TL; DR
PyPI пакети деп аталат gcli-башкаруу Windowsтун толук алыстан кирүү куралын жөнөттү: баскычтарды басууну каттоо, веб-камера жана микрофонду тартуу, алмашуу буферин көзөмөлдөө, браузердин грамоталарына кирүү, экранды башкаруу, туруктуулук, артыкчылыктарды жогорулатуу жана өзүн-өзү жарнамалаган "140тан ашык буйруктар". Ал эмне экенин жашырган жок: пакеттин өзүнүн PyPI кыскача мазмунунда ал "Алыстан кирүү куралы аркылуу" деп сүрөттөлгөн. npoint.io".
Токтотууга арзырлык детал - бул сөз айкашы "npoint.io аркылуу." Имплантатты атайын серверге чакыруунун ордуна, ал колдонулган npoint[.]io (кичинекей JSON документтерин жайгаштыруу үчүн акысыз, мыйзамдуу кызмат) буйрук жана башкаруу релеси катары. Оператор буйруктарды JSON кутучасына жазат; имплант ал сурамдарды кутуга салат, аткарат жана натыйжаларды кайра жазат. Бөгөттөөгө чабуулчуга таандык домен жок, белгилөөгө жаңы IP жок: трафик иштеп чыгуучулар күн сайын колдонгон кызматка барат.
Алты версия болжол менен он үч жарым сааттын ичинде басылып чыкты, алардын ар бири мурункусунан алда канча жөндөмдүү. Алардын ар бирине баа берилди мл_алдын ала_коопсуз кол менен карап чыгуудан мурун автоматташтырылган классификатор тарабынан үй-бүлөнү зыяндуу деп кайра классификациялаган.
Чабуулдун анатомиясы
gcli-башкаруу импорттук пакетти орнотот gcli, 35 модулдан турган Python код базасы. Орнотуу убактысы жок hooks — эч нерсе учурунда иштебейт пип орнотууБул мүмкүнчүлүк модулдардын өзүндө жашайт, курал иштетилгенден кийин ишке киргизилет жана модулдун жайгашуусу продукттун спецификациясынын баракчасы сыяктуу окулат:
Буйрук каналы кызыктуу бөлүгү. Алыстан кирүү куралдарынын көпчүлүгү оператор башкарган серверге жетет — IP дареги, домен, хостинг провайдери, аларды кабарлап, оффлайн режимине өткөрсө болот. gcli-башкаруу анын ордуна дарылайт акысыз JSON-bin кызматы өлүк тамчы катары. The n чекити модуль кичинекей JSON документтерин окуп жана жазат npoint[.]io кадимки HTTPS аркылуу; крипто/код модулдар алмашылган пайдалуу жүктөмдөрдү ороп коюшат, ошондуктан биндин мазмуну ачык текст буйруктары эмес. Натыйжа ортомчулук кылынган, шифрленген реле болуп саналат:
- Оператор (шифрленген) инструкцияны JSON кутусуна таштайт.
- Имплант жабырлануучунун хостунда иштеп, ал бинди сурамжылоодон өткөрүп, чечмелейт, буйрук иштетүүчүлөрүнүн бирин аткарат жана (шифрленген) натыйжаны кайра жазат.
- Тармак монитору үчүн жабырлануучу жөн гана сүйлөшүп жатат npoint[.]io — иштеп чыгуучунун трафигинде пайда болушунун мыйзамдуу себеби бар кызмат.
Бул жерде экинчи этаптагы жүктөө жана түшүнүксүз жүктөгүч жок: мүмкүнчүлүк толугу менен окула турган Python тилинде жөнөтүлөт жана жалгыз "жашыруун" нерсе - бул реле тандоо жана релеленген пайдалуу жүктөмдөрдү шифрлөө.
JSON-bin dead-drop эмне үчүн операциялык жактан жагымдуу экенин түшүндүрүп берүү керек, анткени ал эмне үчүн биз бул үлгүнү кайрадан көрөбүз деп күтүп жатканыбызды түшүндүрөт:
- Операторго таандык акыркы чекит жок. Каттала турган C2 домени, ижарага ала турган VPS жок жана коргоочу же каттоочу тартып ала турган эч нерсе жок. таңгак каналга тийбейт; алып салуу канал миллиондогон документтердин ичинен бир документти көзөмөлдөөнү жалпы максаттагы SaaSтен суроо дегенди билдирет.
- Аброюн адалдоо. Белгилүү иштеп чыгуучу кызматына чыгуучу HTTPS жаңы домен же чийки IP дареги сыяктуу кадыр-баркка байланыштуу айып пулдарды алып келбейт. Көптөгөн чыгуу чыпкалоочу жөндөөлөр муну кыйыр түрдө жол берет.
- Асинхрондуулук жана тануулоо. Сурамжылоо модели — имплант ачык сокетти кармап туруунун ордуна, документти белгилүү бир аралыкта алат — интерактивдүү сессияга эмес, мезгилдүү API сурамжылоосуна окшош трафикти жаратат. Документтин мазмунун шифрлөө, атүгүл кутучаны тапкан аналитиктин буйрук тизмесин эмес, шифрленген текстти көрөрүн билдирет.
- Тривиалдык айланууБашка челекке же толугу менен башка жазуу/коюу кызматына өтүү оператор үчүн бир саптуу конфигурацияны өзгөртүү болуп саналат. Белгилүү бир релеге берилген ар кандай блок тизмеси жөнөтүлгөн учурда эскирип калат.
Оператор кабыл алган компромисс - бул өткөрүү жөндөмдүүлүгү жана кечигүү: өчүп калган реле түз туташууга караганда жайыраак жана өткөрүү жөндөмдүүлүгү төмөн. Көбүнчө кыска буйруктарды берип, убакыттын өтүшү менен жыйынтыктарды чогулткан байкоо жана башкаруу импланты үчүн бул алмашууну жасоо оңой.
Timeline
Үй-бүлө тездик менен күчөдү. Белгиленген версиялар үчүн билет түзүү убакыт белгилери байкалган догонун бардыгын он үч жарым сааттын ичинде жайгаштырат, ал эми сканердин өзүнүн далилдеринин саны код менен бирге өстү — биринчи версиядагы бир нече белгиленген сайттардан акыркысында он төрткө чейин.
Версия номерлери так тартипте жарыяланган эмес, бирок багыт айкын: алгач кичинекей кыскартуу, андан кийин толук функциялуу 0.7.1 версиясына тез итерация. Бул активдүү иштеп чыгуудагы долбоордун бир жолку төмөндөшү эмес, өсүп жаткан сайын коомдук реестрге жылдырылышынын формасы.
Компромисс көрсөткүчтөрү
Төмөндөгү бардык индикаторлор дисктеги пакеттин мазмунуна жана 0.7.1 версиясынын детерминисттик индикатордук сканерлөөсүнө салыштырмалуу тастыкталган; бири да божомол эмес.
Коргоочунун эскертүүсү: эң күчтүү туруктуу сигнал домен эмес (реле хосту тривиалдуу айланат), бирок келбетүч же андан көп ар кандай хост-байкоо примитивдерин бириктирген бир пакет жана буйрук/жооп циклин коомдук контент хостинг кызматы аркылуу багыттайт. Бөгөттөө npoint[.]io көпчүлүк дүкөндөр үчүн outright практикалык эмес; киргизүү түзмөктөрүн кармап, JSON-bin кызматы менен байланыш түзгөн күтүлбөгөн процесс жөнүндө эскертүү алда канча ишенимдүү.
Байкалган жүрүм-турум жана кадрлоо
Бул үлгүнү өзгөчө кылган эки нерсе бар жана экөө тең мотив жөнүндө тыянактар эмес, байкала турган фактылар.
Өзүн жарнамалап койду. PyPI'де таратылган пакеттин кыскача мазмунунда мүмкүнчүлүктөр жөнөкөй тилде саналып өткөн — алыстан кирүү, жумушчу столду башкаруу, колдонуучуну башкаруу, веб-камера, аудио, кейлоггер, туруктуулук, браузердин маалыматтары, WiFi, реестр, "140+ буйруктар". Кодду куруу жардамчысы, CLI оромосу же AI-агент утилитасы катары өткөрүп берүүгө эч кандай аракет болгон эмес, бул биз коомдук реестрлерде көргөн кеңири таралган көрүнүш. Бул ачыктык кирүүнү башкаруусуз жарыяланган кызыл команда куралын чагылдырабы же башка бир нерсени чагылдырабы, бул пакеттин мазмуну гана чече албаган маселе; белгилүү болгон нерсе, иштеген, жалпы максаттагы алыстан кирүү жана байкоо куралдар топтомун каалаган адам орното алган. Жооп жазуу.
Ал кемчиликсиз кызматка болгон ишенимге негизделген. колдонуу менен npoint[.]io анткени реле аныктоочу ыкма болуп саналат. Бул кеңири үлгүнүн мисалы — C2ни легитимдүү SaaS аркылуу багыттоо (чаптоо сайттары, JSON биндери, баарлашуу веб-сайтыhooks, булут документтери) зыяндуу трафик кадимки иштеп чыгуучунун иш-аракеттерине аралашып, операторго таандык акыркы чекиттин басып алынышы мүмкүн эмес. Реледеги пайдалуу жүктөөлөр шифрленген, ошондуктан бинанын мазмуну кокусунан байкоочуга буйрук катары окулбайт.
Басмакананын сигналдары жука жана жалпы. Пакет жарыяланды Author "gcli contributors" жана MIT лицензиясы жөнүндө маалымат берип, башкы бети менен репозиторий талааларын көрсөттү github[.]com/gcli-control/gcliМунун бири да текшерүү эмес: автордун сабы акысыз текст, MIT лицензиясынын аталышы эч нерсеге арзыбайт жана пакеттин метадайындарындагы репозиторийдин URL дареги келип чыгышынын далили эмес, доомат. Үлгү — жаңы аталыш, жалпы жамааттык автор жана пакеттин айланасында түзүлгөн өзүнө шилтеме берген уюм/репозиторий — долбоор алыстан башкаруу функциясын өстүргөн калыптанган курал эмес, кодду алып жүрүү үчүн атайын орнотулганда кандай көрүнөт. Биз буларды байкоолор катары белгилейбиз; алар максаттуу түрдө курулган дистрибуцияга шайкеш келет, бирок өздөрүнчө аны түзбөйт.
Биз бул функцияны мүмкүнчүлүк жана жеткирүү негизинде зыяндуу деп мүнөздөйбүз: толук, иштетилүүчү алыстан кирүү жана байкоо жүргүзүү импланты, жашыруун ретрансляция менен коомдук пакет индексинде таратылат. Биз максатты же мотивди көрсөтпөйбүз.
Таасири, тенденциялары жана коргоочулар эмне кыла алышат
Маскировкага багытталган триаж үчүн сокур чекит. Көптөгөн автоматташтырылган пакеттерди сорттоо ачкычтары маска кийгизүү сигналдары типтүү реестрдик зыяндуу программа — бүдөмүк тамчылар, орнотуу убактысы hooks, ишеним грамоталарын чогултуу боюнча бир саптуу суроолор. Жөн гана пакет ачыктан-ачык бир ЧЫЧКАКтаза окула турган коду жана орнотуу илгичи жок, бул буйруктардын бирин да көрсөтпөйт жана жашырууну күткөн эвристиканы айланып өтө алат. Бул классты ишенимдүү түрдө кармаган сигналдар жашырууга негизделген эмес, структуралык: мүмкүнчүлүктөрдү каттоо (бир пакетте канча ар кандай хост-байкоо примитивдери чогуу жашайт) жана C2 формасындагы анализ (жалпы максаттагы контент-хостинг кызматы аркылуу багытталган буйрук/жооп цикли). Бул текшерүүлөр канчалык чынчыл же бүдөмүк таңгактоо болуп саналат.
SaaS-as-C2 трендинин өзгөрүшү. Мыйзамдуу хостинг кызматын чирип кетүү катары кыянаттык менен пайдалануу жаңылык эмес, бирок ал иштей берет, анткени кызматты бөгөттөөгө коргонуу баасы жогору жана кызматтарды алмаштыруунун чабуулдук баасы нөлгө жакын. Мындан да көптү күтүңүз. Белгилүү бир жаман домендерге негизделген тармактык коргонуу дароо эскирет; жүрүм-турум эрежелери ("бул процесс буферди жана веб-камераларды окуп, андан кийин ноталарды хостингдөөчү API менен сүйлөшөт") андай эмес.
Бетон детекторунун эскизи. Туруктуу эреже аталбайт npoint[.]io такыр. Ал кадимки иштеп чыгуучуда же CI хостунда өз-өзүнчө кеңири таралган, бирок бирге сейрек кездешүүчү эки байкоону бириктирет:
бир сеанстын ичинде бир процесс болгондо, экөө тең:
(A) хосттун байкоо жүргүзүү примитивине — киргизүү түзмөгүнө (баскычтоп/чычкан илгичи), камерага, микрофонго, экранды тартууга, алмашуу буферинин окуу циклине же браузердин далдаштырма маалыматтары сактагычына (") кирүүгө мүмкүндүк беретLogin "Маалыматтар" / "Жергиликтүү мамлекет" / DPAPI); ЖАНА
(B) (B) бөлүмүндөгү белгилүү бир кызматка карабастан, коомдук контент-хостинг / паста / JSON-bin / чат-вебхук кызматына чыгуучу суроо-талаптарды жасайт, андан кийин карап чыгуу үчүн көтөрөт.
Эки жарымы тең шектүү эмес: көптөгөн мыйзамдуу куралдардын скриншоттору жана көптөгөн JSON хостинг API'сине жарыяланат. Бир кыска мөөнөттүү процесстин ичиндеги конъюнктура сигнал болуп саналат жана ал реленин ар кандай айлануусунан аман калат.
Командалар үчүн практикалык кадамдар:
- Иштеп чыгуучуга жана CI хостторуна коомдук пакеттерди орнотууну ыңгайлуулук эмес, аткаруу чеги катары караңыз — куруу агентиндеги RAT сиздин сырларыңыз бар RAT.
- Уруксат берилген ички күзгүлөрдү артык көрүңүз; түзмө-түз алыстан башкаруу үчүн аталган жана кейлоггерди сүрөттөгөн пакет эч качан корпоративдик индексте чечилбеши керек.
- Эскертүү кошунду — киргизүү түзмөгү же экранды тартып алуу жана мазмун/чаптоо/JSON-bin кызматына чыгуучу трафик — өзүнчө пайдалуу колдонулушу бар кандайдыр бир жөнөкөй кызматка эмес.
- Хостко кеңири кирүү мүмкүнчүлүгү бар пакеттер үчүн автоматташтырылган "коопсуз" баллга терминалдык чечим катары таянбаңыз; аларды адамдык кароого жөнөтүңүз.
Пакет үй-бүлөсү зыяндуу деп классификацияланып, реестрди алып салууга жөнөтүлдү. Релеге негизделген C2 операторго таандык хостту эч качан чуңкурга калтырбагандыктан, туруктуу коргонуу мааниси жогорудагы жүрүм-турумдук манжа изинде, бир дагы блок тизмесиндеги жазууда эмес.
