TL; DR
Paket-paket kasebut bakal dibusak dhewe. Sajrone limalas dina ing wulan Agustus, ana operator npm sing nerbitake sangang paket nganggo sangang jeneng saka pitung akun lan mbatalake wolung paket kasebut kanthi pribadi. Wektu sing ditinggalake mudhun saka telulas jam dadi pitulas menit. Teknik iki ora mung kanggo dheweke: pitung paket liyane saka operator sing ora ana hubungane, sing nggawa muatan sing beda banget, ditarik dening penerbit dhewe kanthi rata-rata 37.8 menit. Artefak kasebut wis ilang sadurunge umume proses pertahanan mlaku, lan instalasi wis kedadeyan.
Kabeh sing dideleng ing registri bakal muter; payload ora. Kabeh sangang dikirim identik karo byte bin/ direktori, SHA-256 sing padha nyerna telung jeneng paket lan rong akun, kanthi jarak limalas dina. Identitas konten minangka siji-sijine sinyal pelacakan sing ora dirusak operator iki, lan siji paket sing ora tau ditarik minangka alesan kenapa kabeh bisa ditliti.
Wong-wong sing masang iku dudu korban, lan tetep wae bakal kena pengaruh ala. Piranti iki ora ditujokake kanggo para pangembang: piranti iki bisa ngatasi pengawasan ujian jarak jauh liwat tangkapan layar sing didhelikake, ekstraksi teks ing layar, lan jawaban sing dibalekake menyang overlay, mula sapa wae sing mlayu npm install minangka penerima manfaat sing dituju tinimbang target. Dheweke uga mbukak biner sing ora ditandatangani sing bakal dekripsi panyimpenan cookie browser, saka akun sing mbusak dhewe sajrone jam kasebut. Dheweke ora bisa nampa perbaikan, ora bisa audit mengko apa sing dilakokake, lan ora bisa nglaporake kerusakan tanpa mbukak alesan kenapa dheweke nginstal.
Ekosistem: npm, pola sing padha diamati ing PyPI. Periode: Juni–Agustus 2026.
Pangukuran
Wektu tunggu yaiku interval antarane paket katon lan ilang, sing diitung saka metadata registri dhewe. Iki minangka pangukuran, dudu perkiraan.
Diwaca miturut urutan publikasi, wektune nyusut luwih saka patang puluh — saka 13 jam 23 menit ing wektu paling amba nganti 17 menit ing wektu paling sempit. Papat paket pisanan rata-rata wolung setengah jam; papat paket pungkasan rata-rata telung puluh telu menit. Ing tanggal 28 Agustus, telung paket diterbitake lan ditarik sajrone rentang 77 menit.
Kontraksi iki dudu penyimpangan bertahap. Kontraksi iki dikonsentrasikake antarane tanggal 26 lan 28 Agustus, lan sing owah yaiku perkiraan operator babagan suwene paket bisa tahan kanthi aman.
Saben penarikan ing kene diwiwiti dening penerbit. Dokumen registri kanggo saben nuduhake dhaptar pangopèn kosong ing jejere a wektu.durung diterbitake rekaman — tandha tangan saka batal publikasi tinimbang takedown. Paket kaping sanga, eyiouss, ora tau dicabut babar pisan; iku alesane kabeh iki bisa ditliti.
Ana rezim penarikan kapindho lan ora kena dibingungake karo sing iki. Ing ngendi mung versi muatan ditarik lan paket kasebut lestari, median kira-kira 73 jam ing 31 paket. Panggantos kasebut teka ing batch sing wis ditemtokake lan ninggalake sekam kosong — a paket.json ngumumake utama sing ora ngirim file — sing fungsine mung kanggo njaga jeneng tetep disimpen. Rezim kasebut yaiku ngatur jadwal kanthi rutin. Iki minangka jendela paparan sing disetel.
Apa sing isih ana sawise penghapusan
Sangang paket iki mung siji operator: moidev, moidevx, moidevz, moideva, moidevh, kanca, bmcat, eyevox lan eyioussJeneng-jeneng kasebut ora nduweni konvensi — sapa wae sing nglacak moidev stem mesthi ora weruh luwih saka separo akun kasebut — lan akun kasebut diterbitake saka pitung akun sing kapisah, meh kabeh kadhaptar ing domain email sing bisa dibuwang.
Apa sing dituduhake yaiku entri nyata tanpa alesan kanggo ana:
"wadhah": { "": "bin/kalamasha-tool.js" } } Kita nyimpen salinan limang salinan sadurunge dicopot. Ing kabeh limang salinan, kabeh tong sampah/ Direktori iki identik karo byte:
Rong sinyal liyane uga cocog. Telu paket kasebut diterbitake jam 03:24, 03:38 lan 03:22 UTC tanggal 17 Agustus, 26 Agustus lan 31 Agustus — durasi nembelas menit sajrone limalas dina lan telung akun sing kapisah. Lan loro akun kasebut didaftarake ing domain email sing bisa dibuwang sing padha, sing nggandhengake kanthi ora gumantung karo kode kasebut.
Akun-akun
Iki akun penerbit npm sing ngirim payload, karo saben paket sing diunggah lan suwene ditinggal:
so1d1a7i27 lan lololololol435678 Nuduhake ogzmail.com domain registrasi — pranala sing nggandhengake akun sing isih nyimpen salinan langsung menyang akun sing diterbitake miturut moidev batang rong minggu sadurunge. sahihai123 nerbitake lan mbatalake telung jeneng paket sing kapisah sajrone wektu 77 menit tanggal 28 Agustus. heytoshan kadhaptar, diterbitake moidevh, lan mbatalake 47 menit sabanjure; mung kuwi publikasi siji-sijine akun kasebut.
Saben akun iki durung diverifikasi nganggo email, ora nggawa pranala kontrol sumber sing wis diverifikasi, lan durung nerbitake proyèk sing ora ana hubungane. Enem saka pitu akun kasebut wis ora nyimpen apa-apa maneh.
Siji paket ora tau ditarik. eyiouss:4.0.1 wis diterbitake wiwit tanggal 16 Agustus lan isih bisa dirampungake nalika iki ditulis. Wolung artefak ora bisa dipulihake; kampanye kasebut dibangun maneh saka sing isih ana. Operator sing mbusak kanthi refleks bakal tetep, pungkasane, ninggalake siji artefak.
Apa sing Ditindakake Piranti kasebut
eyiouss:4.0.1 njlèntrèhaké awaké dhéwé ing npm minangka "Utilitas DOM kinerja dhuwur lan jembatan diagnostik kanggo aplikasi web modern". Iki minangka alat kanggo njupuk layar lan njupuk jawaban sing dibangun kanggo mlaku ing sangisoré pengawasan ujian jarak jauh, lan sumber kasebut ujar kaya ngono nganggo tembungé dhéwé.
Peluncur nyalin runtime Electron nganggo jeneng file palsu sadurunge mbukak, lan menehi jeneng apa sing dihindari:
// 🛡️ JENENG BINARI STEALTH: ORA KEDAH tabrakan karo Testpad asli! const JENENG_STEALTH = 'SearchApp.exe';
Header file sing padha nyebutake minangka Pengawas Hantu Anti-Proktor lan ngetrapake puteran respawn sing mundur luwih cepet yen luwih cepet dipateni. Ing papan liya, proses kasebut ngunggahake prioritas dhewe kanggo nglawan pengawasan CPU throttling, ndorong aplikasi ujian metu saka latar ngarep nalika butuh fokus, lan mungkasi proses anak Browser Ujian Aman nganggo taskkill /F /T.
Capture mlaku liwat skrip PowerShell sing dibundel sing digunakake kanthi kabijakan eksekusi dipateni lan jendelane didhelikake, kanthi teks ing layar dipanen bebarengan liwat Windows UI Automation. Gambar lan teks sing diantrekake dikirim menyang sesi model basa ing browser sing disematkan lan jawabane ditampilake ing overlay sing tansah ana ing ndhuwur. Koneksi kasebut ditundha kanthi sengaja, lan kode kasebut menehi alesan: kanggo nyegah paparan NETSTAT permanen.
Paket uga dikirim chrome_cookies.ps1, tumuju EKSTRAKTOR KUKI KROM, sing dekripsi cookie Chrome lan Edge liwat DPAPI lan maca database cookie saka nganti patang profil browser. Disebutake sadurungecisely: kita ora nemokake skrip sing diundang nganggo jeneng saka file JavaScript sing dikirim. Sing ana lan bisa dijangkau yaiku separo sing nggunakake, sing nyuntikake cookie sesi sing disimpen menyang browser sing disematkan.
Posisi Wong sing Nginstal
Ora ana sing nginstal iki kanthi ora sengaja. Ora ana fungsi ing njaba ujian sing dipantau, lan output-e minangka overlay jawaban ing layar pangguna dhewe. Katrangan paket sing ngapusi iki ora ditujokake kanggo installer babar pisan — nanging ditujokake kanggo registri lan sapa wae sing ngaudit mesin sawise iku. Installer ngerti apa sing ditampa; katrangane ana supaya rekaman instalasi ora nggambarake iku.
Pihak-pihak sing dirugikake yaiku pihak katelu sing ora nate ndemek npm: institusi sing nglakokake ujian, calon liyane, lan kabeh wong ing ngisor sing gumantung marang kredensial kasebut.
Nanging installer kasebut mula ora aman, lan iki bagean sing kudu dijlentrehake kanthi rinci, amarga model paket sing ilang dhewe sing nggawe eksposur.
Dheweke mbukak binar sing ora ditandatangani saka sapa wae. uia_extract.exe kapal sing dikompilasi, tanpa sumber lan ora ana asal-usul bangunan, saka akun sing wis ora ana maneh. File sing padha, kanthi hash, wis diterbitake maneh dening letol39119, so1d1a7i27, lololololol435678, tagadob568, tayihim489, sahihai123 lan heytoshan sajrone limalas dina. Ora ana pangopèn sing kudu ditakoni, ora ana gudang sing kudu diwaca, lan ora ana riwayat sing kudu dipriksa — saben identitas sing ngirim dibusak dhewe.
Dheweke wis menehi kemampuan sing dibutuhake malware. Proses sing didhelikake, sing mlaku nganggo jeneng palsu, sing dekripsi panyimpenan cookie browser, maca layar terus-terusan, mungkasi piranti lunak keamanan lan muncul maneh nalika dipateni. Saiki dekripsi cookie diwatesi menyang domain siji vendor lan nglayani sesi pangguna dhewe. Cakupan kasebut minangka owah-owahan siji baris, lan ora ana apa-apa babagan model pangiriman sing bakal muncul yen diganti - jeneng anyar, akun anyar, unggahan anyar.
Dheweke ora bisa nampa perbaikan. Paket kasebut ora diterbitake sajrone sejam. Ora ana jalur nganyari, ora ana saran, lan ora ana cara kanggo ngerti mengko yen versi sing diinstal beda karo sing diinstal kancane. Apa wae sing ana ing mesin tetep ana ing kono.
Dheweke ora bisa audit apa sing wis dilakokake. Berkas kunci saiki ngrujuk paket sing ora bisa dirampungake maneh. Yen mengko dheweke pengin nemtokake apa sing ana ing mesin - sawise kedadeyan, utawa perselisihan - registri ora duwe cathetan kanggo diwenehake.
Lan dheweke ora bisa nglaporake bebaya. Panganggo sing kena pengaruh alat iki ora bisa ngajokake laporan penyalahgunaan tanpa ngandhani kenapa dheweke nginstal. Iku dudu kedadeyan dadakan. Laporan penyalahgunaan registri minangka saluran utama sing digunakake kanggo nyekel paket sing umure cendhak, lan basis pangguna operator iki sacara struktural ora bisa nggunakake. Mungsuh sing isih ana yaiku pemindaian otomatis — sing dikalibrasi sajrone jendela pitulas menit.
Struktur korban lan wektu tetep iku kasunyatan sing padha sing katon kaping pindho. Iki uga nerangake anomali ing garis wektu: yen mundur didorong dening rasa wedi marang keluhan, paket populer sing umure dawa bakal dikirim dhisik. Nanging ora, amarga keluhan kasebut ora nate teka.
Pola sing Padha, Operator sing Beda
Operator pengawas ora dhewekan ing babagan iki, lan paralel sing paling jelas mlaku ing muatan sing ora ana hubungane.
Antarane tanggal 24 lan 27 Agustus, ana patang paket npm sing muncul nganggo jeneng sing dijupuk saka piranti otentikasi rong faktor — otorisasi-otp, kunci rahasia-2fa, kunci rahasia2fa lan 2fa-secretkey — nggawa nembelas versi ing antarane. Saben versi diterbitake saka akun dhewe sing nembe didaftarake (beayilol, jeanpaul686g, zzzalipay, dluuuuu), kabeh durung diverifikasi nganggo email, ora ana sing nganggo pranala kontrol sumber sing wis diverifikasi, ora ana sing nerbitake apa-apa liyane. Saben uwong dicabut dening penerbit dhewe-dhewe.
Payload ora ana hubungane karo piranti lunak ujian. Payload iki maca panyimpenan kredensial browser lan token Discord, lan mlaku nganggo tangga otentikasi Xbox Live nglawan peluncur Minecraft kanggo njupuk token refresh. Ing kene installer is korban ing pangertèn biasa — yaiku sing ndadèkaké perbandingan iki migunani, amarga prilaku pangirimané tetep padha.
Papat siklus kasebut mlaku miturut urutan publikasi ing 274.9, 37.8, 37.6 lan 35.7 menit: siji upaya pisanan sing dawa, banjur konvergensi ing angka sing bener. Telung paket liyane duweke operator liyane maneh lan nuduhake prilaku penarikan sing padha.
Pitung paket, rata-rata 37.8 menit, ora ana sing ana gandhengane karo piranti lunak ujian.
Telung muatan sing ora ana hubungane, telung set akun sing ora ana hubungane, siji teknik sing dienggo bareng.
Apa Sebab Jendhela Menutup
Ana owah-owahan ing lingkungan registri sajrone taun 2026, lan kemungkinan sing jelas yaiku pemindaian dadi luwih cepet.
Nganti bubar iki, paket-paket jahat ditemokake utamane sawise kedadeyan: dening pangguna sing weruh apa-apa, liwat laporan hilir, utawa liwat sapuan periodik. Latensi deteksi diukur sajrone dina. Iku ora mung siji-sijine rezim. Analisis meh-wektu nyata saka paket-paket sing nembe diterbitake — Peringatan Dini Malware saka Xygeni dhewe ing antarane sistem kaya ngono sing saya akeh ing industri — nutup kesenjangan antarane publikasi lan inspeksi dadi luwih cendhek.
Operator sing ngadhepi kuwi nduweni rong pilihan. Gawe muatan luwih angel dikenali, utawa nyepetake wektu sing kasedhiya kanggo dideleng. Sing nomer loro luwih murah, ora mbutuhake rekayasa, lan registri nyedhiyakake mekanisme kanthi gratis: sajrone jendela pembatalan publikasi 72 jam npm, penerbit bisa mbusak paket kanthi sepihak, lan jeneng kasebut bisa digunakake maneh sawise. Pembatalan ora mbayar biaya operator.
Wektune cocog. Kaloro operator ing ndhuwur konvergen ing sawijining angka lan nahan tinimbang nggeser, yaiku kaya apa parameter sing disetel tinimbang masalah kepenak. Lan parameter sing dikonvergensi — puluhan menit — ana sadurungecising ngendi wae kudu dilebokake kanggo ngalahake pass inspeksi otomatis nalika isih ngidini paket diinstal cukup suwe kanggo tekan pamirsa.
Iki tetep dadi hipotesis. Data wektu ora bisa misahake respon kanggo pemindaian saka respon kanggo penegakan registri, utawa saka pematangan operasional biasa nalika operator kasebut sinau saka siji liyane. Apa sing bisa diomongake tanpa inferensi luwih sempit lan isih migunani: Jendhela eksposur saiki cukup cendhak saengga kontrol apa wae sing gumantung saka mriksa paket sawise publikasi mlaku kanthi cepet kaya sing disetel operator. Kontrol sing ora gumantung marang inspeksi — karantina miturut umur, skrip instalasi sing dipateni — ora kena pengaruh ras kasebut, sing dadi alesan praktis kanggo milih skrip kasebut.
Apa Apa Babagan Iku
Karantina miturut umur. Ora ana ing tabel wektu urip sing bisa tahan nganti telulas jam. Kebijakan sing ora ngidini versi katergantungan diinstal nganti wis ana sajrone 72 jam bakal ngilangi kabeh versi kasebut tanpa ndeteksi apa-apa.
Pateni skrip instalasi kanthi gawan. –nglirwakake-skrip mbusak mekanisme pangiriman sing dadi andalan paket pencurian kredensial ing korpus iki. Iki ora mbantu nglawan alat sing dilakokake pangguna kanthi sengaja, sing wis ana sadurungecisbedane sing penting kanggo dingerteni.
Anggep ilang minangka prastawa keamanan. Weling nalika dependensi sing diinstal mandheg ngrampungake. Berkas kunci sampeyan, dudu registri, minangka papan bukti isih ana.
Lacak isine, dudu jeneng. Enem ringkesan ing ndhuwur cocog tanpa preduli jeneng paket, akun penerbit, utawa string versi — saben kolom sing dituduhake operator iki bakal diganti. Aturan sisih registri yen akun sing nembe ndhaptar sing mbatalake paket siji-sijine sajrone sejam minangka pola sing bisa dilaporake bakal diaktifake ing saben paket ing kene, mung ing metadata.
Lan yen sampeyan lagi nimbang nginstal barang ing kategori iki: Sifat-sifat sing nggawe registri angel dicekel yaiku sifat sing padha sing nggawe sampeyan ora duwe dalan liya. Ora ana penerbit sing kudu nuntut tanggung jawab, ora ana jalur nganyari, lan ora ana cathetan apa sing sampeyan lakoni.
pratondho
Cathetan Suku
- kabijakan mbatalake publikasi npm — wektu 72 jam ing ngendi penerbit bisa mbusak paket tanpa campur tangan.
