TL, DR
Viginti fasciculi npm per biduum exeunte Iulio et ineunte Augusto anni 2026 editi se tamquam bibliothecas internas componentium UI et utilitates communes in systemate administrativo praebent. Nulla ex eis functionem quam praedicant implementat. Unumquodque classem "stub", documentum README qui fasciculum ut internum describit, et fasciculum nomine "..." continet. _polyfill.js.
Pars curiosa est unde ille fasciculus evocatur. Non est hamus institutionis. — manifesta nullam omnino praeinstallationem, installationem, aut postinstallationem declarant. Potius, ultima linea index.js legit: try { require("./_polyfill"); } catch (_) {}Sarcina prima vice cum codex applicationis fasciculum importat currit. Installatio cum --ignore-scriptsest, standard consilium ad minuendam expositionem catenae commeatus tempore institutionis, non impedit.
Quid est _polyfill.js Quod facit est fasciculum executabile proprium suggestus ex uno ex tribus hospitibus Cloudflare Workers recuperare, in directorium temporarium sub nomine fortuito scribere, eum executabile notare, et a processu parente separatum incipere. Illud ipsum executabile est "loader": producta securitatis terminalis secundum nomen processus enumerat, nomen usoris praesens cum rationibus ambitus analysis notis comparat, interfaces telemetriae AMSI et ETW in memoria corregit, persistentiam sub nomine componentium audio Windows instituit, et tertium binarium aliquot megabytorum magnitudinis recuperat. Tertium stadium encryptatum advenit et est... decryptatum et in memoria exsecutum potius quam in discum scriptum.
Kalendis Augustis, circiter quattuor horis postquam fasciculi inspectione manuali malitiosi confirmati sunt, undeviginti ex viginti nominibus ex npm a suo editore intra seriem viginti quinque secundorum sublati sunt. Secundo die Augusti unum ex his nominibus iterum registratum est — ab alio nomine, eundem codicem gerente. Infrastructura traditionis omnibus tribus stadiis inserviebat cum haec scripta sunt.
| Packages | Nomina npm viginti, ~74 versiones editae |
| Themata nominandi | beaver-ui-* (13) accounts-* (3), plus afisha-storybook-default, bcore-bravo-eslint-config, arbocrate-sla-prober-arbocrate-sla-prober-core, a.poltoradnev-package-c |
| ligulae | Importatio moduli (require), non scriptum cycli vitae npm |
| 1 amet | _polyfill.js — recuperatio et emissio |
| 2 amet | Instrumentum statice conexum, UPX-complexum in Linux; enumeratio securitatis terminalis, correctio AMSI/ETW, persistentia. |
| 3 amet | beacon_linux.bin / beacon_mac.bin / update_win.exe, 4–13 MB; tradita encryptata, in memoria exsecuta |
| Vestibulum | Linux x64 et arm64, macOS universale, Windows x64 |
| Publishers | Duae rationes, una basis codicis |
| Status | Nomina XIX ex XX inedita ab operatore; 1 iterum editum et vivum; infrastructura traditionis vivum |
Anatomia impetus
Gradus 1 — fasciculus
Omnis sodalis eandem formam trium fasciculorum mittit. index.js classem cum exportat in illud() quod valorem Booleanum ponit, a versio()Et configurare() quod obiectum optionum miscet. Nihil aliud. README.md lineam institutionis dat, a require linea, et sententia "Fasciculus internus. Vide CONTRIBUTING.md pro regulis" — CONTRIBUTING.md non est in tarball.
`_polyfill.js` Paulo minus quam 5 KB est et legitur ut codex infrastructurae ordinarius. Tribus probationibus ambitus aperitur:
if (process.env.DISABLE_TELEMETRY ||
process.env.ANALYTICS_OPT_OUT ||
process.env.DO_NOT_TRACK)
return;Hae variabiles sunt moderamina secreti usitata. Hic deterrent utrum binarium demptum et exsecutum sit. Machina quae constituit... NOLE_SEQUI omnino praetermittitur.
Deinde venit signum semel currendum: fasciculus apud `/tmp/.analytics_state`aut status_analytici sub TEMP%% In Fenestra, quorum tempus modificationis cum fenestra 20 357 secundorum comparatur. Intra illam fenestram modulus statim redit, ita importationes repetitae per constructionem unum conatum recuperationis potius quam duodecim producunt.
Hospites destinationis non ut litterales praesentes sunt. Ex fragmentis tempore executionis componuntur:
["oob-worker.cf102-","baf.workers.d","ev"].join("")
Tres machinae hoc modo construuntur et ante usum permixtae sunt, ita ordo per executionem variat. Recuperatio est HTTPS GET ad IPv4 affixa cum... User-Agent of node-fetch/2.6 — valor plausibilis quem processus Nodi emittere potest. Responsio sub 1,000 octetis abicitur et proximus hospes tentatur.
Si omnia tria deficiunt, modulus ad DNS redit. Quaestionem TXT mittit pro... c. ad numerum frustorum obtinendum, deinde petit 0. per n. Denariis in gregibus, responsa concatenat, et exitum per base64 decodificat. Haec via idem fasciculum executabile per inscriptiones DNS TXT portat, quod in ambitus ubi HTTP egressus filtratur sed resolutio DNS non filtratur, supervivit.
Bytes recepti scribuntur ad /var/tmp/.cache_<8-hex> in Unix, vel `%TEMP%\dotnet_diag_<8-hex>.exe` In Windows — nomen fasciculi quod legitur ut artefactum diagnosticum .NET. In Unix fasciculus modus 0755 datur. Initium est pariunt apud seiunctum: verum, stdio: "ignora"Et sine referentia(), ergo filius processum Nodi qui eum incepit supervivit; in Windows invocatio addit fenestraeAccultatio: verum.
Duo singula imaginem complent. Adiutor definitus ut const _l = (…a) => processus.stderr.scribe("") in singulis gradibus recuperationis vocatur — seriem vacuam scribit et argumenta eius abicit, locum occupans ubi acta diurna collocarentur. Et omnis fasciculus fasciculum 81 KB apud lib/telemetry.js cuius commentarium in capite "Analytics SDK" cum "HTTPS transportation with endpoint rotation and retry" et "DNS-based service discovery for failover" describit. In constructione praesenti nihil id requirit.
Gradus 2 — onerator
Binarium Linux x64 est ELF statice conexum cum UPX 3.96 compressum. Aedificatio macOS est binarium universale x86_64 et arm64 comprehendens; aedificatio Windows est executabile consolae PE32+ nudum. Omnia quattuor recuperata et statice examinata sunt; nullum exsecutum est.
Importationes structurae Windows et tabula litterarum eius mores clare describunt. Solvit... EstDebuggerPraesens, InspiceDebuggerRemotumPraesentemEt Processus Informationis NtQuery, et legit Systema\CurrentModelSet\Servitia\Discus\Enumeratio — semita registri cuius valores moderatores discorum virtualium identificant. Invocat AccipeSpatiumLiberumDisciExW et StatusMemoriaeGlobalisEx, congruens cum verificatione utrum opes hospitis congruant cum instantia analysis brevis durationis.
Indicem nominum usorum continet: Usor Praesens, Administrator IT, Hong Lee, ARCA PROBATORIA, hapubws, milozs, Timotheus, admin, malware, context, virus, environmentComplura ex his sunt artefacta ambituum analyticorum publice documentatorum.
Indicem quoque productorum securitatis terminalis et nominum processuum eorum, enumeratorum per [insert terms], continet. CreateToolhelp32Snapshot et Processus32PrimusW/Processus32ProximusW:
- CrowdStrike Falcon (
csfalconservice,CSFalconContainer) - Nigrum ipsum (
cb.exe) - Cylance (
cylancesvc.exe) - Bitdefender (
bdagent.exe) - Corel (
avp.exe,kavfs.exe) - Trend Micro et Deep Security (
coreServiceShell,ds_agent.exe) - Oculus Ignis/Trellix (
xagt.exe) - Tanium (
taniumclient.exe) - HitmanPro (
hmpalert.exe) - elastica, (
elastic-agent.exe,elastic-endpoint,filebeat.exe,winlogbeat.exe) - Wazuh et OSSEC (
wazuh-agent.exe,ossec-agent.exe) - reprehendo Point
- Windows Defender
Duo alia symbola adsunt: AmsiScanBuffer, punctum ingressus quem Windows ad perscrutationem contentorum in memoria exponit, et EtwEventWrite, functio per quam Event Tracing for Windows eventa notat. Utraque sunt proposita communia modificationis intra processum quae telemetriam quam illae interfacies aliter producerent supprimit.
Persistentia bis in Windows apparet. Binarium ad [inserere] copiatur. `%APPDATA%\Microsoft\Windows\Themes\SystemSoundsService.exe`, et duo mechanismi ad id referuntur: valor sub PROGRAMMA\Microsoft\Windows\VersioPraeses\Executus, et munus ordinatum relatum ut
schtasks /Create /F /SC ONLOGON
/TN "\Microsoft\Windows\Multimedia\SystemSoundsService"
/TR "\"%s\""
/RL HIGHESTSemita operis, nomen operis, et nomen executabilis omnia genuinam partem audio Windows imitantur. /RL SUMMA summum gradum privilegiorum praesto petit.
Aedificatio macOS idem exemplum cum nominibus suggestu aptis sequitur: indicem proprietatum scribit ad ~/Bibliotheca/AgentiaEmissionis/com.apple.windowserver.auxilium.plist et suum executabile ponit apud ~/.local/share/runtime/com.apple.runtime. Inspicit /Applicationes/VMware Fusion.app et /Bibliotheca/Auxilium Applicationum/Instrumenta VMware.
Capacitas retialis tres translationes complectitur: WININET.dll pro HTTPS cum https://%s:%d%s series formae, WS2_32.dll sockets, et DNSAPI.dll apud DnsQuery_A a latere c.%s.%s `format string` — eadem forma interrogationis `chunk-count` quam primum stadium utitur.
Descriptio supra est quod importationes binarii, series litterarum, et semitae registri in inspectione ostendunt. Analysis publica multi-machinata eiusdem exempli Windows addit singula quae lectio statica tabulae importationis per se stabilire non potest, et hic attribuitur potius quam ut observatio prima manu iterum exprimatur. Illa analysis refert referentias AMSI et ETW non solum resolutas sed etiam emendatas esse — AmsiScanBuffer in amsi.dll et EtwEventWrite in ntdll.dll — quod perscrutationem contentorum in memoria et vestigationem eventuum pro processu supprimit. Probationes anti-analyticas tamquam temporales, praeterea... InspiceDebuggerRemotumPraesentem, et identificat AccipeContextumFili vocatio ut probatio puncti interruptionis apparatus legens registra debug. Etiam mutex unius instantiae nuntiat, Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}et nomina SystemSoundsService ut valor clavis "Run". Ille valor mutex non erat inter litteras hic recuperatas — filtrum extractionis adhibitum tesseras hexadecimales maiusculas inclusis exclusit — et in tabula indicatorum ex vi illius analysis publicae potius quam observationis directae notatur.
3 amet
Instrumentum ad ulteriorem seriem viarum in eisdem machinis refert. Omnes per analysin attingibiles erant: beacon_linux.bin ad 5.3 MB, beacon_mac.bin ad 13.3 MB, update_win.exe ad 10.3 MB, et bracchium.bin ad 4.3 MB. Hae non recuperatae sunt, et earum modus agendi ignotus est.
Pro semita Windows, analysis publica programmatis programmatis describit quomodo tertium illud stadium tractatur: per WinINet petitur, encryptatum advenit, et in memoria decryptatur et reflexive exsequitur — memoria assignata, importationes resolutae, relocationes processae, et imperium ad novum filum translatum per... CreateThreadOb hanc causam tertium stadium numquam in systema fasciculorum scribitur, ergo detectio fasciculorum et investigationes forenses discorum post incidentum nihil ex eo recuperandum habent. Significat etiam recuperationem octetorum ab hospite traditionis textum cifratum, non fasciculum executabilem analysabilem, producere.
Timeline
Omnia signa temporalia sunt UTC et ex metadatis registri npm proveniunt, quae creationem et depublicationem fasciculorum sine ullo observatore commemorant.
Duae ex his inscriptionibus dignae sunt dignae esse mentione.
Impetus horae 13:04 novem fasciculos in registro quattuor secundis posuit, quorum quisque singulam versionem in duodecim et nullam habebat. 0.0.1 sub eo. Numeri versionum in hac scala, in nominibus unius diei antiquioribus, historiam emissionum non describunt.
Ordo depublicationis aeque mechanicus est: nomina undeviginti, secunda viginti quinque, spatia aequa. npm haec tamquam eventus depublicationis ordinarios, non ut locum reservatum quem remotio a registro initiata relinquit, registrat, quod actionem apud rationem publicationis potius quam apud registro collocat.
Indicia compromissi
Hospites et semitae defatigatae sunt. Noli ea resolvere aut ex systemate productionis recuperare.
Nomina fasciculorum
Attributio et habitus observatus
Duae rationes npm implicantur. Decem et novem nomina inedita ab una ratione edita sunt; a.poltoradnev-fasciculus-c Die secundo mensis Augusti sub alio nomine rationis et alio dominio electronico denuo registrata est. Eadem stirpe in utroque codice est, et secunda registratio eosdem hospites traditionis, eosdem dominios DNS subsidiarios, eandem structuram semitae deponendae, et idem signum semel currendi portat.
Par iterum editum etiam ostendit quomodo compositum sit. Versiones 0.0.2 et 33.9.5 sunt identicae in numero octetorum praeter seriem versionis in package.jsonEt index.js missus ut 0.0.2 declaravit const VERSIO = “33.9.5”Utraque artefacta ex una arbore originis excisa et postea numerata sunt. Nulla est... 0.0.2 historia evolutionis pro 0.0.2 dimittere ad repraesentandum.
Numeratio versionum per totum gregem eandem logicam sequitur. Nomina fasciculorum in hac expeditione leguntur ut res quae intra ordinationem potius quam in registro publico existerent: gregem partium UI, configurationem ESLint, exploratorem SLA, fasciculum secundum personam nominatum. Cum constructio dependentiam nomine resolvit et registrum publicum una cum privato consulit, numerus versionis altior vincit. Nomen creatum apud... 0.0.1 die Lunae et portans 12.9.6 die Martis ad illam comparationem positio est.
Duae undae publicationis etiam modo differunt qui iterationem suggerit. Prior codex fasciculum suum utile nominavit setup.js et quinque hospites traditionis enumeravit; fasciculus praesens nominatur `_polyfill.js` et tres enumerat. Versio prior fasciculum deiectum quinque secundis post initium removit, processum ex inode deleto currentem relinquens; versio praesens non facit. Fasciculus sine referentia lib/telemetry.js In archivo tarball per utrumque manet, adhuc missus, non iam conexus.
Una observatio de interruptoribus necandi digna est antea dicendum.cisely, quia contra lectionem communem labitur. INHIBENDA_TELEMETRIA, ANALYTICA_OPT_OUTEt NOLE_SEQUI honorantur, et antequam aliquid aliud fiat, probantur. Investigator cuius ambitus analysis quemlibet ex his constituit fasciculum observat qui nihil omnino agit.
Impetus et quae defensores facere possunt
Consequentia practica incitamenti tempore importationis angusta est et per se dicenda. npm install –ignore-scripta Cursum scripta cycli vitae impedit, et consilium utile est. Nullum effectum hic habet, quia hic codex scriptum cycli vitae non utitur. Sarcina currit cum codex applicationis, cursus probationis, fasciculus, vel linter primum modulum importat. In cursore CI qui installat et deinde statim construit, duo momentis distant.
Ad venandum, signa durabilia structuralia potius quam litteralia sunt. Hospites, nomen fasciculi, et viae depositionis mutabuntur; hae formae difficilius variantur:
- Punctum ingressus moduli cuius enuntiatio finalis est conare { require("./x"); } catch(_) {} circa fasciculum qui non est pars API exportatae. Fasciculus cum genuino polyfill eum in summo importat et eius exitum utitur. Omnem errorem ex importatione in fundo fasciculi devorare non est tractatio errorum.
- Fila hospitis ab assemblata .coniunge("") ex serie fragmentorum. Codex legitimus nullam causam habet nomen hospitis per elementa seriei dividendi.
- Fasciculus cuius dependentiae declaratae vacuae sunt sed qui ad http, dnsEt child_process tempore importationis. Recuperatio una cum executione in fasciculo qui elementum UI praedicat est totum inventum.
- Numeri versionum aetate fasciculi non congruentes. Nomen primum ante dies in versione maiore bis digitorum copiosa divulgatum, nullis emissionibus interpositis, aliquid aliud quam evolutionem eius describit.
- Scribit ad / Var / tmp or TEMP%% sequitur chmod ad 0755 et progenies separata. Series est brevis, ordinata, et raro benigna simul.
In computatris Windows duae sunt probationes viles et magnae fiduciae. Artefacta persistentiae sunt litterae fixae et nulla earum in systemate mundo pertinet: munus ordinatum apud... \Microsoft\Windows\Multimedia\SystemSoundsService, valor clavis Run nominatus SystemSoundsService, et fasciculum executabile eiusdem nominis sub %APPDATA%\Microsoft\Windows\Themes\Vera opera audio Fenestrae in nullo horum locorum habitat. Deinde, programmator mutex singularis instantiae fixae utitur. Global\{7A3B9E1F-C2D4-4F8A-B5E6-D7A1F0C3E2B9}; praesentia eius in hospite indicium est, et quia programmator mutex existentem tamquam "iam currentem" tractat, eius praecreatio est viabilis inoculatio brevis temporis dum remediatio disponitur.
Detectio in tertio gradu difficilior est problema et dignum est de quo clare loqui. Secundum rationem ab analysi publica datam, decryptatur et in memoria mappatur potius quam in disco scribitur, ergo scrutatio fasciculorum et investigatio forensis disci id non videbunt. Quod observabile manet est vestigium proprium programmatis oneris — inscriptiones persistentiae, mutex, et petitiones egressae ad hospites traditionis vel dominia DNS-TXT.
In ambitus qui dependentias ex registro privato et publico resolvunt, mitigatio a nihil hic immutatur: nomina interna in ambitu definire ut nomen publicum ea satisfacere non possit, et resolutionem ad registro internum pro illis ambitibus figere. Modus inflationis versionum supra descriptus solum operatur ubi versio publica superior nomen adipisci potest.
Denique, depublicatione digna est diligenter legere potius quam ut finem. Undeviginti nomina registrum intra viginti quinque secundas reliquerunt et unum post diem sub novo nomine rediit, infrastructura traditionis per totum tempus intacta. Ablatio fasciculorum non est ablatio operationis; hospites omnem gradum servire perseverabant dum hoc scribebatur. Quaevis arbor dependentiarum quae unum ex his nominibus inter diem XXXI Iulii et I Augusti solvit habenda est quasi occasionem habuisse gradum primum exsequendi, sive nomen adhuc exstet sive non.
References
- Analysis multi-machinae programmatis Windows — fons pro correctione AMSI/ETW, executione in memoria reflexiva, et detali mutex supra attributi.
- Documentatio scriptorum NPM — eventa cycli vitae quae haec expeditio non utitur.
- Documentatio institutionis NPM — tegmina –ignora-scripta et eius ambitus.
