TL; DR
Ji bo bi qasî du meh, dizek agahdariya npm-ê ya yekane di bin rêzek navên pakêtan de ku dizivire, ji nû ve derketiye holê dema ku barkêşek hema hema neguherî dişîne. Ew bi eşkere wekî dest pê kir forge-jsxy, çêbûye forge-jsx3 / forge-jsx4 xwişk û bira, dûv re marqeya "forge" bi tevahî avêtin da ku wekî binesaziya pêşdebiran nîşan bidin - pêşî zredis-typed, û herî dawî pinokio-redis.
Her varyant xwedî heman zincîra amûrên navxweyî: pelên bi nav forge-jsx-explorer-*, a relayPackageServe modulek ku xizmetê dike forge-jsxy-package.tgz, û demek xebitandinê ya domdar di bin peldankek xalxalî de veşartî ye da ku piştî jêbirina pakêta npm jî sax bimîne.
Barkêş dixwîne materyalê berîka krîptopereyê û pêbaweriyên pêşdebir ji mêvandar digire û wan ji malpera Discord re dişînehooks, barkirinên HuggingFace Hub, û xalek dawî ya C2 ya bi koda hişk. Ew destpêkirina otomatîk a asta OS-ê saz dike da ku piştî ji nû ve destpêkirinê dîsa bixebite, û çalakiya clipboard, klavyeyê û ekranê tomar dike. Guhertoya herî dawî, pinokio-redis, xwe wekî entegrasyoneke "Autodesk Forge" bi nav dike — ravekirinek ku ne girêdayî karê kodê ye.
| Ecosystem | npm |
| Çîna barkêşiyê | dizîna agahdariyê ya pir-qonaxî + ajansa kontrola ji dûr ve (RAT) |
| Armancên sereke | berîkên krîpto, dirêjkirinên berîka gerokê, pêbaweriyên pêşdebir/ewr |
| Li sersekinî | dema xebitandinê ya domdar a veşartî + destpêkirina otomatîk a OS (piştî rakirina pakêtê dimîne) |
| Exfiltration | nakokiya webêhooks + relay, HuggingFace Hub, C2 bi kodkirina hişk li ser porta 9877 |
| Firehiya çavdêrîkirî | Gulan 2026 – Tîrmeh 2026 (berdewam) |
| Navê dawî | pinokio-redis:1.0.127 |
Anatomiya Êrîşê
Her guhertoyek di vê malbatê de bi heman şiklî tê sazkirin: pakêtek ku li ser rûpela navnîşa xwe bêbandor xuya dike lê çengelek piştî sazkirinê diyar dike, ji ber vê yekê barkêş di cih de ku pakêt wekî girêdayîbûnek tê sazkirin dixebite. çengel zincîreyek pênc-qonaxî diajotin.
- Qonaxa 1 - pêkanîn. Skrîpta sazkirinê pelek pakêtkirî û kodkirî vedişibîne. blob di nav komek skrîptên runtime de dike û wan di peldankek veşartî de di bin cîhê mîhengkirina platformê de dinivîse (guhertoyên forge-jsxy peldankek .forge-jsxy/runtime/v ya xalxalî bi kar anîn) /path). Ji ber ku ev kopî li derveyî node_modules dijî, rakirin an jî neweşandina pakêta npm ajansa xebitandinê jê nake.
- Qonaxa 2 - berdewam bike. Zincîr têketinek destpêkirina otomatîk a OS-ê tomar dike, ji ber vê yekê ajant di dema ji nû ve destpêkirinê de ji nû ve dest pê dike. Li ser Windows-ê ev bi rêya skrîptek teşhîsê ya PowerShell-ê ya veşartî dimeşe; pêvajoya ajant ji hev veqetandî û bi windowsHide-ê tê danîn, ji ber vê yekê pencereya konsolê xuya nabe.
- Qonaxa 3 - revîn. Dema xebitandinê nîşankerên entegrasyona domdar kontrol dike û dema ku hawîrdorek CI tesbît dike bêdeng derdikeve, ji ber vê yekê sandboxên avakirina otomatîk tiştek nabînin. Di guhertoyên forge-jsxy de, şîroveyek çavkaniyê diyar kir ku qadek forgeInstall a xuya bi zanebûn ji package.json hatiye derxistin "ji ber ku ew qad dê li ser npm xuya bibe" - operator bi zanebûn metadata tetikê ji navnîşa giştî dûr xist.
- Qonaxa 4 - berhevkirin. Dema ku ajans dixebite, di carekê de berhev dike:
- Materyalê berîka krîpto. Lîsteyek hedef a pakêtkirî ya secret_filename_patterns.json ji bo wallet.dat, *.mnemonic / lêgerînek pergala pelan dimeşîne.pelên .seed / *.phrase, keypair.json, Ethereum UTC– kilîtfiroşên kilîtan, û *.p12 / *.pfx / *.jks kilîtfiroşên kilîtan. Pirtûkxaneyên çavkaniya walletan (bip39, secp256k1, base58check, û alîkarên Solana) di pakêtê de hene.
- Dirêjkirinên berîka gerokê. Moduleke chromiumExtensionDbHarvest databasa hilanîna dirêjkirinê ya herêmî ya gerokên Chromium dixwîne, cihê ku dirêjkirinên berîka gerokê daneyên depoya xwe lê digirin.
- Sertîfîkasyon û raz. Ajan dîroka qalikê û pelên veşartî dişopîne û pêbaweriyên pêşdebir/ewrê dixwîne, dûv re ji bo barkirinê pêbaweriyên HuggingFace kod dike.
- Têketina zindî. Naveroka klîpbordê, têketina klavyeyê, û wêneyên ekranê bi berdewamî têne tomar kirin.
Qonaxa 5 - derxistinAgahiyên berhevkirî bi rêya sêyan ji mêvandar derdikevin kanalên ku bi hev re dixebitin: Weba Discordhooks (discordWebhookPost) û barkêşek relay a Discord ku bi ` re diaxivediscord.com/api/v10` (discordRelayUpload), barkirinên HuggingFace Hub (hfUpload), û a xala dawî ya C2 ya bi koda hişk li ser porta 9877 gihîşt. relayPackageServe modul her wiha forge-jsxy-package.tgz-ek vedigerîne - heman tişt navê berhemê li seranserê her navguherandinê.
Xala girîng a avahîsaziyê ew e ku qonaxên 1-3 di dema sazkirinê de bi têkiliya bikarhêner tune ye, û qonaxa 1 barê li cîhekî pakêtê datîne. rêveber naşopîne. Pêşdebirê ku girêdayîbûna xerîb û Fermana npm uninstall dimeşîne û navnîşê radike lê ajanê radike.
Barkêşî li hember xwendina bilez jî li ber xwe dide. Skrîptên dema xebitandinê nayên şandin. bi zelalî: gaveke kodkirinê mantiqa operasyonel wekî blobeke kodkirî ku tenê piştî zincîra sazkirinê berfireh dibe û dibe skrîptên xwendinbar. wê di nav peldanka runtime ya veşartî de vedişêre. Pelên ku xuya dibin li ser navnîşê - şîma piştî sazkirinê ya zirav û materyalîzasyonek dûr alîkar - hindik tişt li ser tiştê ku di dawiyê de dixebite eşkere dike. Ev radestkirina kodkirî sêwirandin bandorek pîvanbar li ser triyajê kiriye: li seranserê temenê malbatê, gelek guhertoyên piştrastkirî bi dabeşkirina otomatîkî ewle hatin nirxandin, û barkêş têra xwe nezelal bûye ku nirxandina otomatîk bi tevahî rawestîne. Reftarên ku malbatê eşkere dikin tenê piştî kodkirinê xuya dibin. qonax tê berfirehkirin, û dema xebitandinê rasterast tê xwendin.
Timeline
Barê malbatê bi awayekî berbiçav sabît maye; tiştê ku diguhere ev e nav li ser qutiyê. Kevan ji marqeya "forge" ya vekirî ber bi wekî amûrên pêşdebiran ên ne têkildar tê veşartin.
Du tişt di rêza demê de derdikevin pêş. Ya yekem, hejmara guhertoya 1.0.127 ji hêla hem zredis-typed û hem jî pinokio-redis ve bi awayekî peyvkî ji nû ve tê bikar anîn - nav diguhere lê rêza çêkirinê ji nû ve nayê sazkirin. Ya duyemîn, dûrketina ji navên "forge-*" bi guhertinek ber bi navên ku wekî binesaziya asayî têne xwendin (redis, pinokio) re hevdem e, û îhtîmala ku pêşdebir navî ji bîr bike û dudilî bike kêm dike.
Nîşaneyên Lihevhatinê
IOC-yên li jêr hatine defangkirin. Mêvandarê C2 di navbera xeta forge-jsxy de zivirî. û guhertoya herî dawî dema ku heman port diparêze.
Sînyala tespîtkirinê ya herî domdar ne yek mêvandar an webhook e - ew bizivirîne — lê navên pelan ên zincîra amûran û forge-jsxy-package.tgz artefact, ku bi her navguherandinê re bi devkî berdewam kiriye.
Wesfkirin û Reftarên Çavdêrîkirî
Pakêt di bin zêdetirî yek hesabê npm de hatine weşandin. forge-jsxy xet weşanger jacksonkaandorp2 (jacksonkaandorp2@outlook[.]com) bi kar anî; Guhertoya herî dawî ya pinokio-redis ji hêla donimique ve hate weşandin. (donimiqueakers@gmail[.]com). Ti hesaban e-nameyek piştrastkirî an jî depoyek çavkaniya girêdayî. Xeta derbasbûnê di navbera hesaban de ev e zincîra amûran, ne nasnameya weşanger - heman navên modulan, heman .tgz hatiye pêşkêşkirin, û heman sêwirana exfil bêyî ku kê weşandiye, dubare dibe.
Çend tevgerên çavdêrîkirî nîşan didin ku veşartina bi zanebûn e li şûna berhevkirina zêde ya bi tesadufî:
Dema xebitandinê li derveyî node_modules di peldankek veşartî de tê danîn, ji ber vê yekê ew ji pakêta ku ew radest kiriye dirêjtir dijî.
Dema ku ajans hawîrdorek CI tesbît dike, xwe ji kar vedikişîne, û bandorê di sandboxên analîza otomatîk de sînordar dike.
Pêvajoya ajanê ji hev veqetandî tê destpêkirin û pencere-veşartî.Di hundir de Di guhertoyên forge-jsxy de, şîroveyek nebûna qadeke sazkirinê ya xuya bi "xuyabûna wê qadê li ser npm" ve girêdide.
Danasînên pakêtên giştî bi kodê ve ne girêdayî ne - pinokio-redis wekî entegrasyonek "Autodesk Forge" tê pêşkêş kirin.
Ji bo parêzvanên ku xwe dispêrin wan, valahiyek tespîtkirinê ya dubarekirî hêjayî gotinê ye. dabeşkirina otomatîk: di vê malbatê de gelek guhertoyên piştrastkirî hatin berî ku nirxandina kodê rast bike, ji hêla dabeşkerek ML ve wekî ewle hate nirxandin biryar. Hêmanên sabît ên ku nirxander dikare li ser bisekine - dema sazkirinê zincîr, dema xebitandinê ya veşartî, navên pelan ên toolchain - tam ew in ku ji navên nû ve dimîne.
Em tiştên li jor wekî tevgerên çavdêrîkirî bi nav dikin. Em wan bi xwe ve nagirin. kampanyayê ji her aktorekî bi navkirî re bikin, û em di derbarê operator de ti îdîa nakin nasname an armancên wêdetir ji tiştê ku kod û binesaziyê nîşan didin.
Bandor, Trend û Rêbernameya Parêzvan
Kî eşkere bûye. Koleksiyona setê bi tevahî ji bo pêşdebiran armanc dike. makîneyan: berîkên krîptopereyan û depoyên mifteyan, dirêjkirinên berîka gerokê, dîroka qalikê, û bawernameyên ewr/xizmetê. Her kesê ku saz dike pakêta bandorkirî - rasterast an wekî girêdayîbûna veguhêzbar — di dema pencereya ku ew zindî bû di çarçoveyekê de ye, û sêwirana domdariyê tê vê wateyê ku Dema ku pakêt tê rakirin, eşkerekirin bi dawî nabe.
Çima berdewamî girîng e. Ji ber ku qonaxa 1 barkêşiyê kopî dike nav peldanka runtime ya veşartî û qonaxa 2 destpêkirina otomatîk tomar dike, ya asayî înstîktê sererastkirinê (girêdayîbûna xirab rakirin, node_modules jêbirin, ji nû ve sazkirin) ajan dernaxe. Bersiva bûyerê divê li dema xebitandinê ya derveyî darê û têketina destpêkirina otomatîk, ne tenê pakêt.
Trend. Ev malbat nimûneyek nîşan dide ku hêjayî temaşekirinê ye: barkêşek ku aram û gihîştî ye, di çemek ji bo yekcar bikarhatî de pêçayî yenavên pakêtan ku ji her navekî dûr dikevin, rakirinek berê hatiye çêkirin nasbar, ber bi navên ku wekî binesaziya asayî têne xwendin. Li ser bingeha navan navnîşên astengkirinê û navûdengê weşangeran li hember vê yekê zû pîr dibin; tevger- û sînyalên li ser bingeha artefaktê nakin.
Ji bo pêşdebir û xerîdaran
Skrîptên dema sazkirinê wekî rûbera rîska sereke bihesibîne. Li cihê ku gengaz be, bi skrîptên neçalak saz bike û her girêdayîbûnek ku îlan dike, binirxîne. piştî sazkirinê. Girêdayîbûnên veguhêzbar pin bike û kontrol bike; ev çîna malware bi hêsanî bi riya girêdayîbûnek binî û bi riya yeka rasterast tê.
Li ser hosteke gumanbar, ji pakêtê wêdetir bigerin: li cîhê mîhengkirina platformê li peldankek runtime ya veşartî, têketineke destpêkirina otomatîk a nediyar bigerin, û girêdanên derketî yên bi webhook-a Discord an jî xalên dawî yên :9877 re.
Bifikirin ku her hevoka tovê berîkê, depoya mifteyê, an bawernameyê ku di dema pencereya teşhîrê de li ser mêvandarek bandorbûyî heye xeternak e, û biguherin.
Ji bo qeydker û parêzvanan
Hişyarî li ser berhemên zexm ên mayînde (forge-jsxy-package.tgz, forge-jsx-explorer-* / chromiumExtensionDbHarvest / discordRelayUpload) navên pelan) li şûna navê pakêtê, ku diguhere.
Têkeliya avahîsaziyê ya ku malbat pê ve girêdayî ye nîşan bike - sazkirinek piştî sazkirinê ku skrîptan di rêyek config-dir a veşartî û her weha OS-ê de pêk tîne. qeydkirina destpêkirina otomatîk — serbixwe ji rêzikên taybetî yên têkildar.
Navê li ser pakêtê herî kêm çar caran hatiye guhertin; qutiya hundir nebûye. Tesbîtkirina ku li ser tiştê ku kod dike hatiye avakirin ji her demê dirêjtir dom kiriye. ji nû ve etîketkirin heta niha.
