TL, DR
Inter diem Kalendarum Aprilium et diem tertium Maii anni MMXXVI, unus editor npm, user0001, cum inscriptione Gmail non verificata inscriptus tanvisoul9@gmail.com, sex fasciculos tacite promulgavit, nominibus consulto insulsis, infrastructurae similibus: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtimeEt node-env-resolve.
Duae recentissimae versiones node-env-resolve, 1.0.7 et 1.0.8, a systemate "Malware Early Warning" (MEW) Xygeni die 2 Maii notatae sunt et die 3 Maii malignae confirmatae sunt.
Implantatio insolita est propter id quod non est: nullae sunt machinae automatariae Telegram, nullae revocationes OAST, nullae... obfuscation, et nulla conatio ad acquirendas credentiales AWS tempore institutionis. Potius, postinstall.js inscriptionem persistentiae initiationis Windows plantat, clavem HKCU Run utens quae incipit wscript.exe contra VBS stub. Deinde agentem Node.js separatum generat quod modulos ad capiendum microphonum, furtum historiae navigatoris, capiendos imagines, et simulandum murem/claviarium continet.
Hunc gregem appellamus DevTap, post apparatum, in machina fabricatoris currere remanet.
Omnes sex fasciculi tempore scribendi in npm praesto erant. Eos ad canalem abusus registri misimus. Defensores quaslibet installationes ab editore extrahere debent, dum remotio exspectatur.
Grex: Sex Fasciculi, Unus Editor
Ratio editoris user0001 non verificatum est. Non habet SCM verificatione, nulla inscriptione electronica dominio coniuncta, et nulla historia prior. Inscriptio Gmail tanvisoul9 non apparet in nullo alio documento editoris npm quod invenire potuimus.
Omnes sex fasciculi eundem curatorem enumerant, ex eadem ratione publicati sunt, et eundem... package.json formula ordinaria. Non est repositorynihil homepage, et non description longior quam una linea.
Ratio nominandi est pars curiosa. Dissimilis classicae confusionis dependentiarum vel expeditioni typosquat, nullum horum nominum bibliothecam principalem specificam spectant. Immo, ita calibrantur ut in verum... package.json or npm ls output.
| sarcina | primo Published | Tardus poema | versions | Munus in Grege |
|---|---|---|---|---|
| centralogger | 2026-04-01 12:46 UTC | 1.0.9 | 5, ab 1.0.5 ad 1.0.9 | Tegmen "utilitatis adnotationis" gregis; prima publicatio |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Tegumentum genericum adiutoris DOM |
| node-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Familiam nodorum captarum imitatur |
| agens connectoris | 2026-04-25 05:12 UTC | 1.0.0 | 1 | Nomen genericum "agens" |
| node-gyp-runtime | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Instrumenta constructionis modulorum nativorum imitatur |
| node-env-resolve | 2026-04-25 05:21 UTC | 1.0.9 | 10, ab 1.0.0 ad 1.0.9 | Guttator activus; implantatio plena |
Nomina sicut centralogger, node-fetch-liteEt node-gyp-runtime Designantur ut in recognitione codicis sine controversia appareant. Sonant sicut res quae iam in arbore dependentiarum proiecti essent.
Cum editore novo et non verificato et nexibus repositorii absentibus coniunctae, exemplar recognoscibile formant: actor nomina levioris momenti in indicem seminans, deinde celeriter ad id quod interest iterans. Hoc in casu, node-env-resolve decem versiones intra octo dies accepit.
Quod in Arca Dev Fenestrae Advenit
Catena maligna in node-env-resolve:1.0.8 brevis est, directa, et insolito modo functionibus dives pro RAT npm.
Postinstallationem: Persistentia et Agente Seiuncto
package.json unum hamum institutionis declarat:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js tria ordine facit.
Primo, directorium institutionis extra arborem npm disponit. Semita tempore executionis in scripto computatur ut INSTALL_DIRDeinde internum currit execSync('npm install --production --silent ...') intra illud ut dependentias executionis implantati extrahant. Hoc agentem in disco alicubi manuali ponit. node_modules auditus non inveniet.
Deinde, programma VBS launcher scribit et eum ad perseverantiam incipiendi registrat:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe est Windows Script Host, binarium Microsoft signatum quod currit .vbs fasciculi sine fenestra consolae. Hoc est praecisCur pro exemplis autorunctis praeferatur.
Est etiam congruens reg delete semita intus src/index.js, suggerens implantum ita designatum esse ut facile amovibilis sit iussu operatoris.
Tertio, processum filialem separatum gignit:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })Duo hic momentum habent.
SERVER_URL ex ambitu legitur. Propterea, finis C2 per distributionem configurabilis est nec in fasciculum inclusus est. Haec parva sed deliberata electio plerasque percursiones staticas IOC superat.
Praeterea, proles generata totum ambitum parentis hereditat. Ergo, quilibet NPM_TOKEN, AWS_*, GITHUB_TOKEN, vel socketum agentis SSH in testa fabricatoris tempore institutionis praesens in memoriam agentis diuturni transit.
Quod Agentus Transportat
Fasciculus src/ Arbor tres modulos continet quorum nomina sola fabulam narrant: audioCapture.js, browserHistory.jsEt systemInfo.js.
Index dependentiarum in tempore executionis, per staging solutus npm install, ea confirmat.
Haec ratio incidentum chaoticum in responsum moderatum convertit.
Loco caeci reagendi, turmae operantur cum Clara prioritatis distributio et celeris remediatio.
| dependency | Ad Quo Servit Hoc Contextu |
|---|---|
| imago-desktop | Captura periodica imaginis |
| @nut-tree-fork/nut-js | Automatio / simulatio input muris et claviaturae |
| melior-sqlite3 | Lectiones directae historiae SQLite ex Chrome, Edge, et Firefox |
| adm-zip | Artefacta collecta ante exfiltrationem colligenda |
| acri | Redimensionatio / compressio imaginum et artefactorum imaginum |
| socket.io-cliens | Canalis C2 bidirectionalis persistens |
| nodus-machinae-identitas | Impressio digitalis stabilis per hospitem ad victimas indagandas |
systemInfo.js vocat os.networkInterfaces() ad vestigia digitalia addita ante primum signum.
Cur Captura Audio Signum Praestantissimum Sit
Pleraque programmata RAT npm quae in MEW examinamus furto secreto tempore institutionis sistunt. Legunt... ~/.npmrc, legere ~/.aws/credentialsrade process.env, POST ad webhook mitte, et exi. Hoc congruit cum exemplo oeconomico "smash-and-grab". Testimonia breve tempus dimidiatum habent, et aggressor celeriter ea monetizare debet.
node-env-resolve forma differt.
Persistentia ita constituta est ut post recompilationem (vel "reboot") supervivat. Agens separatus et diu durat sub... wscript.exeInstrumenta quae portat ad praesens in machina fabricatoris destinantur, non ad capiendum et relinquendum: instrumentum ad microphonum registrandum, rectorem claviaturae/muris, sumptionem historiae navigatoris plenae, capturam imaginis, et canalem Socket.IO interactivum ad C2 configurabilem remittendum.
Captatio microphoni imprimis est linea quam haec expeditio transgreditur quam pleraque programmata noxia npm non transeunt.
Statio laboris fabricatoris, magis ac magis, etiam statio laboris est ubi fabricatores colloquia composita, colloquia cum clientibus, disputationes de designio, et colloquia cum clientibus agunt. Implantatio quae sonum microphoni capit non revera tesserae npm fabricatoris respondet, sed quae fabricator ante computatrum portatile dicit.
Illa facultatum copia, una cum absentia obscurationis et absentia cuiuslibet exfiltrationis ostentatoriae tempore institutionis, legitur quasi praepositio ad accessum destinatum potius quam furtum credentialum opportunisticum.
Non ex hoc solo attributionem asserimus. Formam operandi notamus.
Frequentia iterationis octo dierum node-env-resolve est detalium in linea temporali maxime operative significante.
Haec non est depositio "ignis et oblivisceris". Editor active depositorem curat, quod plerumque alterum ex duobus significat. Aut eum ad ambitus probationum ante latiorem distributionem aptant, aut iam telemetriam institutionis habent quae redit et ei respondent.
Quinque reliqui fasciculi post primam publicationem nullam fere defectionem viderunt. Hoc congruit cum exemplo "semel in scaena, relinque nominatum" pro grege sustentante, dum labor machinalis in fasciculo qui opus perficit intendit.
Attributio: Indicia Parva, Nullum Iudicium Firmum
Public OSINT Signa tenuia sunt, nec ea extendemus. Quod observabile est:
Inscriptio Gmail tanvisoul9 partim simile est nomini Asiatico Meridionali, "Tanvi." Hoc signum debile est. Nomina Gmail non identitatis sunt, et index sequens... soul9 est genericum. Non tutum est geographiam ex sola parte locali epistulae electronicae concludere.
Stilus codicis Node.js non insignis est: standard vocationes bibliothecae, ut puta os, child_process, spawnEt reg addNulla obscuratio, nulla rotatio litterarum, nullaque logica contra debugs adest. Auctor primitivis registri Windows et ordinatione processus filii separati commode utitur, sed non videtur artem furtivam, quam verisimiliter uti possent, capere.
Dependentiae omnino paratae sunt et bene notae: screenshot-desktop, nut-js, better-sqlite3Et socket.io-clientNullum protocollum proprium, nulla acervus C2 ex integro constructa, nulla nova ars perseverantiae praeter librum scholasticum exstat. Clavis Cursus HKCUHic est integrator peritus, non auctor instrumentorum.
Intra artefacta edita non invenimus series litterarum non Anglicas, commentarios insertos, notitias regionales, aut vestigia zonae temporalis a compilatore producta.
Codicem cum prioribus expeditionibus quas iam observamus, inter quas..., inspicimus. Shai Hulud, Owlivion, Buildkite, et recens heibai / claude-code-best Familia clonorum Anthropic-CLI. Nullos invenimus: nulla exempla C2 communia, nullas dispositiones fasciculorum communes, et nulla idiomata communia.
Quod non diceremus: hunc esse actorem publicum, gregem notum, aut geographice cum ulla patria specifica coniunctum.
Forma operandi congruit cum parva, mediocriter perita turma quae stationes laboris designatorum vigilat. Probabiliter pecuniarie movetur per usum accessus subsequentem, sed fortasse etiam per explorationem quasi servitium pro emptore separato.
Duo puncta indirecta haec confirmant: vitandae exfiltrationis mechanicae attentionem rapientes quae gregem celeriter comburerent, ut automata Telegram. oastify.com...vel "canarytokens", et nomina fasciculorum consulto insipida, quae installationes quietas longiorae caudae praeferunt brevi incremento magni voluminis.
Indicia Compromissionis et Detectionis
| Sarcinae et Editor | |
|---|---|
| Field | Value |
| editor npm | user0001 |
| Inscriptio electronica editoris | tanvisoul9@gmail.com, non verificatus |
| Packages | centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, node-env-resolve |
| Malignum confirmatum | node-env-resolve@1.0.7, node-env-resolve@1.0.8 |
| Artefacta Hospitii | |
|---|---|
| Type | Value |
| Clavis perseverantiae | HKCU\Programmatura\Microsoft\Windows\VersioPraeses\Executus |
| Valor perseverantiae | Nomen variabilis; data formae `wscript.exe` \\ ".vbs" |
| Hamum inserere | postinstall: nodus postinstall.js in manifesto fasciculi |
| Moduli implantati | `src/audioCapture.js`, `src/browserHistory.js`, `src/systemInfo.js` |
| Directorium scaenicum | `INSTALL_DIR` extra `node_modules` proiecti resolutum est; locus a `postinstall.js` tempore installationis constitutus est. |
| Network | |
|---|---|
| Type | Value |
| Vectura C2 | socket.io-cliens, canalis bidirectionalis persistens |
| Extremum C2 | Agenti per variabilem ambitus SERVER_URL praebitum; non in artefacta publicata rigide inclusum. |
Notae Detectionis
Duae regulae hanc familiam capiunt sine necessitate termini C2.
Primum, scripta postinstallationis quae internam actionem perficiunt, nota. npm install in semitam extra directorium proprium fasciculi. Quilibet legitimus programma praeconstructi ad deducendum, ut puta node-gyp refectiones vel receptacula binaria praeformata, intra fasciculum vel in suggestum scribit-standard semitae celatae cum fragmentis verificatis. Non scribit in nuper creatum INSTALL_DIR alibi in disco.
Deinde, scripta postinstallationis quae problema habent, nota. reg add HKCU\…\Run apud wscript.exe ut initiator. Hoc numquam fere legitimum est ex fasciculo npm. Signa et in quarantena pone.
Tertia heuristica utilis est ad proximum fasciculum fratrem deprehendendum antequam confirmetur: editor npm novus sine... SCM verificatio, epistula electronica Gmail, nulla repository ager, et plura nomina fasciculorum brevia, generica, infrastructurae similia, intra dies inter se publicata, per se satis est ad recensionem manualem merendam.
Ad registrum npm relatum est. Hanc inscriptionem renovabimus cum ratio editoris remota erit.
