa.
Dampak lan apa sing bisa ditindakake para pembela
Akibat praktis saka pemicu wektu impor iku sempit lan pantes kasebut dhewe. npm nginstal –ignore-scripts nyegah skrip siklus urip supaya ora mlaku, lan iki saran sing apik. Iki ora ana efek ing kene, amarga kode iki ora nggunakake skrip siklus urip. Payload mlaku nalika kode aplikasi, uji coba, bundler, utawa linter ngimpor modul dhisik. Ing runner CI sing nginstal banjur langsung dibangun, loro-lorone mung sawetara detik.
Kanggo mburu, sinyal sing awet luwih struktural tinimbang harfiah. Host, jeneng file, lan jalur drop bakal owah; bentuk iki luwih angel diowahi:
- Titik mlebu modul sing pernyataan pungkasane minangka nyoba { mbutuhake("./x"); } nyekel(_) {} ngubengi file sing dudu bagean saka API sing diekspor. Paket nganggo polyfill asli ngimpor saka sisih ndhuwur lan nggunakake asilé. Ngonsumsi saben kesalahan saka impor saka sisih ngisor berkas dudu penanganan kesalahan.
- Senar host dirakit dening .gabung(“”) saka susunan fragmen. Kode sing sah ora duwe alesan kanggo misahake jeneng host ing antarane elemen array.
- Paket sing dependensi sing diumumake kosong nanging nggayuh https, dns, Lan proses_anak nalika wektu impor. Pengambilan ditambah eksekusi ing paket sing ngiklanake komponen UI minangka kabeh temuan kasebut.
- Nomer versi ora cocog karo umur paket. Jeneng sing pisanan diterbitake sawetara dina kepungkur kanthi versi utama rong digit, tanpa rilis sabanjure, nggambarake prekara liyane kajaba pangembangane.
- Nulis kanggo / var / tmp or % TEMP% ndherek a Chmod nganti 0755 lan spawn sing kapisah. Urutane cendhak, teratur, lan arang ora mbebayani bebarengan.
Ing host Windows ana rong pamriksan kapercayan sing murah lan dhuwur. Artefak persistensi iku string tetep lan ora ana sing kalebu ing sistem sing resik: tugas sing dijadwalake ing \Microsoft\Windows\Multimedia\SystemSoundsService, nilai Run-key sing dijenengi Layanan SistemSwara, lan file sing bisa dieksekusi nganggo jeneng kasebut ing sangisore %APPDATA%\Microsoft\Windows\Themes\Layanan audio Windows asli ora ana ing panggonan kasebut. Kapindho, loader nggunakake mutex instansi tunggal sing tetep, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}; anane mutex ing host minangka indikator, lan amarga loader nganggep mutex sing wis ana minangka "wis mlaku", nggawe mutex kasebut minangka inokulasi jangka pendek sing bisa ditindakake nalika remediasi dijadwalake.
Deteksi ing tahap katelu minangka masalah sing luwih angel lan kudu dijlentrehake. Adhedhasar analisis umum, masalah kasebut didekripsi lan dipetakan ing memori tinimbang ditulis menyang disk, mula pemindaian file lan forensik disk ora bakal bisa ndeleng. Sing isih bisa diamati yaiku jejak loader dhewe — entri persistensi, mutex, lan panjalukan metu menyang host pangiriman utawa domain DNS-TXT.
Kanggo lingkungan sing ngrampungake dependensi saka registri pribadi lan publik, mitigasi ora owah dening apa wae ing kene: jeneng internal ruang lingkup supaya jeneng publik ora bisa nyukupi, lan nyemat resolusi menyang registri internal kanggo ruang lingkup kasebut. Prilaku inflasi versi sing diterangake ing ndhuwur mung bisa digunakake ing ngendi versi publik sing luwih dhuwur bisa menang jeneng.
Pungkasanipun, unpublished iki pantes diwaca kanthi teliti tinimbang minangka pungkasan. Sangalas jeneng ninggalake registri sajrone rong puluh lima detik lan siji bali sedina sabanjure nganggo akun anyar, kanthi infrastruktur pangiriman sing ora disentuh. Ngilangi paket dudu ngilangi operasi; host terus nglayani saben tahap nalika iki ditulis. Sembarang wit dependensi sing ngrampungake salah sawijining jeneng kasebut antarane 31 Juli lan 1 Agustus kudu dianggep duwe kesempatan kanggo nglakokake tahap siji, preduli jeneng kasebut isih ana utawa ora.
Cathetan Suku
- Analisis multi-mesin saka loader Windows — sumber kanggo patching AMSI/ETW, eksekusi reflektif ing memori, lan rincian mutex sing kasebut ing ndhuwur.
- dokumentasi skrip npm — kedadeyan siklus urip sing ora digunakake kampanye iki.
- dokumentasi instalasi npm — nutupi –nglirwakake-skrip lan ruang lingkupé.
