TL, DR
nolimit-agent est fasciculus npm cuius versiones publicatae — 1.0.299 per 1.0.307, per quattuor dies a die XXVI mensis Iunii anni MMXXVI ad diem XXIX mensis Iunii anni MMXXVI edita — singula ferunt structura completa phishing et massae epistularum intra directorium occultum, omnino obscuratum. In omni versione ingressus principalis resolvitur ad .ad/x0.js, unum ex ~86 fasciculis in fasciculo nomine "dotfile" continente circiter 4,200 fragmenta string-array "javascript-obfuscator"; hamus "install" et dispositio inscriptionis per totam lineam eadem sunt.
Post obscurationem sedet Fluxus codicis machinae Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) quod, semel codice probato, capsam epistularum victimae in Outlook et res missas per Microsoft Graph API legit; machinam mittendi SMTP et SMS in massa a catalogis destinatariorum ab operatore datis impulsam; exempla nuntiorum imitationis notae; constructionem nexus redirectionis apertae; et explorationem per DNS-over-HTTPS, WHOIS, et inquisitionem codicis GitHub. Signa negotiationis tempore executionis ad infrastructuram operatoris apud... api[.]nolimitent[.]xyz:4100.
Adficitur: quicumque quamlibet versionem fasciculi instituit, et quilibet Arca epistularum Microsoft 365 cuius dominus codicem machinae per eum praesentatum probat. Recentissima versio, 1.0.307, est nota recentissima et eandem facultatem arcae epistulari codicis machinae gerit — codex malignus non ad unam versionem retroactam circumscribitur.
severitate fidentius: criticaOecosystema affectum: npmUnum indicium primum quaerendum: hospes. api[.]nolimitent[.]xyz.
Impetus: quomodo operatur
Testa benigna super sarcinam occultam
Sarcina superficiem ordinariam exhibet. package.json declarat postinstallationem hamus –
text postinstall: node scripts/postinstall.js — et inspectis scripta/postinstall.js innocuum est: instructionem Windows instituit et exit. Hamus non est ubi actio habitat. summa et sum campi ambo in spectant .ad/, directorium cuius punctum initiale a fortuitis servat ls exitus, et cuius contenta uniformiter machina obscurata sunt. Scrutator staticus ~4,293 spatia oneris encodati per... numeravit. .ad/ moduli congeries; JavaScript-obfuscator est dependentia progressionis declarata, quae formae `string-array-rotation` fasciculorum fasciculatorum congruit.
Divisio est primum signum nominando dignum: hamus institutionis quem censor scrutari vellet purus est, dum codex operationalis uno directorio distans sedet, occultus et obscuratus, attingendus solum cum punctum ingressus exportatum fasciculi currit.
Accessus ad arcam postalem per codicem machinae Microsoft 365
Modulus .ad/x12.js Vim maximam momenti structurae gerit. Auctoritatem machinae Microsoft 365 OAuth 2.0 impellit:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode Concessio codicis machinae est fluxus Microsoft legitimus destinatus machinis cum input restrictis: servitium codicem petit, usor codicem illum in... microsoft.com/devicelogin` in secundo instrumento et approbat, et ministerium petens tesseras accipit. Cum ministerium petens ad aliquem praeter dominum arcae postalis pertinet, approbatio tesseram illi tertiae parti tradit. Postquam tessera obtenta est, `.ad/x12.js` capsam epistularum directe per Microsoft Graph legit:`
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients quod $select Proiectiones inscriptiones mittentium ex arca epistulari et inscriptiones recipientium ex rebus missis extrahunt — materia prima ad correspondentes victimae designandos. Hic est accessus adversarii in medio (AiTM) per consensum potius quam per captionem tesserae: nulla est tessera ad phishing sensu classico, tantum codex ad probationem obtinendam.
Machina epistularum copiosarum et nuntiorum brevium cum exemplaribus imitationis
Circa accessum ad capsam epistularem sedet. Sarcina fasciculos datorum ab operatore mutabiles mittit — indices mittentium (mittentes.txt, smts.txt) et fasciculum exemplare (functiones.txt) — quorum inscriptiones locorum tenentium quasi scheda imitationis leguntur: securitas@apple.com, login-verificationem, servitium OAuth, rationes, et mittentes notificationum rationum contra yourdomain.com Operator substituit. Latus SMS telephonum portat.ebook et configuratio portae. Epistularius indices destinatariorum ab operatore datos iteratim percurrit et per transmittes SMTP configuratas mittit.
Ut nexus ad terram convertantur, .ad/xu.js et .ad/xq.js URLs construunt quae ambiguitatem interpretationis URL et vestigationem clicuum utuntur. Exempla ficta auctoritatem fidam ante... @ ergo praefixum visibile a vero hospite differt:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Systema etiam favicons a maioribus usoribus et enterprise Praebitores epistularum — ars consueta ad imaginem vel paginam ad quas praebitor ipse persuasivam redditam.
Exploratio scopi et infrastructurae
Plura moduli contextum ante mittunt colligunt. .ad/x0.js nomina per DNS per HTTPS resolvit (dns[.]google/resolve), .ad/xa.js interrogationes WHOIS (api[.]whois[.]vu), et .ad/x9.js inquisitionem codicis GitHub exsequitur (api[.]github[.]com/quaerre/codice?q=) — exemplar congruens cum inventione configurationis ministri epistularum expositae et testimoniis SMTP ad indicem relais alendum. .ad/xs.js Indicem CDX Wayback Machine interrogat.
Imperium et imperium
Trans obscuratum gregem, .ad/x4.js extremum operatoris refert:
text http://api[.]nolimitent[.]xyz:4100 Hospes communicat suum sine limite notam cum nomine proprio editoris, et : 4100 Portus est canalis vocationis domus structurae. Hic est unicus index maxime durabilis defensoribus: fasciculus, statio laboris fabricatoris, vel agens constructionis attingens. api[.]nolimitent[.]xyz hunc codicem cucurrit.
Indicia compromissi
Indices infra sunt quos defensor agere potest — "grep" fasciculum clausurae, "obstrue hospitem", vel "proxy" et acta DNS quaere. Puncta extrema Microsoft apparent quia structura eis abutitur; ipsa non sunt maligna nec obstrui debent.
Hash fasciculorum in selectione capta:
- fasciculus/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- fasciculus/fasciculus.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Signum conductoris Microsoft 365, quod extra hoc fasciculum venari dignum est: inscriptiones codicis machinae prosperae, quae statim lectiones graphicae deinde secutae sunt. Capsae Epistularum/Arca Epistularum et fasciculi epistularum/sentimenta, praesertim ex sessione quam usor non agnoscit.
Attributio et habitus observatus
Quod observatur, a eo qui post id est separatum manet.
Notabilia: fasciculus sub ansa editus est. agens sine limite cum inscriptione Gmail non verificata et nullo repositorio fontis coniuncto; eius package.json describit eum ut "mittentem epistularum provectum" et ei notat turma rubra verbum clavem; codex executionis in occulto, obscurato concentratur .ad/ directorium cuius instrumentorum series (JavaScript-obfuscator) est dependentia declarata; et hospes domus vocationis api[.]nolimitent[.]xyz iterum utitur sine limite nota. Hoc est fasciculus singularis cum uno signo infrastructurae ab operatore moderato — non coetus fasciculorum multiplicium, et nulla congruentia cum expeditione antea nominata inventa est.
quod turma rubra Clavis clavis classificationem non mutat. Instrumenta legitima securitatis offensivae quae facultatem duplicis usus praebent hoc perspicue faciunt: fonte legibili, scopis ab operatore datis, et nulla vocatio occulta. Hoc fasciculum singulas has proprietates invertit — eius codex operativus obscuratus et occultus est, et ad infrastructuram fixam ab operatore potius quam ad scopum ab usuario datum dirigit. Modus agendi, non titulus, iudicium regit, quod est malitiosum.
Hic intentio non asseritur. Nuntius describit quid codex faciat — petere codicem machinae, legere capsam epistularum per Graph, mittere epistulas magnas per relay configuratos, mittere signum ad hospitem fixum — et causam tacitam relinquit.
Impactus, inclinationes et consilia defensorum
Duo effectus temporis institutionis valent. Primo, quivis programmator vel agens CI qui instituit agens sine limite structuram in illum hospitem infert et domicilium vocationis ad eam constituit api[.]nolimitent[.]xyzDeinde, facultas codicis machinalis ultra hospitem installatorem extenditur: arca epistularum Microsoft 365, cuius dominus ad codicem praesentatum probandum inducitur, directe per Graph legitur, nulla tessera umquam filum transeunte.
Latior inclinatio est ea ad internalizandum. Phishing per codicem machinalem (AiTM) ex infrastructura phishing singulari in fasciculum in registro publico migravit — distributio per install npm potius quam per nexum electronicum missum. Hoc modo apparatum involucris inclusis, problema hospitii et traditionis nexus operatoris phishing pro extensione registri commutatur, et codicem operativum post hamum institutionis purum et directorium obscuratum nomine "dotfile" celat, quod perlustrationem manualem celerem impedit.
Pro defensoribus:
- Recensio registri et dependentiarum. Sarcinam tracta cuius summa/sum In directorium occultum (puncto praefixo) codicis primi partis uniformiter obscurati, periculosum in sola structura resolvitur, sive hamus institutionis mundus appareat sive non. Minuificatio non est obscuratio — porta in signatura decodificatoris seriei litterarum, non in longitudine lineae.
- Firmitas Microsoft 365. Fluxum autorisationis codicis machinae cum Accessu Conditionali restringe ubi non requiritur operationaliter; concessiones codicis machinae sunt vector AiTM notus et raro ab usoribus interactivis indigent. Inspice inscriptiones codicis machinae deinde statim enumerationem capsarum epistularum Graph.
- Detectio retialis. Obstrue et mone api[.]nolimitent[.]xyzRegistros DNS et procuratoris egressos per infrastructuram fabricatoris et aedificandi investiga.
- Detectio semitae epistularum. quod usor@hospes Formae URL imitantes (fidus[.]com@…) ad portam electronicam et procuratorem detegi possunt; nexus quorum auctoritas antecedit notare @.
Fasciculus tempore analysis in npm vivus erat. Quia structura occulta totam lineam versionis publicatae et praesentem complectitur... Latest Si nota (1.0.307) facultatem "device-code" gerit, abrogatio registri omnes versiones, non solum unam versionem retroactam, comprehendere debet.
