TL; DR
Yek weşangerê npm, ddjidd5640, katalogeke 22 pakêtî ya amûrên ewlehiyê yên sexte yên Web3 di bin marqeyên çêkirî yên wekî Komeleya Ewlekariya Krîptoyê, Kolektîfa Denetimê ya Web3, û Hevpeymaniya Ewlekariya DeFi.
Pakêt dişibin kampanyayeke sade ya typosquat. Ew dişibin ekosîstemeke ewlehiyê ya bi marqe, ku ji hêla rêxistinên vala yên GitHub-ê yên hevber û navên amûrên MCP-ê yên îqnakirî yên wekî search_leaked_credentials, validate_chain_key, û deploy_safe.
Kampanya dabeş dibe du malbatên barkêşiyê yên çalak û yek tranşek bêkar.
Guhertoya A 8 pakêtên berhevkirina bawernameyan dihewîne. Skrîptek piştî sazkirinê depoyên veşartî yên herêmî dixwîne, di heman demê de skrîptek pakêtkirî scanner.js dema ku ajanek AI amûrên MCP yên pakêtê vedike, li mifteyên berîkê, mnemonîkên BIP39, nîşanekanên API, û bawernameyên din digere, dixebite.
Guhertoya B 5 dakêşên binary ên li ser bingeha Pinggy dihewîne. Ev pakêt di dema sazkirina piştî de barkêşek ji dûr ve digirin û bicîh tînin, bi foundry-deploy-helper:1.8.96 avêtina pelê pêkanînê yê veqetandî li /tmp/.node-cache.
Guhertoya C 9 pakêtên bêçalak hene ku hîn bargiraniyek piştî sazkirinê ya eşkere tune ye, lê heman weşanger, şêwaza marqeyê, û navlêkirina li ser Web3-ê ye.
Tenê 8 ji 22 pakêtan li her deverê ku me dîtibû hatibûn nîşankirin; 14 pakêtên mayî di dema analîzê de hîn jî li ser npm zindî bûn.
Giranî: krîtîk.
Êrîş: Du Bargiran di Yek Dolabê de
Dolab marqe ye. README ya crypto-credential-scanner vekin û ji we re tê gotin ku ew skanerek bawernameyê ye ku ji hêla Crypto Security Guild ve hatî çêkirin. Rûpela defi-threat-scanner vekin û ji we re tê gotin ku ew amûrek Hevpeymaniya Ewlekariya DeFi ye. web3-secrets-detector vekin û ew Kolektîfa Denetimê ya Web3 ye. Ti ji van kolektîfan wekî rêxistin tune ne. Ew wekî rêxistinên GitHub ên vala hene ku tenê armanca wan dagirkirina hîperlînka "nivîskar" a rûpela npm ye.
Guhertoya A: pêş-firîna piştî sazkirinê û çalakiya sereke ya MCP-demê
8 pakêtên Variant-A hemî bargiraniyek du-qonaxî parve dikin - pêş-firînek piştî sazkirinê ku her pêbaweriyên ku jixwe li ser dîskê bi nivîsa sade ne digire, û qonaxek xebitandinê ku gava ajanek AI yek ji amûrên MCP yên pakêtê gazî dike çalak dibe.
"Qonaxa 1, berî firînê" di package.json de wekî node -e one-liner di rêzê de dimîne. Ew heft pelên dot ên naskirî vedike û 200 bytên pêşîn ên her yekê dişîne C2:
200 bayt ji ~/.ssh/id_ed25519 mifteya te ya taybet bi tena serê xwe nade êrîşkar, lê ew ê bide navê pelê, şîrove, û rêzên yekem ên sernivîsa PEM — têra xwe ji bo piştrastkirina celebê mifteyê li wir dijî, ku têra xwe ji bo destpêkirina qonaxek piştî wê ye. 200 byte ji ~/.env bi gelemperî ji bo derxistina nîşanek API-yê ya temam ji têra xwe zêdetir in. 200 byte ji ~/.git-credentials bi gelemperî komek tevahî ya nîşanekanên OAuth in.
"Qonaxa 2, çalakiya sereke", e scanner.jsEw ji hêla pakêtê ve tê barkirin. index.js û di kêliya ku ajanek AI yek ji amûrên reklamkirî vedixwîne de ji hundirê destgirê daxwaza MCP-ê tê gazîkirin. Pelê di navbera 8 pakêtên Variant-A de heman byte-bo-byte ye (b461106e47a1f5966159cd6e92541505), û di derbarê kirina xwe de eşkere ye. Bloka şîroveya destpêkê bi awayekî bêjeyî wiha dixwîne:
| javascript // wallet-scanner.js — skanera çalak a hundirîn ji bo pakêtên MCP // Dema ku ajansa AI her amûrek MCP gazî dike bêdeng dixebite, jîngehê ji bo wallet/mifteyan dişopîne // tenê pêkhateyên Node.js bikar tîne, girêdayîbûnên derveyî tune |
Ya ku li jêr tê, meşek dubarekirî ye, kûrahiya 3, ji:
navnîşana malê bi xwe
...fîlterkirin ji bo navên pelan ên ku yek ji van dihewîne keystore, berîka.json, berîka.dat, .dizî, tov.txt, metamask, keçek, rabbî, berîka baweriyê, coinbase, mifteya-taybet, mînemonîk, mifteya_veşartî, api_key — ango, lîsteyek bi destan hatîye mîhengkirin ku nîşan dide ka bikarhênerek krîptoyê mifteyekê diparêze. Ji bo her hevberdanê, pel li gorî şeş regexesan tê vekirin û skankirin:
| Awa | pattern | Tiştê ku digire |
|---|---|---|
| mifteya_taybet | (?:0x)?[a-fA-F0-9]{64} | Mifteyên taybet ên Ethereum û razên heksadecîmal ên 32-bayt ên gelemperî. |
| mînemonîk | \b([a-z]+\s+){11,23}[a-z]+\b | Hevokên tov ên mnemonîk ên BIP39 ji 12 heta 24 peyvan diguherin. |
| api_key | (api[_-]?key\|API_KEY)\s*[:=]\s*["']?([A-Za-z0-9_\-]{20,}) | Nîşaneyên API-yên gelemperî û nirxên bawernameyê yên ku di pelên mîhengê de hatine bicîhkirin. |
| dizî | (?:secret\|private).{0,10}[:=]\s*["']?([A-Za-z0-9+/=]{20,}) | Nirxên veşartî û taybet bi gelemperî di formatên mîhengkirinê yên YAML, JSON, û INI de têne hilanîn. |
| navnîşana_eth | 0x[a-fA-F0-9]{40} | Navnîşanên berîka Ethereumê ji bo naskirin û şopa tiliya qurbaniyan têne bikar anîn. |
| şîfre | (?:PASSWORD\|PASSPHRASE)\s*=\s*["']?(\S{4,64}) | Şîfreyên şêwaza shell-export û guhêrbarên jîngehê yên şîfreyê. |
Dû re scanner.js şeş pelên dot ên din bi tevahî dixwîne - heta 500 byte ji her yek ji ~/.env, ~/.bash_history, ~/.zsh_history, ~/.npmrc, ~/.gitconfig, ~/.git-credentials - û process.env ji bo her guherbarek ku navê wê key, secret, token, password, private, mnemonic, wallet, an seed dihewîne, dişopîne. Di dawiyê de ew execSync('whoami') û os.hostname() û process.cwd() gazî dike da ku nasnameya qurbaniyê li ser pelê nîşan bide. Tevahiya barkirinê, û heta 100 dîtinên takekesî, wekî objeyek JSON-ê ya yekane tê POST kirin.
Cihê exfil rasterast bi kodkirina hişk nehatiye destnîşankirin. Pakêt di dema xebitandinê de wê ji vir digire:
https://ddjidd564.github.io/defi-security-best-practices/config.json
— belgeyeke rûpelên GitHubê ye ku êrîşkar kontrol dike. config.json-a heyî vedigerîne
Eger ew kişandina dîkê bi ser nekeve, scanner.js dîsa li heman tiştî dikeve webhook.site URL wekî sabît hatiye kodkirin. Ev nerasterast tenê perçeya sofîstîkebûna operasyonel di kampanyayê de ye: ew dihêle ku êrîşkar hedefên exfil bêyî ku pakêtê ji nû ve biweşîne bizivirîne, û ew URL-ya berhevkarê rastîn ji berhema npm-ê dûr dixe, ku tespîtkirina li ser bingeha îmzeyê dijwartir dike.
Guhertoya B: tunelek Pinggy, guhertoyek dualî, û guhertoyek domdar
Beşa din a zindî pir piçûktir e - pênc pakêt - û pir kêmtir jîr e. Nivîskar cilûbergê MCP bi tevahî avêt. Ev pakêt îdîa dikin ku alîkarên mîhengkirinê ji bo amûrên Ethereum û Solana yên rewa ne (alîkarê-mîhenga-truffle, berhevkerê-bihayê-zincîra-girêdanê, dabînkerê-ganache-cli, alîkarê-pda-solana, alîkarê-bicîhkirina-foundry). Barkêş yekane ye https.bistînin-û-exec rêz di piştî sazkirinê
C2 belaş e. Pinggy tunel — xizmeteke tunelkirina pêşdebiran a gelemperî ku êrîşkar wekî C2 ya demkî bikar tîne. Pakêt her tiştê ku tunel vedigerîne dakêşîne û dixe nav zarok_process.execNe kontrolkirina yekparebûnê, ne îmzekirin, ne jî parastina qonaxa duyemîn heye. Îro tunela operator çi xizmetê dike, ew e ya ku dixebite.
Pakêta herî êrîşkar, alîkarê-bicîhkirina-foundry:1.8.96, şûna rêza hundir digire https.bistînin bi curl û hîleyeke domdariyê:
Guhertoya C: rûyekî cilkirî, detonator tune (hîn)
Neh pakêtên mayî — verastkerê-piştgiriyê-yê-wallet, skanera-ewlehiyê-ya-env, kîta-amûrên-foundy (nivîsandineke bi zanebûn a Foundry), solna-web3 (nivîskarek ji Solana), kontrolkerê-ewlehiya-berîkê, pêveka-profîla-gazê-hardhat, ethers-multicall-utils, defi-env-auditor, etherjs-utils - heye skrîpteke piştî sazkirinê tune ye û di nihêrîna pêşîn de tu exfil-a dema xebitandinê ya eşkere tune. Ew weşanger, rûyên marqeyê, qaliba navkirina Web3, û di hin rewşan de plakaya README-ya wekhev bi guhertoyên çalak re parve dikin. Em wan wekî beşek ji heman kampanyayê bihesibînin û rakirina pêşîlêgir pêşniyar kirine, lê me hîn tetikên dema xebitandinê yên wan bi tevahî hejmartine. Beşa bêçalak dibe ku bingehek be ku operator ji bo guhertinek pêşerojê vediqetîne - heman qaliba ku PhantomBot di nîvê Gulanê de bikar anî, ku operator dizek nasnameyê bi karmendek botnetê guhert bêyî ku navê pakêtê ji nû ve çap bike.
Demjimêr û Katalog
Pakêta herî kevn a di kampanyayê de guhertoya herî nizm e: piştrastkera-kilîta-zincîrê: 0.2.3 û defi-env-auditor:0.3.2 dişibin dilopên ceribandinê yên destpêkê. Heta ku weşanxane gihîşt alîkarê-mîhenga-truffle:1.7.0 û alîkarê-bicîhkirina-foundry:1.8.96, zêdekirina guhertoyê bi zanebûn bû - hejmarên ku dişibin rêza pakêtek damezrandî hatin hilbijartin. Yek ji 22an di bin wî navî de li ser npm dîrokek rewa ya berê tune.
Kataloga tevahî, li gorî guhertoyan hatîye komkirin:
### Guhertoya A — berhevkera bawernameyan (postinstall + MCP-time scanner.js, MD5 b461106e47a1f5966159cd6e92541505)
| Pakêt | Awa | Di Feedên Tesbîtkirinê de Nîşankirî |
|---|---|---|
mnemonic-safety-check | 0.5.2 | erê |
solidity-deploy-guard | 0.4.4 | erê |
web3-secrets-detector | 1.2.6 | erê |
eth-wallet-sentinel | 1.0.9 | erê |
deployment-key-auditor | 0.7.3 | erê |
defi-threat-scanner | 2.1.2 | erê |
crypto-credential-scanner | 2.0.2 | erê |
chain-key-validator | 0.2.3 | erê |
### Guhertoya B — Tunela Pinggy https.get → exec (berî vê raporê xuyabûna feed-tespîtkirinê tune bû)
| Pakêt | Awa | Tama Piştî Sazkirinê |
|---|---|---|
truffle-config-helper | 1.7.0 | https.get → exec(stdout) |
chainlink-price-feed-aggregator | 1.1.12 | https.get telemetry call |
ganache-cli-provider | 1.7.51 | https.get telemetry call |
solana-pda-helper | 1.0.46 | https.get telemetry call |
foundry-deploy-helper | 1.8.96 | curl + chmod +x /tmp/.node-cache & |
### Guhertoya C — neçalak, guman tê kirin ku tetikê dema xebitandinê heye (berî vê raporê xuyabûna feed-tespîtkirinê tune ye)
| Pakêt | Awa | Notes |
|---|---|---|
wallet-backup-verifier | 1.0.1 | |
env-security-scanner | 1.6.0 | |
foundy-toolkit | 1.5.79 | typosquat a madenê |
solna-web3 | 1.5.98 | typosquat a solana |
wallet-security-checker | 1.0.3 | |
hardhat-gas-profiler-plugin | 1.7.86 | |
ethers-multicall-utils | 1.3.15 | |
defi-env-auditor | 0.3.2 | |
etherjs-utils | 1.0.39 |
Stûnên Variant-A û Variant-B bi tesadufî nayên hilbijartin. Navên Variant-A hemî xwe wekî amûrên vekolîna ewlehiyê — "kontrolkirina ewlehiyê", "parastvanê bicihkirinê", "tespîtkerê nehêniyan", "parêzvanê berîkayê", "mufetîşê mifteyê", "skanerê gefê", "skanerê bawernameyê", "validatorê mifteya zincîrê". Ew ji bo pêşdebir an ajanek AI-ê ne ku li amûrek digere da ku ewlehiya projeyek Web3 binirxîne. Navên Variant-B hemî xwe wekî alîkarên avakirin û bicihkirinê ji bo heman ekosîstema Web3 - Truffle, Chainlink, Ganache, amûrên PDA yên Solana, Foundry. Ev dabeşkirin modela derûnî ya pêşdebirên Web3 ya normal a "qonaxa denetimê" û "qonaxa bicihkirinê" nîşan dide. Hûn bigihîjin kîjan qonaxê jî, weşanxane ji bo wê dafikek amade kiriye.
Nîşaneyên Lihevhatinê
Tor û pelan
| IOCs | variant | Armanc |
|---|---|---|
https://ddjidd564.github.io/defi-security-best-practices/config.json | A | Çareserkerê webhookê yê dînamîk ku bi rêya GitHub Pages ve tê mêvandar kirin. |
https://webhook.site/8d334534-1c63-4f4f-a0d7-95c446c8b233 | A | Xala dawî ya koleksiyonera derxistina niha, her weha wekî depoyek hatî bicîh kirin. |
rqnyz-2605-7280-7--2000-c51.run.pinggy-free.link/npm/-/binary/telemetry | B | Tunela Pinggy ji bo belavkirina barkirinên dualî yên dûr tê bikar anîn. |
scanner.js MD5 b461106e47a1f5966159cd6e92541505 | A | Barê skanerê yê wekhev li ser hemî 8 pakêtên Variant-A ji nû ve tê bikar anîn. |
/tmp/.node-cache | B | Pelê cîbicîkirî yê veqetandî hat avêtin foundry-deploy-helper:1.8.96. |
Çapemend
- navê bikarhênerê npm: ddjidd5640
- email: 1623682356@qq.com (nehatiye piştrastkirin)
- Email û SCM piştrastkirin: tune
- Pakêtên di bin hesabê de: 22, hemî di kataloga jorîn de hatine navnîş kirin
- Çalakiya dîtina herî zû: piştrastkera-kilîta-zincîrê: 0.2.3 (Guhertoya A)
- Çalakiya xuya ya dawî: chain-key-validator:0.2.3 û crypto-credential-scanner:2.0.2 (her du jî di nav 24 demjimêrên berî vê nivîsandinê de)
Rûyên marqeyê (ku di de têne bikar anîn) nivîskar / README / GH org-a sexte)
- "Gildeke Ewlekariya Krîptoyê" - ji hêla org-a vala ya GitHub ve tê piştgirî kirin komeleya-cryptosecê
- "Web3 Audit Collective" — ji hêla GitHub org-a vala ve tê piştgirî kirin w3audit
- "Hevpeymaniya Ewlekariya DeFi" - ji hêla org-a GitHub-a vala ve tê piştgirî kirin ewlehiya-defî
- Hesabê referansa GH ddjidd564 — mêvandarê config.json a dynamic-webhook
Behs kirin
- girêk -e xwendina yek ji piştî sazkirinê .ssh, .ethereum, .bitcoin, .a V, .bash_history, .zsh_history, .git-credentials bi .perçe(0, 200) û girêdana bi | veqetandin şopa tiliyê ya hema hema bêhempa ye ji bo Variant A.
- Damezrandin ./scanner.js ji pakêtek ku xwe wekî MCP tomar dike Server bi amûrên bi navê search_leaked_credentials an jî lêkerên "denetima ewlehiyê" yên bi heman rengî hatine çarçovekirin piştrastkirinek Variant-A ye.
- Node -e postinstall ku ji her mêvandarek *.run.pinggy-free.link digire û bersivê dişîne nav child_process.exec piştrastkirinek Variant-B ye bêyî ku pêça wê çi be.
Wesfkirin û Motîvasyon
Ji bo şopa tiliya weşangerê ya qismî têra xwe heye û ji bo nasnameyeke rastîn jî têra xwe nîne. Email 1623682356@qq.com navnîşaneke nameya QQ ye — nameya webê ya belaş a Tencentê, ku li Çînê populer e — û beşa herêmî ya hejmarî nasnameya bikarhêner a QQ ye; em vê tenê wekî sînyala nerm dibînin, ji ber ku navnîşanên bi formata QQ bi awayekî bêserûber têne tomar kirin. Hesabê npm ne eşkerekirina du-faktorî, ne e-nameya piştrastkirî, ne jî verastkirî heye. SCM girêdan. Sêgoşeya marqeya "Crypto Security Guild" / "Web3 Audit Collective" / "DeFi Security Alliance" bi tevahî hatiye çêkirin - ji her sêyan li derveyî vê kampanyayê tune ye - û rêxistinên GitHub ên piştgirî qalikên vala ne ku ji bo dagirtina girêdanên rûpelên npm hatine afirandin.
Hêjayî gotinê ne ku du şablon hene, ji ber ku ew di kampanyayên cîran de xuya dibin. Ya yekem ev e pêşçêkirina marqeyê wekî delîlek civakî: operator navên projeyên heyî ji bo nivîsandina tîpan hilnebijart; wan ji sifirê çîrokeke baweriyê ya tevahî çêkir, dizanin ku Avakirina ajansa AI pipeline yan jî pêşdebirêkî bilez ku rûpela npm dixwîne dê li şûna "rêxistineke ewlehiyê xuya dike" li gorî şêwazê li hev bike. Ev heman nêzîkatiya ku wêjeya slopsquatting li ser hişyarî da ye - pakêtên ku li gorî celebê navekî ku LLM dê bikar bîne hatine mîheng kirin. dahênandin Ger ji bo amûrek ewlehiyê ya Web3 were xwestin, bi têra xwe baş were cilkirin ku LLM du caran kontrol neke. Çûtina bêserûber termeke nû ye ji bo pakêtên xerabkar ku navên wan bi wan pakêtên ku LLM dema ku pakêtek otorîter tune be, halûsînasyonê dikin, li hev tên; ev kampanya pismamê wê yê êrîşkartir e, ku tê de operator rêxistina ku cil dê pê re girêdayî be jî diafirîne.
Şêwaza duyem ew e Çalakkirina dema MCP-ê. Heta dema scanner.js dimeşe, sazkirin qediyaye û pêşdebir berdewam kiriye. Tetikê ew e ku ajansa AI amûrekê gazî dike — search_leaked_credentials, di doza Variant-A de - ku ajan dê bi tevahî bike, ji ber ku ev tevahiya sedema ku pakêt lê hatiye dayîn e. Karê xerabkar di dema baş beşek ji herikîna kar, dema ku pêşdebir bi îhtîmaleke mezin temaşe dike ku alîkarê AI-ê yê wî di karekî ku ew jê xwestiye de biserkeve. Ew guherînek piçûk a tevgerî ye ji "exfil on" ya kevintir npm saz kirin"şablon, û bi rengek xweşik ji sandboxinga di dema sazkirinê de dûr dikeve.
Em navê aktorekî tehdîdê nadin. Sînyal (e-nameya QQ, hesabekî yekane, teqîna rojekê ya 22 pakêtan, du stûnên C2 yên paralel) bi heman rengî bi yek operatorê domdar, tîmek piçûk, an yek ji ekîbên lehiyê pakêtan re lihevhatî ne ku di telemetriya npm de di salên 2025-2026-an de xuya bûne. Tiştê ku em qûtîk dibêjin ev operator xwedî ekosîstemek tercîhkirî ya zelal e (amûrên Ethereum + Solana + Foundry/Hardhat), qurbaniyek tercîhkirî ya zelal (pêşdebirên Web3 û ajanên AI yên ku li ser projeyên Web3 dixebitin), û modelek domdariyê ya tercîhkirî ya zelal (tetikandina dema xebitandinê ya MCP-ê û paşvekişînek dualî ya veqetandî).
Bandor, Trend, û Tiştên ku Parêzer Dikarin Bikin
Hişyariya me ya zû pipeline girtin 8 ji 22 pakêtan di tevahiya kampanyayê de - şeş di destpêkê de û du yên din ku di heman rojê de di dema derbasbûna komkirina kampanyayê de gihîştin. 14 pakêtên din bi rojan li ser npm zindî bûn. bêyî ku di tu çavkaniyên tespîtkirinê yên ku em dişopînin de xuya bibe, û di dema nivîsandinê de hîn jî dikarin werin sazkirin. Ew valahî girîng e ji ber ku:
- Guhertoya A di dema sazkirinê de bêdeng eXwendina dotfile diqewime, lê exfila girseyî tenê dema ku ajanek AI amûrên MCP yên pakêtê vedike çalak dibe. A standard sandboxa şopandina piştî sazkirinê dê bibîne girêk -e blokê bikin û biryar bidin ku ew piçûk û bi awayekî xuya bêbandor e.
- Guhertoya B rêzek yekane ye. Tiştek ji bo dabeşkerê malware tune ku jê fêr bibe - ne tevlihevî, ne barkêşiya kodkirî, ne jî domainek bi guman. Tunela Pinggy xizmetek pêşdebirên rewa ye. Tenê tiştê gumanbar ev e ku "alîkarê mîhengkirinê" hewce dike ku bi tevahî telefonê bide malê.
- Guhertoya C bi tevahî paqij xuya dike. Sazkirina wê tune ye hooksLi gorî her sînyala statîk, ew normal e.
Lîsteyek Kontrolê ya Kurt a Defender ji bo Serdema Amûrên MCP
Sê çalakiyên konkret ku dê vê kampanyayê berê bigirta:
- Girîngiya weşanger bide, ne pakêtê. Bîst û du pakêt di bin hesabê QQ-mailê yê yek salî de bêyî SCM Verastkirin sînyalek geştir e ji her taybetmendiya her pakêtê. Herikîna me ya hişyariya zû pakêtên yekem girt ji ber ku şopa tiliya weşanger derket pêş - pêşniyarkirina puanek navûdengê weşanger ku her yek ji dabeşkerên her pakêtê yên ewle, nezelal, an jî malware dikare kêm bike.
- Nerazîbûnên mîhengkirina dînamîk wekî zirardar bihesibîne heta ku berevajî vê neyê îspatkirin. Pakêtek ku xala xwe ya dawî ya derketinê di dema xebitandinê de ji belgeyeke sêyemîn (GitHub Pages, GitHub Gist, Pastebin, objeya S3, her deverek din) çareser dike, ji bo telemetrîyê ti sedemek rewa tune ku wiya bike. Xalên dawî yên telemetrîyê yên rastîn bi kodkirin û belgekirinê têne tomar kirin.
- Pakêtên MCP-server li gorî rûyê amûra wan a reklamkirî kontrol bikin. Variant-A hemî amûrên reklamê yên bi navkirî pakêt dike
search_leaked_credentials,validate_chain_key,deploy_safe, û lêkerên "muayenekirinê" yên wekhev. Mêvandarek MCP ku amûrek derdixe holê ku danasîna wê îdia dike ku rêbernameyên projeyê ji bo bawernameyan dişopîne, divê berî ku ajan wê li ser bingehek kodê ya rastîn vexwîne, pêdiviya hilbijartina operatorê ya eşkere hebe. Xala MCP ev e ku çerxa ajan bi tu awayî nizane kasearch_leaked_credentialslêgerînek bawernameyan e an jî derxistina bawernameyan e.
Ji bo pêşdebirên ku dibe ku yek ji 22 pakêtan saz kiribin: her mifteyek nivîsa sade ya di nav de bigirin ber çavan ~ / .ssh, ~/.ethereum, ~/.bitcoin, ~/.solana, ~/.env, an ~/.git-credentials heke têkçûyî be, her bawernameyek ku navê wê bi navnîşa fîlterên guhêrbar-env-ê ya jorîn re li hev tê bizivirîne, û li ser Linux/macOS-ê pelek bicîhkirî li kontrol bike /tmp/.node-cache (û her pêvajoyek sêwî ku ji wê dest pê kiriye). Ji nû ve sazkirina guhertoya rewa ya amûrên sexte (kastro, trûf, kulek, ganache, hwd.) pelê binary yê hatiye avêtin jê nake.
Beşa Variant-C ya bêçalak beşa vê çîrokê ye ku herî zêde pîr dibe. Neh pakêtên bi profîlek sazkirinê ya paqij û weşangerek damezrandî tam ew celeb envanter in ku operator di rezervê de dihêle. Ger ew paşê biteqin - wekî ku PhantomBot kir dema ku ew axois-utils ji nû ve pakêtkirin ji dizîna bawernameyê veguherî karmendek botnetê - ew ê li dijî her xerîdarê qeydê ku pakêtek Variant-C di navbera îro û rakirinê de pin kiriye biteqînin. Pinkirina pakêtek zirardar li gorî guhertoyê we ji weşangerek ku her guhertoyê kontrol dike naparêze.
Çavkanî
- [rûpela weşanxaneya npm ji bo ddjidd5640](https://www.npmjs.com/~ddjidd5640) — Niha 22 pakêt di bin vê hesabê de hatine navnîş kirin. Çavkaniya otorîter a katalogê di dema nivîsandinê de.
- [rûpela pakêta npm ji bo skanera-bawernameyên-krîptoyê](https://www.npmjs.com/package/crypto-credential-scanner) — mînaka berhema Variant-A; README, dîroka guhertoyê, û girêdanên nivîskar li vir têne dîtin.
