Vao haingana i Xygeni no nahita lamina mampanahy eo amin'ny sehatry ny fanafihana amin'ny rojo famatsiana rindrambaiko amin'ny taona 2025., mipoitra amin'ny mpitantana fonosana roa malaza: PyPI sy npm. Ao anatin'ny ezaka mitohy ataonay momba ny fandrahonana,Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) an'ny Xygeni Nahita tranga miavaka nefa mitovy amin'ny fomba fiasa momba ny fonosana ratsy nalefa tao amin'ny rejisitra hafa teo aloha ny fitaovana. Ity tranga ity dia manasongadina ny fomba fivoaran'ireo mpisehatra amin'ny fandrahonana sy ny fampiasana indray ireo teknika fanafihana manerana ny tontolo iainana, indrindra amin'ny alàlan'ny fonosana Python manimba sy fonosana npm ratsy fanahy, izay mampitombo ny mety hisian'ny fidirana an-tsokosoko amin'ny rojo famatsiana open source amin'ny alalan'ny fonosana mampidi-doza.
Xygeni's MEW: Fahitana ireo fitoviana
Ny fitaovana MEW an'ny Xygeni dia natao hamantarana sy hanamarihana ireo fonosana mampidi-doza, indrindra ireo mifandray amin'ny fanafihana amin'ny rojo famatsiana rindrambaiko amin'ny taona 2025, raha vao avoaka amin'ny rejisitra loharano misokatra izy ireo. Miasa amin'ny alàlan'ny famakafakana ireo fonosana vaovao mba hahitana fihetsika mampiahiahy.
Amin'ity tranga ity, dia nahita roa fonosana Python manimba (graphalgo amin'ny PyPI) ary fonosana npm ratsy fanahy (express-cookie-parser amin'ny npm).
Fonosana Python sy npm ratsy fanahy amin'ny fanafihana rojo famatsiana rindrambaiko (2025)
Andeha hojerentsika ireo toetra iraisana izay nahatonga ny fanairana nataonay:
Typosquatting
Samy niezaka naka tahaka ireo fonosana efa misy malaza izy roa lahy.
- graphalgo (PyPI): "Fonosana Python ho an'ny famoronana sy fikirakirana grafika sy tambajotra."Nampidirin'ny mpampiasa iray antsoina hoe "larrytech" Tamin'ny 13 Jona 2025, ity fonosana ity dia niseho ho toy ny PyPi hafa amin'ny tetikasa graphalgo tsy manimba tany am-boalohany, izay novaina anarana taty aoriana ho graphdict.
- mpandinika-cookie-express (npm)Ity fonosana ity dia naka tahaka ny fonosana cookie-parser malaza, ary na dia ny azy aza README.md. Tetika mahazatra ny fisandohana toy izany mba hampitomboana ny fitokisana efa misy.
Fanafenana ho toy ny fiarovana voalohany
Samy nanafina ny kaody ratsy tao anatin'ireo rakitra tany am-boalohany ireo fonosana roa ireo. Ho an'ny graphalgo, hita tao anatin'izany ny kaody voasarona /utils/load_libraries.py. Raha toa ka mpandinika mofomamy-express, cookie-loader.min.js nisy ilay entana nafenina.
Ity sosona voalohany amin'ny fanafenana ity dia mazàna ampiasaina hanakanana ny fizahana tsy ara-potoana sy ny famakafakana statika. Tsotra ihany ny fanafenana: famatrarana ZLib miverimberina miampy kaody Base64. Ity karazana fanafenana ity dia manondro mazava tsara fa miezaka manafina ny fihetsiny ny rindrambaiko. Miaraka amin'ny porofo hafa, izany dia namela ny Xygeni MEW hanasokajy ireo fonosana ho malware mety hitranga. Nandritra ny dingana fanamafisana, ireo mpandinika anay dia nanomana haingana ny script deobfuscation izay naneho ny dingana dropper ratsy hita miharihary.
Fanaterana entana amin'ny dingana maro sy toerana niaviana iraisana
Samy niasa ho toy ny "voalohany" ireo fonosana roa ireodroppers," mametraka ny sehatra ho an'ny tena entana. Nizara "ety ivelany" iraisana izy ireovoa"URL-n'ny rakitra:https://raw.githubusercontent.com/johns92/blog_app/refs/heads/main/server/.env.example
Ity rakitra voa avy any ivelany mitovy ity dia famantarana matanjaka ny fisian'ny mpandray anjara amin'ny fandrahonana iraisana. Mahaliana fa ny votoatin'ity rakitra voa ity dia toa fiovaovan'ny tontolo iainana tsotra (ohatra, JWT_SECRET, PORT), izay mety hamitaka ny fijerena ny tena asany.
Famahanana C2 mavitrika miaraka amin'ny DGA
Tetika sarotra hita amin'ireto fonosana ratsy ireto ny fampiasana ny Algorithm Domain Generation (DGA) mba hamahana ny mpizara Command and Control (C2) amin'ny fomba dinamika. Ity teknika ity, izay matetika hita amin'ny fanafihana rojo famatsiana rindrambaiko mandroso amin'ny taona 2025, dia miantehitra amin'ny hash SHA256 nalaina avy amin'ny votoatin'ny rakitra voa, miaraka amin'ny soatoavina hafa voafehy. Amin'ny fanaovana izany, miova matetika ny fotodrafitrasa C2, ka mahatonga ny lisitra mainty nentim-paharazana tsy dia mahomby loatra. Amin'ity tranga ity, ny variant npm dia nampiasa soatoavina raikitra amin'ny 496AAC7E ho anisan'ny lojika DGA-ny.
Fametrahana ny fikirizana
Samy nikasa ny hanorina fisiana maharitra amin'ireo rafitra voakasik'izany ireo mpanafika roa ireo. Ny paikadiny dia ny fandatsahana rakitra, startup.py (ho an'ny PyPi) na startup.js (ho an'ny npm), ao amin'ny lahatahiry angon-drakitra mpampiasa Google Chrome mahazatra manerana ny rafitra fiasana isan-karazany (Windows, Linux, macOS).
Fanadiovana aorian'ny famonoana
Mba hampihenana ny soritra, dia samy nanao fanadiovana ireo script ratsy roa ireo. Tafiditra amin'izany ny famafana ireo rakitra dropper voalohany (load_libraries.py, cookie-loader.min.js) ary manova ireo rakitra fonosana ara-dalàna (__init__.py, index.js) mba hanesorana ireo referansa mankany amin'ireo singa efa voafafa ankehitriny.
Famantarana ny Fifanarahana ao amin'ny Malicious Python sy npm Packages
- Fonosana PyPI: graphalgo (navoakan'ny larrytech, 13 Jona 2025)
- Fonosana npm: express-cookie-parser (indrindra ny version 1.4.12)
- Fidirana amin'ny URL Voa zaraina:
https://raw.githubusercontent.com/johns92/blog_app/refs/heads/main/server/.env.example
- Anaran-drakitra maharitra:
startup.py(Python)startup.js(JavaScript) - Lalana maharitra mahazatra (miankina amin'ny OS)Ao anatin'ny lahatahiry angon-drakitra mpampiasa Google Chrome (oh:
AppData\Local\Google\Chrome\UserData\Scripts\amin'ny Windows,~/.config/google-chrome/Scripts/amin'ny Linux, sns.).
Ahoana no fomba hiarovana amin'ny fonosana ratsy amin'ny fanafihana rojo famatsiana rindrambaiko 2025
Fomba fiasa atolotra ho an'ny mpamorona rindrambaiko
Ity tranga ity dia toy ny fandalinana tranga sarobidy eo amin'ny tontolon'ny fandrahonana mivoatra amin'ny fanafihana amin'ny rojo famatsiana rindrambaiko amin'ny taona 2025. Asongadin'izany ny fomba ahafahan'ny fonosana Python ratsy fanahy sy fonosana npm ratsy fanahy miditra ao anatin'ny tontolo iainana azo itokisana, matetika misoroka ny fahitana azy raha tsy efa tara loatra. Izany no mahatonga ny fitadiavana mialoha, ny fitaovana marani-tsaina, ary ny fahadiovana amin'ny rafitra mavitrika ho ampahany tena ilaina amin'ny fizotran'ny DevOps azo antoka. Amporisihina ny mpamorona rindrambaiko handinika ireto manaraka ireto:
Famerenana ny fiankinan-doha
Raha tafiditra ao anatin'ny tetikasanao ny graphalgo or mpandinika mofomamy-express, dia ho fahendrena ny hanohy ny fanesorana azy ireo.
- Ho an'ny PyPI:
pip uninstall graphalgo - Ho an'ny npm:
npm uninstall express-cookie-parser
Fahadiovan'ny rafitra
Eritrereto ny fanaovana scan feno momba ny rafitra. Tsara ihany koa ny manamarina tanana ny lalan'ny lahatahiry angon-drakitra mpampiasa Chrome mahazatra mba hahitana raha misy zavatra tsy ampoizina. startup.py or startup.js raki-daza.
Fepetra fiarovana mihetsiketsika
- Tombano ny fiankinan-doha vaovaoMametraha fahazarana handinihana tsara ireo fonosana vaovao alohan'ny hampidirana azy, mifantoka amin'ireo avy amin'ireo mpamoaka vaovao tsy mahazatra.
- Ampidiro ireo fitaovana fiarovanaFitaovana toy ny MEW an'i Xygeni, miaraka amin'ny Famakafakana ny Famoronana Rindrambaiko hafa (SCA) vahaolana, dia afaka manome fiarovana tena ilaina amin'ny alàlan'ny famantarana ireo fitondran-tena sy fahalemena mampiahiahy.
- Tombontsoa kely indrindraNy fampiasana tontolo fampandrosoana miasa miaraka amin'ny foto-kevitry ny tombontsoa kely indrindra dia afaka manampy amin'ny famerana ny mety ho fiantraikan'ny fifanarahana.
- Fahatsiarovana ny tambajotraNy fanaraha-maso ny fifamoivoizana mivoaka amin'ny tambajotra raha misy fifandraisana tsy mahazatra dia mety hampiharihary ny fifandraisana C2 novokarin'ny DGA indraindray.
Ireo singa fototra amin'ny load_libraries.py (avy amin'ny graphalgo)
download_remote_content(): Mikarakara ny fakana rakitra avy amin'ny URL voafaritra.run_process(): Manatanteraka script Python ivelany amin'ny fomba misaraka, manakana ny vokatra mba tsy ho hita maso.get_output_file_path(): Mamaritra ny toerana misy ny rafitra tsara indrindra ho an'ny rakitra persistent startup.py.remove_self(): Mandamina ny fanadiovana ireo rakitra mampidi-doza voalohany sy ny fanovana ny fonosana aorian'ny fanatanterahana azy.simple_shift_encrypt()/simple_shift_decrypt()Asa fanafenana ny fantsona fifandraisana, tena ilaina amin'ny fampiharana ny DGA.load_libraries(): Ny asa fototra mandrindra ny dingana maro samihafa, manomboka amin'ny fisintomana voalohany ka hatramin'ny fanatanterahana sy fanadiovana ny entana farany.
taorian'ilay
Tahaka ireo fonosana mety hampidi-doza hafa hitan'ny MEW, ny rindranasa fiarovana amin'ny fiankinan-doha dia niaro avy hatrany ireo mpampiasa izay hampiditra ireo fonosana mampidi-doza ireo ao amin'ny fiankinan-dohany. Taorian'ny fanamafisana, dia nanaraka ny fomba fampandrenesana ho an'ny rejisitra roa izahay, izay nanala ireo fonosana roa ireo rehefa avy nojerena.
