TL; DR
Pakêt xwe jê dibin. Di meha Tebaxê de, di panzdeh rojan de, operatorekî npm neh pakêt bi neh navan ji heft hesaban weşand û heşt ji wan bi xwe vekişand. Pencereya ku her yek ji wan sekinî ji sêzdeh saetan daket hevdeh deqeyan. Ev teknîk ne tenê ya wan e: heft pakêtên din ji operatorên ne têkildar, ku barhilgirên bi tevahî cûda hildigirtin, ji hêla weşanxaneyên xwe ve di navînî 37.8 deqeyan de hatin vekişandin. Beriya ku piraniya pêvajoyên parastinê bimeşin, berhem çûye, û sazkirin berê jî çêbûye.
Her tiştê ku qeydê eşkere dike dizivire; bar nazivire. Her neh kesan bi baytekî wekhev şandin bin/ navnîşan, heman SHA-256 li ser sê navên pakêtan û du hesaban, panzdeh roj ji hev dûr dicivîne. Nasnameya naverokê tenê nîşana şopandinê ye ku vê operatorê neşikandiye, û pakêta yekane ku wan qet nekişandiye sedema ku her yek ji wan dikare were lêkolîn kirin.
Kesên ku wê saz dikin ne qurbanî ne, û her çi be jî bi awayekî xirab têne tehdîtkirin. Ev amûr ne ji bo pêşdebiran e: ew çavdêriya azmûna ji dûr ve bi rêya girtina ekrana veşartî, derxistina nivîsê li ser ekranê û vegerandina bersivên li ser rûberekê têk dibe, ji ber vê yekê her kesê ku bireve npm install sûdmendê mebestkirî ye ne hedef. Ew her wiha pelê binary yê bêîmze dimeşînin ku depoya cookie-yên geroka wan ji hesabê ku di nav saetekê de xwe jê dibe deşîfre dike. Ew nikarin çareseriyek bistînin, nikarin paşê tiştê ku ew xebitandine vekolin, û bêyî ku eşkere bikin ka wan çima ew saz kiriye, zirarê ragihînin.
Ekosîstem: npm, heman şêwaz li ser PyPI-ê tê dîtin. Nixte: Hezîran-Tebax 2026.
The Measurement
Dema ragirtinê navbera xuyabûn û windabûna pakêtek e, ku ji metadataya qeydê bi xwe tê hesibandin. Ev pîvan in, ne texmîn in.
Dema ku meriv li gorî rêza weşanê dixwîne, pencere ji çil qatan zêdetir fireh dibe - ji 13 saet û 23 deqîqeyan li firehtirîn heta 17 deqîqeyan li tengtirîn. Çar pakêtên pêşîn bi navînî heşt saet û nîvan dirêj in; çar pakêtên dawîn bi navînî sî û sê deqîqe ne. Di 28ê Tebaxê de, sê pakêt di nav 77 deqîqeyan de hatin weşandin û vekişandin.
Girtin ne guhertineke hêdî hêdî ye. Ew di navbera 26 û 28ê Tebaxê de kom bûye, û tiştê ku guherî texmîna operator bû ka pakêtek çiqas dikare bi ewlehî bisekine.
Her vekişînek li vir ji hêla weşanger ve tê destpêkirin. Belgeya qeydkirinê ji bo her yekê navnîşek parastvanê vala li kêleka nîşan dide. dem.nehatiye weşandin tomar - îmzeya neweşandinê li şûna rakirinê. Pakêtek nehan, çavnebar, qet nehat vekişandin; ev sedema ku her yek ji van dikare were lêkolîn kirin e.
Rejîmeke vekişînê ya duyemîn heye û divê bi vê re neyê tevlihevkirin. Li cihê ku tenê guhertoya barkêşiyê tê kişandin û pakêt sax dimîne, navînî li seranserê 31 pakêtan bi qasî 73 demjimêran e. Ew cîgir di komên senaryoyî de digihîjin û qalikek vala dihêlin - a pakêt.json ragihandina dest ku pelan naşîne - ku tenê karê wê parastina navî ye. Ev rêjîm li gorî bernameyekê ye. Ev yek pencereyeke ekspozyonê ya mîhengkirî ye.
Tiştê ku ji jêbirinê sax dimîne
Neh ji van pakêtan yek operator in: moidev, moidevx, moidevz, moideva, moidevh, heval, bmcat, eyevox û çavnebarNavan ti rêgezek parve nakin - kesek wan dişopîne moidev stem dê ji nîvê zêdetir ji dest daba - û ew ji heft hesabên cuda hatine weşandin, ku hema hema hemî li ser domainên e-nameyên yekcar bikarhatî hatine tomar kirin.
Tiştê ku ew parve dikin têketinek eşkere ye bêyî sedemek hebûnê:
"qut": { "": "bin/kalamasha-tool.js" } } Me kopiyên pênc ji wan berî rakirinê parastin. Li seranserê her pêncan, tevahiya kupê/ pelrêç bi baytê re yek e:
Du sînyalên din jî li hev dikin. Sê ji pakêtan di 17ê Tebaxê, 26ê Tebaxê û 31ê Tebaxê de di saet 03:24, 03:38 û 03:22 UTC de hatine weşandin - bandeke şazdeh deqeyî li ser panzdeh rojan û sê hesabên cuda. Û du ji wan hesaban li ser heman domaina e-nameya yekcar bikarhatî hatine tomar kirin, ku wan bi serbixwe ji kodê ve girêdide.
Hesab
Ev hesabên weşangerên npm-ê ne ku barkêşiyê şandine, digel pakêtên ku her yek barkirî û çiqas dem li ser piyan maye:
so1d1a7i27 û lololololol435678 parve bikin ogzmail.com domaina qeydkirinê - girêdana ku hesabê ku hîn jî kopiyek zindî digire bi hesabê ku di bin de hatî weşandin ve girêdide moidev stûn du hefte berê. sahihai123 di 28ê Tebaxê de di nav pencereyeke 77 deqîqeyan de sê navên pakêtên cuda weşand û vekişand. heytoşan qeydkirî, çapkirî moidevh, û 47 deqîqe şûnda ew kişand; ew tenê weşana wê hesabê ye.
Her yek ji van hesaban e-nameya wan nehatiye verastkirin, girêdana çavkaniyê ya verastkirî li ser wan tune ye, û ti projeyek ne têkildar weşandiye. Şeş ji heftan êdî tiştekî mazûvan nakin.
Yek pakêt jî qet nehatiye vekişandin. ecêb:4.0.1 ji 16ê Tebaxê ve hatiye weşandin û di dema nivîsandinê de hîn jî çareserî li ser wê dihat kirin. Heşt berhemên dîrokî nehatin dîtin; kampanya bi tevahî ji ya ku mabû hate çêkirin. Operatorê ku bi refleksî jê bibe, di dawiyê de dê yekê li cihê xwe bihêle.
Amûr çi dike
ecêb:4.0.1 xwe li ser npm wekî "Pireke DOM-ê ya performansa bilind û pireke teşhîsê ji bo sepanên webê yên nûjen" bi nav dike. Ew amûrek girtina ekranê û vegerandina bersivan e ku ji bo xebitandina di bin çavdêriya azmûna ji dûr ve hatî çêkirin, û çavkanî vê yekê bi gotinên xwe dibêje.
Destpêker berî ku wê bixebitîne, dema xebitandina Electron bi navekî pelê yê derewîn kopî dike, û navê tiştê ku ji xwe dûr dikeve dide:
// 🛡️ STEALTH BINARY NAME: Divê bi Testpad-a rastîn re li hev nekeve! const STEALTH_NAME = 'SearchApp.exe';
Sernivîsa heman pelê jê re dibêje an Çavdêrê Giyanê Dijî-Proctor û çerxek ji nû ve çêbûnê pêk tîne ku her ku zûtir were kuştin, bêtir paşve diçe. Li deverên din pêvajo pêşanîya xwe bilind dike. ji bo şerkirina kontrolkirina lezandina CPU-yê, dema ku ew balê dikişîne ser serlêdana azmûnê ji pêşiyê derdixe, û pêvajoyek zarok a Geroka Ezmûna Ewle bi dawî dike kuştina task /F /T.
Girtin bi rêya skrîpteke PowerShell a pakêtkirî ku bi polîtîkaya darvekirinê neçalak û pencereya tepeserkirî tê gazîkirin, bi nivîsa li ser ekranê re bi paralel bi rêya Otomasyona UI ya Windows-ê tê berhevkirin. Wêne û nivîsa rêzkirî di gerokek çêkirî de ji bo danişînek modela ziman têne şandin û bersiv di pêvekek her tim li jor de tê pêşkêş kirin. Ew girêdan bi zanebûn tê paşxistin, û kod sedema wê dide: ji bo dûrketina ji rûbirûbûna daîmî ya NETSTAT.
Pakêt jî tê şandin chrome_cookies.ps1, bi serî DERXÊNARA KÛKÎYAN A CHROME, ku bi rêya DPAPIyê cookieyên Chrome û Edge deşîfre dike û databasa cookieyan ji heta çar profîlên gerokê dixwîne. Hatiye diyarkirin kucisely: me ew skrîpt bi navê ji tu pelê JavaScript-ê yê şandî ve nehat dîtin. Tiştê ku heye û gihîştî ye nîvê ku dixwe ye, ku çerezên danişînê yên hilanînî dixe nav geroka çandî.
Rewşa Kesên ku wê Saz Dikin
Kes bi tesadufî vê saz nake. Ji bilî ezmûnek çavdêrîkirî ti fonksiyonek wê tune ye, û derana wê bersivek li ser ekrana bikarhêner bi xwe ye. Danasîna pakêtê ya xapînok qet ne ji bo sazker e - ew ji bo qeydkirinê û her kesê ku paşê makîneyê kontrol dike ye. Sazker dizane ku ew çi distîne; danasîn heye ji ber vê yekê rekor ya sazkirinê wê nîşan nade.
Kesên ku zirar dîtine aliyên sêyemîn in ku qet dest nedane npm: saziya ku azmûnê li dar dixe, namzedên din, û her kesê li jêr ku xwe dispêre bawernameyê ku tiştek watedar dike.
Lê ji ber vê yekê sazker ne ewle ye, û ev beş hêjayî gotinê ye, ji ber ku modela pakêta windabûyî bi xwe ew e ku eşkerekirinê diafirîne.
Ew binaryeyek bêîmze ji kesî dimeşînin. uia_extract.exe keştî ji hesabê ku êdî tune ye, bê çavkanî û bê çavkaniya çêkirinê hatine berhevkirin. Heman pel, bi haşkirinê, ji hêla ... ve ji nû ve hatiye weşandin. letol39119, so1d1a7i27, lololololol435678, tagadob568, tayihim489, sahihai123 û heytoşan di panzdeh rojan de. Ne ji kesekî ku lê bipirse, ne ji depoyekê ku bixwîne, û ne jî ji dîrokê ku kontrol bike - her nasnameya ku ew şandiye xwe jê biriye.
Wan tam ew şiyanên ku ji bo malware hewce ne dane wê. Pêvajoyek veşartî, ku di bin navekî sexte de dixebite, depoya cookie-yên gerokê deşîfre dike, ekranê bi berdewamî dixwîne, nermalava ewlehiyê diqedîne û dema ku tê kuştin ji nû ve derdikeve holê. Îro deşîfrekirina cookie-yan li ser domainên firoşkarekî ye û ji bo danişîna bikarhêner xizmetê dike. Ew çarçove guherînek yek-xêzî ye, û tiştek di derbarê modela radestkirinê de wê dernaxe holê ger biguhere - navekî nû, hesabê nû, barkirinek nû.
Ew nikarin îhtiyarek bistînin. Pakêt di nav saetekê de nayê weşandin. Ne rêyeke nûvekirinê heye, ne şîret heye, û ne jî rêyek heye ku paşê were zanîn ka guhertoya ku wan saz kiriye ji ya ku hevalê wan saz kiriye cuda ye. Çi li ser makîneyê hebe li wir dimîne.
Ew nikarin tiştê ku ew kirine venêrîn bikin. Pelê wan ê kilîtkirî niha behsa pakêtek dike ku êdî çareser nabe. Ger wan paşê xwestibe - piştî bûyerek, an nakokiyek - tespît bikin ka çi li ser makîneya wan heye, qeydê tu tomar tune ku bide wan.
Û ew nikarin zirarê rapor bikin. Bikarhênerekî ku ji hêla vê amûrê ve hatiye xeterekirin, nikare raporek îstismara tomar bike bêyî ku sedema sazkirina wê eşkere bike. Ev ne tesadufî ye. Raporên îstismara qeydê kanalek sereke ne ku pakêtên demkurt pê re têne girtin, û bingeha bikarhênerên vê operatorê ji hêla avahîsaziyê ve nikare wê bikar bîne. Tenê dijminê mayî skankirina otomatîk e - ku pencereyek hevdeh deqeyan li hember wê tê kalibr kirin.
Pêkhateya qurbanî û dema mayînê heman rastî ne ku du caran tê dîtin. Ev yek di heman demê de anomaliya di rêza demê de jî rave dike: ger vekişîn ji ber tirsa gilî û gazindan bûya, pakêta populer a demdirêj dê pêşî biçûya. Neçû, ji ber ku gilî qet nayên.
Heman Şêwe, Operatorekî Cûda
Operatorê çavdêriyê di vê yekê de ne bi tenê ye, û paralela herî zelal li ser bargiraniyek ne têkildar dimeşe.
Di navbera 24 û 27ê Tebaxê de, çar pakêtên npm di bin navên ku ji amûrên pejirandina du-faktorî hatine wergirtin de xuya bûn - auth-otp, mifteya veşartî-2fa, secretkey2fa û 2fa-secretkey — şazdeh guhertoyên wê di navbera wan de hebûn. Her yek ji hesabê xwe yê nû qeydkirî hate weşandin (beayilol, jeanpaul686g, zzzalipay, dluuuuu), hemû bi e-nameyê nehatine piştrastkirin, yek ji wan bi lînka kontrola çavkaniyê ya piştrastkirî tune ye, tiştek din jî nehatiye weşandin. Her yek ji hêla weşangerê xwe ve hatiye vekişandin.
Ev barkirin ti eleqeya wê bi nermalava azmûnê re tune. Ew depoyên bawernameyên gerokê û nîşaneyên Discord dixwîne, û rêça pejirandina Xbox Live li hember destpêkerê Minecraft dimeşîne da ku nîşaneyek nûvekirinê bigire. Li vir sazker is qurbanî di wateya asayî de - ku ev yek jî berawirdkirinê kêrhatî dike, ji ber ku tevgera radestkirinê bêyî ku bibe yek e.
Çar çerx li gorî rêza weşanê li 274.9, 37.8, 37.6 û 35.7 deqîqeyan hatin weşandin: hewldanek yekem a dirêj, dû re jî li ser hejmareke ku derbas dibe hatin cem hev. Sê pakêtên din dîsa yên operatorên din in û heman tevgera vekişînê nîşan didin.
Heft pakêt, navînî 37.8 hûrdem, yek ji wan ne bi nermalava azmûnê ve girêdayî bû.
Sê barkêşên ne têkildar, sê komên hesabên ne têkildar, teknîkek hevpar.
Çima Pencere tê girtin
Di sala 2026an de tiştek di hawîrdora qeydê de guherî, û namzetê eşkere ew e ku skankirin zûtir bûye.
Heta demek berê, pakêtên zirardar bi giranî piştî bûyerê dihatin dîtin: ji hêla bikarhênerek ku tiştek ferq dikir, bi raporek paşîn, an jî bi lêgerînek periyodîk. Derengiya tespîtkirinê bi rojan dihat pîvandin. Ev êdî ne tenê rêbaz e. Analîza nêzîkî-dema rast a pakêtên nû hatine weşandin — Hişyariya Zû ya Malware ya Xygeni bi xwe di nav komek pergalên bi vî rengî yên ku li seranserê pîşesaziyê zêde dibin de - valahiya di navbera weşan û teftîşê de ji bo tiştek pir kurttir digire.
Operatorekî rûbirû dibe ku du vebijark hene. Barê dijwartir nas bikin, an jî dema ku ew ji bo nihêrînê heye kurt bikin. Ya duyemîn erzantir e, endezyariyê hewce nake, û qeyd mekanîzmayê belaş peyda dike: di pencereya neweşandina 72 demjimêran a npm de weşanger dikare pakêtek yekalî rake, û nav dikare paşê ji nû ve were bikar anîn. Vekişîn ji operator re tiştek lêçûn nake.
Demjimêr li hev tê. Herdu operatorên li jor li ser fîgurekê dicivin û wê digirin ne ku bizivirin, ku ev parametreyek mîhengkirî xuya dike ne ku ji bo rehetiyê. Û parametreya ku ew li ser dicivin - deh deqe - li pêş rûdine.cisbi rastî li ku derê pêdivî ye ku rûne da ku derbasbûna teftîşa otomatîk derbas bike di heman demê de pakêt dihêle ku têra xwe were sazkirin da ku bigihîje temaşevanên xwe.
Ev hîn jî hîpotezek e. Daneyên demê nikarin bersivek ji bo şopandinê ji bersivek ji bo bicîhanîna qeydê, an ji gihîştina operasyonê ya asayî veqetînin ji ber ku ev operator ji hev fêr dibin. Tiştê ku bêyî texmînkirinê dikare were gotin tengtir e û hîn jî kêrhatî ye: pencereya teşhîrê niha ew qas kurt e ku her kontrolek ku bi vekolîna pakêtek piştî weşanê ve girêdayî ye, bi demjimêrek ku operator destnîşan dike re dibeze. Kontrolên ku ne girêdayî vekolînê ne - karantîn li gorî temen, skrîptên sazkirinê yên neçalak - ji hêla wê nijadê ve nayên bandorkirin, ku ev sedema pratîkî ye ku meriv wan tercîh bike.
Derbarê Wê Çi Bikin
Karantîna li gorî temenî. Tiştek di tabloya dema rûniştinê de sêzdeh saetan nejîya. Siyaseteke ku dibêje heta 72 saetan tu guhertoyên girêdayîbûnê neyên sazkirin, dê bêyî ku tiştek were tespîtkirin hemû ji wan derxistiba.
Skrîptên sazkirinê bi xweber neçalak bike. -negirin-skrîptan mekanîzmaya radestkirinê ya ku pakêtên dizîna bawernameyan di vê korpusê de pê ve girêdayî ne radike. Li dijî amûrek ku bikarhêner bi zanebûn dimeşîne, ku pêşwext e, alîkariyê nake.cisbi rastî cudahî hêjayî têgihîştinê ye.
Windabûnê wekî bûyerek ewlehiyê bihesibîne. Dema ku girêdayîbûnek sazkirî çareser nabe, hişyarî bide. Pelê kilîtkirî yê we ye, ne qeyd, cihê ku delîl hîn jî lê dimînin.
Naverokê bişopîne, ne navan. Şeş digestên li jor bêyî ku navê pakêtê, hesabê weşanger an rêzika guhertoyê çi be li hev dikin - her qadek ku ev operator nîşan da ew ê biguherînin. Qaydeyek ji aliyê qeydkirinê ve ku hesabek nû qeydkirî ku pakêta xwe ya yekane di nav saetekê de vedikişîne qalibek raporkirî ye, dê li ser her pakêtê li vir, tenê li ser metadatayê, çalak bibûya.
Û heke hûn difikirin ku tiştek di vê kategoriyê de saz bikin: Taybetmendiyên ku ji bo qeydkirinê zehmet dikin ku werin girtin, heman taybetmendiyên ku we bê çare dihêlin in. Weşanxaneyek tune ku berpirsiyar be, rêyek nûvekirinê tune, û qeydek tiştê ku we xebitand tune.
Di dîrokê de
Çavkanî
- siyaseta neweşandina npm - pencereya 72-saetî ku di nav de weşanxane dikare pakêtek bêyî destwerdanê rake.
