TL, DR
Unus editor npm octo fasciculos parvos misit quorum nomina similia sunt cotidianis elementis ad evolutionem blockchain et crumenae electronicae. base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpersEt crypto-validate-libUnumquodque utilitatem operantem continet. Post hanc utilitatem autem additur segmentum codicis sui iuris qui momento quo modulus importatur currit.
Circiter triginta septem secundis post importationem, illa pars sarcinam quae intra fasciculum sub specie instrumenti probationis mittitur decodificat, eam in fasciculum occultum sub directorio domestico usoris scribit, se ad incipiendum omni tempore registrat. login per Windows, macOS, et Linux, et scriptum decodificatum ut processum separatum incipit. Nihil de hoc per institutionem npm accenditur; exspectat dum codex importetur et currat, quod momentum quietius est quam institutio.
Sarcina non est opaca. Ut simplex base64 mittitur, ergo "instrumentum probationis" decodificando secundum stadium plene recuperatur: a crypto-crumenula et fur secretorum quod exspectat dum machina otiosa maneat, claves privatas et phrases initiales colligit, singula inventa clave RSA-4096 fixa encryptat, et ea in repositorium publicum IPFS figendo exfiltrat, singulis duodecim horis resonans.
Gregem sequimur ut PhantomSyncOmnes octo fasciculi in registro npm tempore analysis positi erant, sub uno ratione publicati.
| ecosystem | npm |
| Packages | base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpers, crypto-validate-lib |
| Platae destinatae | Fenestra, MacOS, Linux |
| Mores principales | Importatio tardata, dropper quasi instrumentum probationis celata; persistentiam trans suggestus instituit. |
| payload | Crypto-crumenula et fur secretorum, encryptio RSA-4096, exfiltratio per publicam IPFS pinning |
Anatomia impetus
Quaeque sarcina prima lectione simplicis apparet. base58-utils, exempli gratia, pauca kilobyta codicis adiutorii Base58 / Bitcoin-WIF sine dependentia sunt — prorsus quod nomen promittit. Codex pertinens sedet post moduli modulus.exportationes, ubi lector summam fasciculi perlustrans vix inspiciet: functio auto-invocata quae se cum temporatore ordinat.
Series operationum, ex fonte fasciculi reconstructa, hoc modo se habet:
1. Package is required() by the host project 2. A self-invoking function schedules a callback ~37,000 ms later (setTimeout) 3. On fire, the callback reads test/fixtures/keypairs.dat (a base64 blob) 4. It base64-decodes that blob into a Node.js script 5. It writes the script to ~/.cache-db/.node-sync/syncd.js (mode 0o700) 6. It installs login-persistence for that script (see below) 7. It spawns "node syncd.js" as a detached processDuae electiones designandi eminent.
Onus utile ut instrumentum probationis iter facit. Secundum stadium non ut manifestum codicem scribitur. Inest in... `test/fixtures/keypairs.dat`, fasciculus base64 cuius nomen in fasciculum miscetur qui paria clavium tractare profitetur. Homini perlustranti fasciculum tarball, exemplum datorum videtur; codice adiuncto, scriptum est ad decodificandum et currendum. Ipse dropper nullam inscriptionem retialem continet — illae in secundo gradu habitant — sed nulla obscuratio addita est: fixtura est stratum singulum base64, ergo decodificatio eius (basis64 -d) totum recuperat syncd.js et eius habitus retiarii. Sequens sectio percurrit quid illud stadium recuperatum faciat.
Detonatio differtur et importationi, non institutioni, alligatur. Quia incitamentum est requirere() insuper horologio ~37 secundorum potius quam hamo institutionis, mores probationes vitant quae solum observant... install npm gradum, et mora multas breves cursus "sandbox" et "CI" superat. Cum aliquid exsequitur, installatio quae fasciculum extraxit iamdudum perfecta est.
Postquam scriptum decodificatum in disco est apud ~/.cache-db/.node-sync/syncd.js — semita electa ut legatur sicut directorium celatum consuetum — dropper facit ut supervivat reinitiis in omnibus tribus suggestis maioribus:
- Linux: Inscriptio cron quae scriptum denuo incipit. Inscriptio instituitur per crontab existentem filtrandum per `grep -v syncd`, quod effectum secundarium habet novam inscriptionem ex indice simplici qui idem nomen pro grep quaerit excludendi.
- Fenestra: munus ordinatum nominatum WinNodeSync, constitutum ut iterum currat intervallis duodecim minutorum.
- macos: officium emissum inscriptum com.apple.syncd, in pluribus fasciculis praesens — titulus qui legitimum systematis servitium Apple imitatur.
Scriptum deinde statim ut processus seiunctus incipit, ita currere pergit postquam programma importans exit.
Quod secundum stadium facit
Quia apparatus singularis stratus base64 est, secundum stadium pure decodificat et plene legi potest. Omnes octo fasciculi unam ex tribus variantibus eiusdem scripti ferunt, quod se in commentario capitis sic indicat. phantasma syncd v3 - top durmiente ("talpa dormiens"). Munus eius est materiam crumenae cryptographicae et secreta fabricatorum furari et ea ex machina transportare. His gradibus currit:
- 1. Exspecta donec machina otiosa sit. Antequam quicquam agas, syncd.js inspicit quamdiu usor inactivus fuerit et tantum ultra certum limen (circa XV minuta) procedit — xprintidle in Linux, ioregus HIDIdleTime in macOS, et interrogatio temporis otii PowerShell in Windows. Collectio igitur solet fieri cum nemo ad claviaturam est.
- 2. Interruptorem activationis remote moderatum pete.Scriptum configurationem parvam ex "dead-drop" extrahit antequam agit. Fons primarius est URL cruda GitHub gist (gist.githubusercontent.com/juang55/…/cfg.txt); scriptum solum activatur si illa configuratio legit activus=1Si summa rerum non praesto est, ad tria identificatoria contentorum IPFS fixa recurritur, per portas publicas recepta. gateway.pinata.cloud, ipfs.ioEt cloudflare-ipfs.comHoc operatori potestatem armandi/exarmandi post factum et receptum resistentem deiectionis dat. (Minima variatio, missa in...) crypto-validate-lib, adiutores crumenae ethnicaeEt solana-key-utils, stratum essentiale remotum habet et solis identificatoribus IPFS nititur.)
- 3. Materia et secreta crumenae collige. Scriptum per directorium domesticum usoris ambulat — ~/.config/solana, ~/.ethereum/keystore, ~/.funditorium, ~/.galea dura, ~/.sshEt Desktop/Documenta/Downloads (nominibus fasciculorum Hispanicis inclusis), plus ~/.env et fasciculi rc testae, et aequivalentia AppData loca in Fenestris. Claves privatas Ethereum, claves WIF Bitcoin, phrases seminis BIP-39, paria clavium Solana, JSON clavium repositoriarum Ethereum, claves SSH, et variabiles ambitus secreta portantes petit. Variatio maior (in...) abi-encode, base58-utils, eth-dev) dictionarium BIP-39 plenum 2048 verborum continet et expressiones regulares adhibet ad extractum claves singulae et phrases initiales validatae ex quolibet textu quem legit; duae variantes minores potius fasciculos per clavem clavem () congruuntsemen, mnemonicum, vidulum, metamask, Phantom, rediit, trezor, …) et integros fasciculos imponere.
- 4. Per publicum servitium fixationis cifrare et exfiltrare. Quodque inventum cum impressione digitali hospitis coniungitur (nomen usoris@nomenhospitis, suggestum, nota temporis) et encryptata clave publica RSA-4096 fixa in scripto inclusa. Deinde documentum encryptatum imponitur per alligationem eius ad IPFS per api.pinata.cloud/pinning/pinJSONToIPFS...authenticatum cum credentialibus API Pinata fixis. Nullus servus C2 ad personam adest ad capiendum: notitia furata in repositorio publico decentrali servatur, ab operatore recuperabilis utens fragmentis contenti resultantibus. Immissiones intervallis paucis secundis trepidationis fortuitae et registro locali ... nota temporis | genus clavis | reditum hash servatur apud ~/.cache-db/.node-sync/.sl.
- 5. Persevera et signum in cyclo duodecim horarum emitte. Secundum stadium propriam persistentiam restituit — inscriptionem cron in Linux, com.apple.syncd officium "launchd" in macOS, et officium designatum nomine " SynchronizatioNodorumWindows in Fenestra — ita constitutum ut iterum currat singulis duodecim horis. Nota hoc esse alium Nomen operis Windows ex eo quod dropper instituit (WinNodeSync); ambo venatione digni sunt.
Timeline
Octo fasciculi breviter diebus XIII mensis Iulii anni MMXXVI et XIV mensis Iulii anni MMXXVI divulgati sunt. Plures plures versiones habent; fasciculus "dropper" idem est per omnes versiones, solis distantiis linearum mutatis dum magnitudo codicis utilitatis benigni supra eum mutatur.
Per eruptionem, fama editoris in registro a fere neutrali initio gregis ad valde negativam mutata est, dum detectiones accumulabantur — effectus secundarius observabilis fasciculorum signatorum, non proprietas designata.
Indicia Compromissionis
Omnes indices infra tempore analysis praesentia confirmati sunt — ii qui in tabulis "secundi stadii" erant per decodificationem. `test/fixtures/keypairs.dat` et recuperatum legendo syncd.js.
Limae et semitae
Infrastructura retiaria secundi gradus (recuperata ex syncd.js)
Scopi collectionis secundi gradus (recuperati ex syncd.js)
Artefacta persistentiae
Disordines morum
- Functio auto-invocata post addita modulus.exportationes, ordinando TempusExspirationis (vel TempusExspirationis) ~37,000 ms in importatione.
- child_process generatio ("nodus", ) cum optione separata posita.
- Activatio otiosa in secundo stadio (xprintidle / ioregus Tempus otii HIDIdleTime / PowerShell; limen ~15 minutorum.
- Encryptio RSA-4096 per inventionem, deinde HTTPS STIPES ad API publicam IPFS pinning.
Sarcinae et versiones (npm, editor solbuilder_io)
Publisher:
- solbuilder_io - angel_lopez89[@]proton[.]me, inscriptio electronica non verificata, nulla ratio fontis moderandi verificata, nullum repositorium coniunctum.
Attributio et Observatio Morum
Octo fasciculi unum editoris rationem et unum onus utile communicant. Quisque fasciculus trivialis est — pauca kilobyta codicis utilitatis veri cum eodem dropper addito — sine repositorio coniuncto et sub inscriptione electronica non verificata et abicibili. Illa uniformitas, via depositionis communis, inscriptiones persistentiae communis, et communis... keypairs.dat fasciculi staging sunt qui gregem inter se conectunt.
Sarcinae de suis moribus insolito modo sincerae sunt. solana-key-utils commentarios inline fert qui segmentum additum simplicibus verbis describunt — unus eum nominat Phantom: perseverantia invisibilis, alius (Hispanice) legit Topum in scaena exsequi, "talpam in cursu posteriori curre." Hae sunt annotationes codicis sui ipsius de eo quod facit; nomen expeditionis in hoc nuntio ex illa prima inscriptione una cum nodo ficto "daemone synchronizationis" (synchronizatio) quam machina perseverantiae imitatur.
Describimus tantum quae codex observabiliter facit. Nomina fasciculorum — omnia termini crypto, "wallet", et instrumentorum blockchain — indicant auditorium fabricatorum qui nominatim eos extrahere verisimiliter debent; non per se determinat quis editor sit. Secundum stadium plene recuperabile erat per decodificationem fixture base64, et eius modus agendi supra descriptus est: claves "wallet", phrases seminales, et secreta colligit et ea, RSA-encryptata, in repositorium publicum IPFS per Pinata exfiltrat. Electio designi notabilis est absentia servi C2 privati — configuratio a GitHub gist et IPFS venit, et data furata in repositorio publico decentralizato per clavem content hash munita reponuntur, quae ambo difficilius capiuntur quam unus hospes ab aggressore moderatus. Nulla relatio publica prior huic gregi congruens tempore scribendi inventa est.
Impactus, Inclinationes et Consilia pro Defensoribus
Quis patefiat. Quicumque unum ex his fasciculis ad proiectum Node addidit et deinde codicem qui illud importat cucurrit. Quia detonatio tempore importationis potius quam tempore institutionis est, simpliciter fasciculum praesens habere non sufficit — sed quilibet usus normalis qui modulum onerare onus attingit. Nomina illecebrae spectant ad fabricatores qui in Ethereum, Solana, Arbitrum, Layer-2, et generali instrumentorum crumenae/codificationis aedificant — multitudinem quae probabilissime exacte bona quae secunda pars quaerit habebit. Quicumque unum ex his modulis in machina claves crumenae, phrases seminales, repositoria clavium, claves SSH, vel... .env Secreta illa documenta quasi compromissa tractare et alternare debent.
Duo exempla quae internaliter cogitare digna sunt. Primum, onus utile ut fixtura: secundum stadium ut base64 intra fasciculum datorum nomine probabili mittentes (`test/fixtures/keypairs.dat`) fontem visibilem fasciculi purum servat et contentum malitiosum in fasciculum impellit quem instrumenta inspectionis et perlustrationes humanae saepe ut data inertia tractant. Deinde, Exsecutio importationis tempore dilata cum perseverantia trans suggestum: incitamentum extra hamum institutionis movere, temporarium addere, deinde per cron, opera ordinata, et launchd persistere est gradus deliberatus a strepituosioribus artibus institutionis-scripti quas scrutatio automatica registri diligentissime observat.
Consilium pro defensoribus et conservatoribus:
- Codicem additum post tracta modulus.exportationes ut prioritas recensionis — logica depositionis saepe sub superficie "verae" moduli latet.
- Noli assumere fasciculos datorum inertes esse. Macula base64 sub... probationes/fixa/ quod tempore executionis legitur et decodificatur iuxta executabile est; lectiones tempore executionis fasciculorum fixturarum quae alunt vexilla muneris/disp/scribe-deinde-pariunt torquem.
- Semitam deiectionem venare ~/.cache-db/.node-sync/ et pro unitatibus persistentiae WinNodeSync (munus ordinatum) et com.apple.syncd (launchd) in machinis fabricatorum quae haec nomina extraxerunt.
- Monitum de processibus Nodi qui inscriptiones cron, opera ordinata, vel opera "launchd" creant — bibliothecae legitimae raro hoc in importatione faciunt.
- Fasciculos clausos et versiones fixas praefer, et differentiam cuiuslibet novae parvae dependentiae "utilitatis" perlege, praesertim. fasciculi sine dependentia editi per rationes non verificatas sine repositorio coniuncto.
Defensoribus registrorum, haec conclusio est: monitorium hami institutionis necessaria est, sed non sufficiens: dropper tempore importationis, tempori differendo, intra fasciculum datorum positus probationem tempore institutionis tantum superabit, et gradus persistentiae saepe est signum observabile clarissimum quod adhuc capiendum est.
