TL; DR
Di 2026-05-21 de, weşanxaneya npm jaggle neh guhertoyên wê hatine weşandin (1.0.0 bi saya 1.0.8) of @jaggle/resizeobserves di pencereyek nêzîkî du demjimêran de.
Pakêt şaşnivîsandina yasaya rewa ye @juggle/resize-observer polyfill — pakêtek ku bi berfirehî tê bikar anîn û bi mîlyonan dakêşanên heftane lê têne kirin — lê pêkanîna rastîn a ResizeObserver pêk nayne.
Di şûna wê de, pakêtê çengela piştî sazkirinê barekî Pythonê yê pakêt saz dike, domdariyê wekî brokerek runtime-ê ya platform-xwemalî tomar dike, û hijackerek clipboard-a cross-platform bikar tîne ku danûstandinên krîptopereyê hedef digire.
Linux domdarî wekî xuya dike python3-dbus-helper, MacOS as com.apple.python.runtime, û Windows as PyRuntimeBroker.
Barkêş bi berdewamî clipboardê ji bo navnîşanên berîkan li seranserê dişopîne. zêdetirî 40 zincîrên blokê û bi bêdengî navnîşanên kopîkirî bi berîkên ku ji hêla êrîşkaran ve têne kontrol kirin diguhezîne.
Malware bi tevahî li herêmê dixebite bêyî binesaziyeke C2 ya derketî, ev jî şûna clipboardê dike mekanîzmaya derxistinê.
IOC-ya sereke bi xwe navê pakêtê ye: @jaggle/resizeobserves — bala xwe bidin dengdêra ku di "jaggle" de hatiye avêtin û "s" ya ku di "resizeobserves" de hatiye zêdekirin.
Giranî: bilind.
Êrîş: Çawaniya Karê Wê
npm:@jaggle/resizeobserves li ser çavkanîyek sade wekî malware xuya nake dîtina npm. Wê README.md README ya bêjeyî ye npm:@juggle/resize-observer - heman nimûneyên kodê, heman rêwerzên karanînê, heman { ResizeObserver } ji '@juggle/resize-observer' import bike referans li seranserê. Plagîarîzm ewqas temam e ku her kesê ku li belgeyan binêre dê texmîn bike ku ew belgeyên pakêta rewa dixwîne.
Ew pakêt.json, berevajî vê, kêm e: na pirtûkxaneyê meydan, yekane kupê ketina ku nîşan dide ber bi bin/clipboard-guardian.js, Û a piştî sazkirinê skrîpteke ku dixebite girêka npm-install.jsNimûneyên "Bikaranîna bingehîn" ên README behsa pêkanînek JavaScript dikin ku li tu deverek di tarballê de tune ye. Tenê JavaScript-a di pakêtê de skrîpta sazkirinê ye.
Qonaxa 1 - npm bootstrapsên piştî sazkirinê li ser barekî Pythonê dimeşîne
npm-install.js platform-agahdar e. Ew cîhekî dibîne pip karekî bicîhkirî li ser rêyeke lêgerînê ya sabît (/usr/bin/pip3, / usr / herêmî / bin / pip, vedigere bo python3 -m pip), pakêta Pythonê ya pakêt ji peldanka tarball saz dike, û — li ser Linux — dikişîne hundir xclip or xsell via apt-get, pacman, an dnf eger yek ji wan jixwe tune be:
Bikaranîna pakêtên-sîstema-şikandinê bi zanebûn e: belavkirinên Linux-ê yên nûjen Python-ê bi nîşankera jîngeha-birêvebirî ya derveyî ya PEP 668-ê dişînin, ku bi xweber sazkirinên pip-ê yên li seranserê malperê asteng dike. Skrîpta sazkirinê sazkirinê bi zorê dike.
Skrîpt her wiha ji sudo-yê jî haydar e. Dema ku uid-a xebitandinê encama sazkirina sudo npm, senaryo dixwîne SUDO_USER û gule ber bi şîfreya getentê bibînin rast navnîşana malê ya bikarhêner, dûv re pelên wê yên mayînde li wir dinivîse li şûna ku tê de /rehBerdewamî li ser her bikarhênerekî ye, ne li ser tevahiya pergalê ye.
Qonaxa 2 - Berdewamiya cross-OS di bin navên brokerên dema xebitandinê de
Piştî sazkirina pakêta Pythonê, skrîpt li ser her pergala xebitandinê têketinek destpêkirina otomatîk bi navekî cuda tomar dike:
- Linux — yekîneyeke bikarhêner a sîstemîk li ~/.config/systemd/user/python3-dbus-helper.serviceYekîneyê Terîf is Alîkarê Dema Xebitandinê ya Python D-BusSkrîpt her wiha hewl dide ku wê bi rêya systemctl -bikarhêner çalak bike, vedigere ser girêdana sembolîk a destî di bin de default.target.wants/ dema ku systemctl têk diçe. Ger bi sudo bixebite, skrîpt diguhere ser sudo -u systemctl –bikarhêner, bi XDG_RUNTIME_DIR wiha mîheng bike ku banga bikarhêner-otobusê bixebite.
- MacOS — lîsteyek ji LaunchAgent li ~/Pirtûkxane/LaunchAgents/com.apple.python.runtime.plist bi RunAtLoad=rast û Zindî bihêle=rast e, paşê bi rêya barkirina launchctl.
- Windows — Peywireke Bernamekirî bi navê PyRuntimeBroker, ku AtLogOn tê çalakkirin, bi sînorê dema bicîhanînê sifir (ango, bê dem), bi rêya PowerShell tê tomarkirin.
Her sê nav jî di nihêrînekê de bawerbar in. alîkarê-python3-dbus li gorî peymana navlêkirinê ya entegrasyona Python-D-Bus a rewa li ser sermaseyên Linux-ê dişopîne. com.apple.python.runtime etîketkirina DNS-ya berevajî ya Apple-ê ji bo karûbarên xwe teqlîd dike. PyRuntimeBroker Windows-ê dubare dike RuntimeBroker.exe — xizmeteke rastîn û îmzekirî ya Microsoftê ku daxwazên destûrê ji bo sepanên UWP-ê dimeşîne. Di vê çarçoveyê de ti ji van xizmetên rastîn ên Apple/Microsoft/Python nînin, lê parêzvanek e ku lêgerîneke dîtbarî ya bilez dike. systemctl – yekîneyên lîsteya bikarhêner or Get-ScheduledTask ne mimkûn e ku bitirse.
Qonaxa 3 - Revê clipboardê
Barkêşiya Pythonê, ku li wir hatiye sazkirin clipboard_guardian/guardian.py, her 400 milîçirkeyan carekê çerxek bêdawî dimeşîne ku clipboarda pergalê dipirse. Li ser her tikandinê, ew naveroka clipboarda heyî bi rêya dikişîne pyperclip.paste() û wan li hember lîsteyek ji çil û zêdetir îfadeyên rêkûpêk ên pêş-berhevkirî dimeşîne ku formatên navnîşana berîkan ji bo Ethereum, Bitcoin, Monero, Solana, TRON, TON, Ripple, Litecoin, Dogecoin, Polkadot, NEAR, Cosmos, Algorand, Stellar, Cardano, Bitcoin Cash, Dash, Zcash, Aptos, Sui, Tezos, MultiversX, Harmony, Terra, Injective, Osmosis, Kava, Celestia, Nano, Filecoin, Ronin, Ergo, DigiByte, Hedera, BNB Smart Chain, û çendên din ên ku di mîhenga xwerû de hatine qutkirin lê vala ne (Sei, IOTA, Kaspa, Flow, Nervos, Decred, Ravencoin) vedihewîne.
Dema ku maçek çêdibe, skrîpt navnîşana êrîşkar ji bo wê zincîrê ji dixwîne. ~/.config/parêzvanê-clipboardê/config.json (an jî hevwateyên wê yên platformê) û nivîsa cîgir li ser clipboardê dinivîse:
Nîşana torê tune. Amûra qutkirinê telefonê nade malê, mêvandarên vegirtî tomar nake, tiştekî dernaxe. Derxistin bi xwe guhertin e: dema ku bikarhêner navnîşana wergir ji UI-ya berîka xwe kopî dike û wê di diyaloga şandinê de dihewîne, navnîşana ku hatiye pêvekirin aîdî operator e. Pere di hundurê bendê de, bi awayekî zelal ji bo bikarhêner winda dibin.
Li vir çi nû ye
Li gorî şablona crypto-clipper a gelemperî, çend hûrgulî derdikevin pêş:
1. npm → Derbaskirina Pythonê. Piraniya crypto-clipperên ku em di npm de dibînin JavaScript-a paqij in, ku bi gelemperî bi wan ve têne tevlihev kirin. _0x zivirîna rêzê an nirxandin(atob(…)) stûn. Ev nimûne tarballa npm wekî pêça radestkirinê ji bo pakêtek Python-ê bêtir tiştek bikar tîne - Python-a paqij - û dihêle ku pip sazkirina girêdayîbûnê birêve bibe (pyperclip, psutil, vebijarkî sernavê danîna proc) di pakêtê de hatî ragihandin pyproject.tomlTi astengkirinek JavaScript-ê tune ku meriv têk bibe. Bişkok bi xwe Pythonek sade û xwendî ye.
2. Etîketên domdariyê yên Tri-OS ji bo maqûlbûnê hatine hilbijartin. Gelek sazkerên platformên cuda mayîndetiyê di bin navên gelemperî de tomar dikin (nûvekirin.xizmet, alîkar.plist). Ev nimûne zehmetiyê dikişîne ku etîketên ku dişibin brokerên dema xebitandinê yên xwemalî yên platformê li ser her OS-ê hilbijêrin. Navkirin tenê hewldana dizî ye - ne rootkit heye, ne veşartina erdê bikarhêner heye, ne jî tarîkirina rê heye. Behîs ev e ku parêzvan kêm kêm denetimê dikin. ~/.config/systemd/bikarhêner/ û xizmetek bi navê alîkarê-python3-dbus di nirxandinek nefermî de dê dernekeve pêş.
3. Veşartina sernavê pêvajoyê rast e, lê dij-analîz bêçalak e. Barkêşiya Pythonê pênase dike _veşartina_pêvajoyê() fonksiyona ku sernavê pêvajoyê bi rêya destnîşan dike sernavê danîna proc (Linux/macOS) an jî SetKonsolaSernavW (Windows) — û ser() jê re dibêje. Ji ber vê yekê ps to dê nîşan bide alîkarê-python3-dbus di şona python3 …/guardian.pyLêbelê, heman modul pênase dike monîtor_dimeşe() fonksiyona ku amûrên çavdêriya pêvajoyê yên naskirî hejmar dike (htop, topa b, Gerînendeyê Peywiran, Çavdêrê Çalakiyan, Hackerê Pêvajoyan, Çavdêrê Çavkaniyan, çavdêrên pergalê yên GNOME / KDE / Xfce / MATE, û hwd.) — û ser() qet gazî nake. Çerxa cîgirtinê bê şert û merc dixebite, gelo bikarhêner çavdêrek pêvajoyê vekirî be an na. Fonksiyon di guhertoya hatî şandin de koda mirî ye. Ew bi îhtîmaleke mezin ji dubarekirinek berê maye, an jî scaffold ji bo taybetmendiyek ku hîn nehatiye girêdan. Çi dibe bila bibe, rûyê dij-analîzê yê barkêşiya weşandî navnavkirina sernavê pêvajoyê ye, ne dûrxistina çavdêra çalak e.
4. Reftara mîheng-tevlîkirina pakêtkirî. npm-install.js lîsteya berîka xwerû dinivîse bo ~/.config/parêzvanê-clipboardê/config.json û, heke pelê mîhengê berê hebe, her mifteyên ku nirxa wan a heyî vala ye tê de dike yek. Ev tê vê wateyê ku bikarhênerek ku berê vegirtî bûye û mîhengê qismî paqij kiriye - mînakî, bi valakirina ethereum nirx — dê bi her sazkirina pakêta xerabkar a paşê ji nû ve were dagirtin. Di tu rêya kodê de pelê domdar nayê paqijkirin.
| Dîrok / Demjimêr (UTC) | Bûyer |
|---|---|
2026-05-21 18:50:32 | @jaggle/resizeobserves@1.0.0 weşandin. |
2026-05-21 19:55:55 | 1.0.1 weşandin — guhertoya yekem ji hêla skankirina derveyî ve hatî nîşankirin. |
2026-05-21 19:58:10 | 1.0.2 weşandin. |
2026-05-21 20:05:03 | 1.0.3 weşandin. |
2026-05-21 20:09:24 | 1.0.4 weşandin. |
2026-05-21 20:13:48 | 1.0.5 weşandin. |
2026-05-21 20:41:52 | 1.0.6 weşandin. |
2026-05-21 20:43:56 | 1.0.7 hatiye weşandin - lê zêde dike try/catch pêça li dora gava nivîsandina mîhengkirina wallet-ê npm-install.js. |
2026-05-21 20:46:15 | 1.0.8 weşandin - navê sazker hate guhertin npm-install.js → npm-install.cjs (naveroka bi baytê re wekhev). |
2026-05-22 | Biryar û IOC hatin weşandin. Versiyon hîn jî di dema weşanê de di qeydê de hene (berdewam dikin). |
Neh guherto di saetek û pêncî û şeş deqîqeyan de, hetta ji bo typosquat jî bilez e. Ev şêwaz lihevhatî ye bi a kampanyaya weşandin û şewitandinê — qeydê di bin yek destgirekî de tijî bike, bihêle tespîtkirin rêya xwe bidomîne, û gava guhertoyek yekane were rakirin, biçe destgirekî nû. Deltayên xuya li seranserê xebitandinê kozmetîk in: 1.0.1 eşkere lê zêde kir /usr/bin/pip3rêyên -style bo lîsteya lêgerîna pip (sudo-compatibility), 1.0.7 nivîsandina wallet-config di try/catch de pêça, û 1.0.8 navê sazker ji .js ber .cjs dema ku naveroka wê bi baytê yekpare dimîne. .cjs ji nû ve navê trakan bi hişyariyên npm-ê yên li ser çareseriya modulê ya nezelal di pakêtan de bêyî diyarkirinek eşkere "awa" zeviyê, û dibe ku hewldanek be ji bo tepeserkirina dengê dema sazkirinê ku dikare balê bikişîne. Barkêşiya Pythonê - tenê beşa ku bi rastî didize - di hemî neh guhertoyan de neguheriye.
Nîşaneyên Lihevhatinê
pakêtên
| Ecosystem | Pakêt | guhertoyên | Rewş |
|---|---|---|---|
| npm | @jaggle/resizeobserves | 1.0.0 bi saya 1.0.8 | Zindî li cîhê weşanê ye; daxwaza rakirinê hatiye kirin. |
Pel û Haş
| Şop | Notes |
|---|---|
clipboard_guardian/guardian.py(md5 f7935c2c82bc881288611ab6cd634f17) | Li hemû neh guhertoyên weşandî wekhev e (1.0.0 bi saya 1.0.8). Barkêşiya makîneya qirkirinê. |
npm-install.js (1.0.0 – 1.0.7)npm-install.cjs (1.0.8) | Sazkerê domdariyê; heman tevgera serî-bi-serî. 1.0.7's .js û 1.0.8's .cjs byte-yeksan in. |
~/.config/clipboard-guardian/config.json | Mîhenga domdariya Linuxê û pakêta berîkê. |
~/Library/Application Support/clipboard-guardian/config.json | Mîhenga domdariya macOS û pakêta berîkê. |
%APPDATA%\clipboard-guardian\config.json | Mîhenga domdariya Windows-ê û pakêta berîkê. |
~/.config/systemd/user/python3-dbus-helper.service | Domdariya destpêkirina otomatîkî ya Linuxê. |
~/Library/LaunchAgents/com.apple.python.runtime.plist | berdewamiya macOS LaunchAgent. |
~/Library/Logs/com.apple.python.runtime.log | Têketina macOS stdout/stderr ji bo ajan. |
Scheduled Task PyRuntimeBroker | Peywira destpêkirina otomatîkî ya Windows-ê (AtLogOn, bê demdirêjî). |
Nîşaneyên Behavioral
| Signal | Terîf |
|---|---|
pip install --break-system-packages ji npm postinstall | Sazkirina Pythonê li seranserê malperê bi rêya binpêkirina parastinên PEP 668 ferz dike. |
apt-get install -y xclip (an jî pacman/dnf) | Di dema sazkirina pakêtê de amûrên clipboardê li ser Linuxê saz dike. |
python3-dbus-helper.service yekîneya bikarhêner a sîstemkirî | Persistence di bin navekî alîkarê runtime-ê de ku xuya dikir maqûl bû, hate tomar kirin. |
com.apple.python.runtime LaunchAgent | Etîketa domdariyê li derveyî rêyên pergala Apple ya rewa. |
PyRuntimeBroker Karê Scheduled | Berdewamiya brokera dema xebitandinê ya Windows-ê ya sexte bêyî çavkaniyek sazkerê ya rewa. |
Pêvajoya Pythonê bi navê python3-dbus-helper bazirganî pyperclip û psutil | Nelihevhatina tevgerî di navbera navê pêvajoyê yê nîşankirî û pirtûkxaneyên hawirdekirî de. |
| Piştî kopîkirina navnîşana berîkê, clipboard diguhere ~0.4 çirke | Reftara îmzeyê ya guhertina navnîşana krîptopereyê. |
Pakêta berîka êrîşkar (lîsteya nêçîra parêzvanan)
Lîsteya berîkan bi kodên hişk tê şandin npm-install.js û clipboard_guardian/guardian.pyParêzvan dikarin lîsteyê hem wekî lîsteyek astengkirinê bikar bînin (her veguhastinek ji berîkên pargîdaniyan bo van navnîşanan wekî gumanbar bihesibînin) û hem jî wekî mifteyek nêçîrê (hebûna yek ji van rêzikan di pelê mîhengê yê nepejirandî, berhema çêkirinê, an makîneya pêşdebir de wekî nîşaneyek enfeksiyonê bihesibînin).
Pakêta Berîka Êrîşkar
| Merbend | Navnîşan |
|---|---|
| Ethereum / BSC | 0x450c0E58Fc2ba03632d3F5780ad8C966648B6F18 |
| Ronin (EVM) | ronin:450c0E58Fc2ba03632d3F5780ad8C966648B6F18 |
| Bitcoin | bc1qs2mpls4p0f7fng073gy2rcdgjpf7la4eugpt6y |
| Qezencê Bitcoin | bitcoincash:qqmvyxxklzp7l3eslxavhc8phl6hprdf25lwc29nlt |
| Litecoin | ltc1qnefc8x59a9cwtqnflt8hmqvezqw4hc7lt3fkqe |
| Dogecoin | DNEJmYRZtzyK44tZea4S7wV3otTyRk48Fy |
| Dash | XtJ7E6mnhPK93Vib29PGQrTmQjhTTqFwbS |
| Zcash | t1d4hcEnBjdh9X6Wb6R2dxqjnxddJ6ocP8M |
| DigiByte | DPmH2dhiGK3hk3A69tZUMz6tHzGFHBzSrH |
| Monero | 42zhAidVhP7QETk83JAspS59ASALSHFio44vmu6MdDCz15cSqtqsG4QVyzY8vTrjGrTEA6zMbWW6Yft1Ynz1xLfCN5FVbXf |
| Solana | DWBAmQLi9gP6mk7UfJfQGYTV1UPK32WekLTqg83q1mc5 |
| TRON | TVgEgMemmJABYYnbNr1Wi8bSgADEkdEBt2 |
| TON | UQDTSkvwmptU9eG988KgxS3WjnYAZlXgfpJxnz4mhWZAvULr |
| Ripple | r9tj3cMCiqRijNYqNVYNuwKykkQfS8FE4H |
| polkadot | 1JSkYqXQE4d28HdcmTPhbgCrdiPFTfSHxD67tam16p53oBG |
| NÊZ | 5d6aec44551529e8cd9ebd3aaa84b3832fc3c7463596b2b6e72635b80096a364 |
| Cosmos | cosmos1pzfl3kv5g8g0ernj86rwpar08u2zl9suthx28e |
| Osmosis | osmo1pzfl3kv5g8g0ernj86rwpar08u2zl9surv463t |
| Celestia | celestia1pzfl3kv5g8g0ernj86rwpar08u2zl9su6ah6a5 |
| Injektivî | inj1g5xquk8u9wsrvvkn74uq4kxfvejgkmccn578gh |
| Kava | kava1kjfvgcz4q0y9yae2f3pa33vhj2estxxj3sqqux |
| Lihevkirinî | one19hn0n7dzkhtl9ta9ekv5592s85jwstpka76t3a |
| Terra | terra1h0dwu8z405jagdlr0fgr9jllac2sxajzlgme5x |
| Algorand | XSAMN3FTB5SUHUQFENBDDRXIMOPNFVLKAWA3RNOU54DWROMDZ6SR7DZ2PI |
| Stellar | GACNZSV4EQO65NZZUOBS3TMJM7GFTSRNKQBVJOX5P2G7U7SEBQ2ZUDJE |
| Cardano | addr1qyj050vla4cglmyrgm4vzf3dxtn0gynpks4t7vp7s3lg49e9wt0s94hcztzdgecxcz5hu9uk56q60yth6d66w026s2kq3ma56f |
| MultiversX | erd1slvlgqsmwzk0c8xtksm4eq5vdfnc26slpzqsyxhz456zvme5rpasue6ge0 |
| apt | 0x580ecda1ebd6ca5a46be2097568d013308bd54ef1d147acb880b59f7709f280e |
| sui | 0xf7e8a9a970fa65c058745c4b2cf2a856cc0283863e4ed1e142648f26097b0c78 |
| nano | nano_393n56a5pfz8zg3nkzf7mytfgagzhu5mn9i3xiqg54weq8n1u8jgezxas7dn |
| Filecoin | f1fypyww3xubopfnv7q6yh5l4bko44wmfktf3ckui |
| Tezos | tz1RccjnorHk61bt73ArLXcdgFjEj6T1ochk |
| Ergo | 9g1pNQGnFg7Hk1d9Z66bgHMkguGU7R41btypAnbG1NF5FJoNdBA |
| Hedera | 0.0.10488092 |
Zincîrên bi parastina regex lê cîhên berîkên vala di mîhenga xwerû de - Sei, IOTA, Kaspa, Flow, Nervos, Decred, Ravencoin, Beacon-Chain BNB - di vê avakirinê de bi awayekî çalak nayên cîgir kirin lê têne tespît kirin. Wan wekî çarçoveya çavdêriyê bihesibînin ne wekî çarçoveya cîgirkirinê.
Wesfkirin û Motîvasyon
Kampanya rûberek zirav a destnîşankirinê pêşkêş dike. Em nekarîn nasnameya operator piştrast bikin. Tiştên ku em dikarin tomar bikin:
- Metadataya weşanger. Hesabê npm jaggle e-nameya xwe wekî olgascarlet@deltajohnsons.comDomain deltajohnsons.com çareserî ji bo nasnameyek pargîdaniyek ku em dikarin verast bikin nayê. Hesabê npm verastkirina e-nameyê nîşan nade û tune SCM verastkirin. Hebûneke GitHub a giştî ya têkildar tune ye.
- Qada depoyê. Ew pakêt.json nagire pirtûkxaneyê zeviyê. Ya rewa npm:@juggle/resize-observer xalên li depoyeke rastîn a GitHubê bi hezaran stêrk û pirsgirêkên çalak. Nebûna girêdana depoyê nîşana dîtbarî ya herî bilez li ser npm UI ye.
- Plagiarîzma README. Pakêta README ya rewa ye. @juggle/resize-observer README byte-bo-byte, tevî malanîn mînakên ku referansê dikin @juggle/resize-observer xwe (ne pakêta weşanê). Operator tewra xema xwe nexwar ku tiştên hawirdekirî ji nû ve binivîse - nîşanek hevpar ku readme hatiye rakirin, ne adapteyî ye.
- Binesazî tune ku li ser bizivire. Ne xala dawî ya C2, ne lêgerîna DNS, ne jî IP heye. Reftara xerabkar bi tevahî di qutkera herêmî û pakêta berîka kodkirî de hatiye veşartin. Ev yek pivotkirina li ser bingeha domain-an ASN-ê ne berdest dike. Parêzvanên ku di nav kampanyayan de dizivirin divê berîkên xwe li hember her qutkera berê ya ku di dosyayê de hene bi hev re bikin; ji nû ve bikaranîna berîkek di nav pakêtan de girêdana nav-kampanyayê ya herî maqûl e.
- Hilbijartina navê. @jaggle/resizeobserves yek karakter ji @juggle û ferqek ji ya naskirî çavdêrê mezinahiyê biguherîneMesafeya sererastkirinê ya hevbeş du glîf e. Ev pevçûnek dîtbarî ya bi zanebûn e, ne squatkirinek gelemperî ye.
Motîvasyon, li ser bingeha tevgera barkirinê: pere qezenckirina paqij bi rêya guhertina clipboardê ya firsendperest. Ne berhevkirina bawernameyan, ne şopa tiliya mêvandar, ne jî xwendina guhêrbar-hawîrdorê heye. Operator eleqedar nake qurbanî kî ye - ew eleqedar dikin ku veguhestina din a qurbanî li yek ji navnîşanên navnîşkirî be. Veşartina çil-zincîrî modela loto di çalakiyê de ye: fireh bavêje, hêvî bike ku pasteyek bi nirxek bilind carekê li ser N sazkirinan bikeve.
Wisa xuya dike ku operator ji rakirinê ne xem e. Weşandina neh guhertoyan di nav du saetan de di bin heman çarçovê de wekî destwerdanek weşandin û şewitandinê tê xwendin: berî ku derengiya rakirinê bigihîje, şopa qeydê herî zêde bikin, dûv re jî berdewam bikin. Me nedîtiye. @jaggle di dema nivîsandinê de di bin çarçoveyek nû de ji nû ve tê weşandin, lê em ê li bendê bin ku çarçoveyên dişibin hev (@jaggie, @juggle-, @joggle) di rojên pêş de xuya bibe ger operator hîn jî çalak be.
Bandor, Trend û Tiştên ku Divê Parêzer Bikin
Bikirin
Ji daneyên heyî, diyarkirina bandora li ser pereyê rastîn ne mimkûn e. Amûra qijkirinê telemetrîyê nanivîse û hîn jî nayê dîtin ku berîkên pere veguheztinên cîgir werdigirin ji dema qutbûna analîzê ve (lêkolînek şopandinê ya zincîrên navnîşkirî di navnîşa me de heye). Ya rewa npm:@juggle/resize-observer dakêşanên heftane bi navincî digihîje heft reqeman - armancek çapkirinê ya pir-trafîk - û pakêta xerabkar di dema eşkerekirinê de ji 24 demjimêran kêmtir zindî bû, ku ev yek nifûsa ku rastî wê tê sînordar dike lê wê sifir nake.
Radyusa teqînê ya ku hêjayî şopandinê ye, dakêşanên rasterast ên @jaggle/resizeobserves — ew muhtemelen piçûk in. Ew **sazkirinên veguhêzbar** e: pêşdebir pakêtê li projeyek sandboxê zêde dike, dimeşîne npm saz kirin, û dû re jî çengela sazkirinê ya ku her tim dixebite ji bîr kir. Her makîneyek ku piştî sazkirinê pêvajo kiriye, naha di destpêkirina otomatîk de hijackerek clipboard-a her bikarhênerî heye, bêyî ku proje hîn jî li ser dîskê be. Rakirina peldanka pakêtê ji node_modules berdewamiyê ji holê ranake. **na**
Nimûneyên derketinê
Ev kampanya du meylên ku nîşan dide nîşan dide.
npm wekî pêça radestkirina barkêşiya Python-ê. Tarballa npm sazkerek 4-rêzî ye; dizê rastîn Python e, ku li seranserê pergalê ji hêla ve hatî saz kirin. pip ji peldanka pakêtkirî. Ev ne tiştekî nû ye - me berê dîtiye ku pakêtên npm Pythonê davêjin - lê ew di nav kampanyayên crypto-clipper de dibe şiklek pir gelemperîtir. Awantaj ji bo operator duqat e: Pirtûkxaneyên clipboarda Pythonê (pyperclip yekem di nav wan de) ji hevpîşeyên JavaScript-ê paqijtir û platform-cross-êtir in, û piraniya skanerên npm yên otomatîk pelên JavaScript-ê giran dikin û Python jî giraniya xwe zêde dikin. .py bi sivikî pakêt dike. Mesref ew e ku şopa sazkirinê pir bi dengtir e - teze pip sazkirin zehmet e ku li ser makîneyek pêşdebiran were veşartin ku bi gelemperî nake pip sazkirin dema npm saz kirin.
Navên platform-xwemalî wekî tenê veşartî. Çend clipper û dizên barkêşên piçûk ên vê dawiyê tarîbûna asta kodê bi tevahî ji holê rakirin û li şûna wê etîketên domdar ên ku xuya dikin rewa ne, bikar anîn. alîkarê-python3-dbus, com.apple.python.runtime, û PyRuntimeBroker nimûneyên pirtûkên dersê ne - navên ku çavê parêzvanek dê di navnîşek çil karûbarên bikarhêner de derbas bike. Ev formek erzan û domdar a diziyê ye: rakirin li gorî pakêtê ye, lê pelên domdar ji rakirinê sax dimînin, û karûbarek ku navê xwe ji pêkhateyek platformê ya rastîn digire dê ji bilî denetimek eşkere bi tiştek din neyê paqij kirin.
Divê parêzer çi bikin
- Vegerandina ~/.config/systemd/user/, ~/Library/LaunchAgents/, û Get-ScheduledTask karûabr li ser makîneyên pêşdebiran ji bo tomarên ku di IOC-an de hatine navnîş kirin. Rakirina pakêta npm van li cîhê xwe dihêle; divê ew bi destan werin rakirin.
- Veguhestinên ber bi navnîşanên berîkên navnîşkirî ve asteng bike li sînorên xezîneya şîrketan û berîka DeFi ku navnîşkirina destûrdayîna navnîşanê heye.
- Li ~/.config/clipboard-guardian/config.json bigere (û hevwateyên platformê) li seranserê fîloya makîneyên pêşdebir-makîneyê. Hebûna pelê vegirtina pêbaweriya bilind e bêyî ku guhertoya pakêtê ew radest kiriye.
- Li node_modules/ ji bo clipboard_guardian/guardian.py bigere di wêneyên build-cache de ku dibe ku beriya rakirinê bin. md5 ya pelê li seranserê hemî guhertoyên ku hatine nirxandin sabît e.
- Lockfile-pin @juggle/resize-observer (pakêta rewa) ji ber vê yekê sazkirinên pêşerojê nikaribin di bin xeletiya yek-karakterî de tiştek din çareser bikin, nemaze di herikên xebatê yên bê kilît-pel de mîna npx.
- Her npm piştî sazkirinê ku sazkirina pipê vedixwîne derman bike wekî giraniya bilind di avakirinê de-pipeline polîtîka. Sedemeke rewa tune ku pakêtek npm di dema sazkirinê de pêdivî bi pipê hebe - amûrên Python amûrên Python belav dikin.
- Li daneyên çavdêriya process_iter()-comparable bigere ji bo pêvajoyên bi navê python3-dbus-helper ku pyperclip import dikin. — nelihevhatina veşartinê (alîkarê D-Bus ku pirtûkxaneyek clipboardê digire) nîşana tevgerî ya herî paqij e ku me heye.
- Navnîşanên berîkan ên ji makîneyên vegirtî hatine danîn bizivirîne. Hijackerê clipboardê rêya di navbera UI-ya berîka û hedefa pêvekirinê de dixe xeterê; navnîşanên ku di dema vegirtinê de têne kopî kirin dibe ku bi bêdengî werin guhertin. Divê her tiştê ku di pencereya vegirtinê de tê şandin wekî potansiyel xelet were hesibandin.
Xala sereke: berdewamî ji rakirinê dirêjtir dijî. Qeyda di dawiyê de dê jê bibe @jaggle/resizeobserves di hemû neh guhertoyan de; yekîneya systemd, LaunchAgent, û Task Scheduled dê xwe neyên rakirin.
Çavkanî
- @juggle/resize-observer li ser npm - pakêta rewa ya ku ev typosquat teqlîd dike; wekî bingehek ji bo plagîarîzma README ya byte-for-byte kêrhatî ye.
- @jaggle/resizeobserves metadataya qeydê - mohrên demê ji bo neh guhertoyên xerabkar biweşînin, ku ji bo xêzkirina demê ya dadwerî kêrhatî ne.
