TL, DR
Teo anelanelan'ny 1 Mey sy 6 Mey 2026, mpamoaka npm tokana, alone5511, nanosika fonosana valo tsy miankina amin'ny hafa izay toa mikendry Microsoft / Anaran-tranonkala anatiny amin'ny fomba Azure.
Nampiasa anarana toy ny cosmos-explorer, ms.analytics-web, icons.generated, latency-tracking-internal, carbonite-internal, ary carboniteappNampiasa soatoavina semver avo lenta ny dikan-teny maromaro toy ny 99.9.0 sy 99.9.13, izay tetika mahazatra mampisafotofoto ny fiankinan-doha natao mba hihoatra ny laharana misy ireo fonosana anatiny manokana.
Efa tsy navoakan'ny mpamoaka avy amin'ny npm intsony ireo fonosana valo mpiray tampo ireo teo anelanelan'ny 1 Mey sy 6 Mey 2026. Ny metadata an'ny rejisitra mivantana dia nanamafy fa ireo tarballs dia mamerina HTTP 404 avy amin'ny npm CDN.
Na izany aza, mbola zava-dehibe ny vondrona.
Ny entana ao amin'ny santionany kanonika, carbonite-internal:99.9.0 sy carboniteapp:99.9.0, miasa amin'ny fotoana fametrahana amin'ny alàlan'ny preinstall hook. Manangona angon-drakitra momba ny dian-tanana izy io, maka ny IP ampahibemaso an'ny milina avy amin'ny api.ipify.org, manorina "TATITRA FAHASALAMANA AMIN'NY LEVEL PRO" sandoka, manamarika ny mpampiantrano ho RCE VERIFIED, ary mandefa ny tatitra any amin'ny bot Telegram amin'ny alàlan'ny Telegram Bot API.
Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) an'ny Xygeni nanasokajy ireo santionany kanonika ho mety ho mampidi-doza miaraka amin'ny isa mihoatra ny 91/100.
Arahinay ho toy ny fampielezan-kevitra mampisafotofoto ny fiankinan-doha amin'ny anarana anatiny an'ny Microsoft miaraka amin'ny fakana dian-tanana amin'ny mpampiantrano mandritra ny fametrahana sy ny fanesorana ny filtration amin'ny Telegram beacon ity.
Ny Vondrona: Fonosana Valo, Mpamoaka Iray
Ny kaonty mpamoaka alone5511 nampiasa ny adiresy mailaka:
raistargaming703@gmail.com
Tsy nisy mailaka voamarina tao amin'ilay kaonty, tsy nisy SCM fanamarinana, ary isa 2 amin'ny laza npm.
Famantarana GitHub voatonona, alonebeast002/beastcrypt, niseho ihany koa tao amin'ny tontolon'ny cluster.
Namoaka fonosana mifandraika valo tao anatin'ny enina andro ny mpamoaka. Tsy nisy fiankinan-doha tamin'ny fonosana rehetra ary nanaraka lamina ankapobeny mitovy: fonosana kely, script amin'ny fotoana fametrahana, fanondroana amin'ny rantsantanana mpampiantrano, ary famantarana Telegram.
| # | Package | Dikan-teny ratsy | Noforonina, UTC | Tsy navoaka, UTC | Voamarina ny entana | Mametraka Hook |
|---|---|---|---|---|---|---|
| 1 | mpikaroka ny tontolo izao | 1.1.3 | 2026-05-01T18:26Z | 2026-05-01T19:01Z | Mpamoaka/vondrona mitovy no vinavinaina | fametrahana mialoha, heverina |
| 2 | signalsdk-web | 1.0.0, 10.0.0 | 2026-05-04T13:57Z | 2026-05-04T18:51Z | Notsongaina | fametrahana mialoha, heverina |
| 3 | ms.analytics-web | 99.0.0, 99.9.13 | 2026-05-04T18:47Z | 2026-05-05T10:07Z | Notsongaina | fametrahana mialoha, heverina |
| 4 | sary.novokarina | 99.9.13 | 2026-05-05T10:02Z | 2026-05-05T12:57Z | Notsongaina | fametrahana mialoha, heverina |
| 5 | fanaraha-maso ny fahatarana | 99.9.0 | 2026-05-05T11:57Z | 2026-05-05T12:57Z | Notsongaina | fametrahana mialoha, heverina |
| 6 | fanaraha-maso ny fahatarana anatiny | Nesorina tao amin'ny firaketana an-tsoratra ny dikan-teny | 2026-05-06T06:02Z | 2026-05-06T08:35Z | Notsongaina | fametrahana mialoha, heverina |
| 7 | carboniteapp | 99.9.0 | 2026-05-06T05:49Z | 2026-05-06T08:35Z | Eny, fikorianan'ny kaody feno amin'ny scanner | fametrahana mialoha: node index.js |
| 8 | karbonita-anatiny | 99.9.0 | 2026-05-06T06:14Z | 2026-05-06T08:36Z | Eny, fikorianan'ny kaody feno amin'ny scanner | fametrahana mialoha: node index.js |
Totalin'ny version-tuples manimba manerana ny cluster: 9+.
Nesorina ny dikan-teny sasany tao amin'ny rakitsoratra fonosana iray tampo rehefa avy nesorina ny famoahana, izay mametra ny famerenana marina avy amin'ny angon-drakitra momba ny rejisitra ho an'ny daholobe fotsiny.
Nahoana no zava-dehibe ny anarana
Ny anaran'ny fonosana no famantarana matanjaka indrindra.
Mitovy amin'ny SDK anatiny, telemetry, icon-generation, explorer, na fonosana fanaraha-maso latency izy ireo:
cosmos-explorer
signalsdk-web
ms.analytics-web
icons.generated
latency-tracking
latency-tracking-internal
carbonite-internal
carboniteapp
Tsy fanomezana anarana kisendrasendra ity. Toa voalamina tsara ho an'ny fisafotofotoana momba ny fiankinan-doha.
Nampiasa laharana dikan-teny avo lenta ireo fonosana maromaro taty aoriana:
99.0.0
99.9.0
99.9.13
10.0.0
Zava-dehibe izany satria matetika ny fanafihana dependency-confusion dia miantehitra amin'ny fonosana ho an'ny daholobe manana dikan-teny ambony kokoa noho ny fonosana rejisitra manokana anatiny. Raha diso ny fikirakirana ny rafitra fananganana, dia mety hisafidy ny dikan-teny npm ho an'ny daholobe ny mpitantana ny fonosana fa tsy ny anatiny kasaina hatao.
Toa miha-mitombo ihany koa ny isan'ny mpamoaka rehefa mandeha ny fotoana.
Ireo fonosana voalohany dia nampiasa dikan-teny toa mahazatra, toy ny 1.1.3 sy 1.0.0Nafindra tany amin'ny 99.x.x sy 99.9.xMifanaraka amin'ny fanitsiana ataon'ny mpilalao iray ny fampielezan-kevitra mba hifanaraka amin'ny fitondran-tena anatiny amin'ny famahana olana izany fiovana izany.
Inona no mitranga amin'ny fotoana fametrahana
Ireo santionany kanônika, carbonite-internal:99.9.0 sy carboniteapp:99.9.0, manambara preinstall hook:
{
"scripts": {
"preinstall": "node index.js"
}
}
Midika izany fa miasa ny payload alohan'ny hamaranan'ny npm ny fametrahana dependencies.
Ity no fotoana fametrahana haingana indrindra azo atao. Tsy mila manafatra ny fonosana ny mpamorona. Tsy mila manatanteraka ny kaody fampiharana ny fananganana. Ny fametrahana fotsiny dia ampy.
Kely ny entana, manodidina ny 2.4 KB, ary tsy misy antony miasa ankoatra ny famantarana ny famantarana (beaconing).
Fitondran-tena amin'ny enta-mavesatra
The index.js Ny rakitra dia manao asa lehibe efatra.
Voalohany, miantso izany api.ipify.org mba haka ny adiresy IP ho an'ny daholobe an'ny mpampiantrano:
https://api.ipify.org
Faharoa, manangona angon-drakitra fototra momba ny fanondroan-tanana amin'ny alàlan'ny Node.js OS APIs izy io:
os.userInfo()
os.hostname()
os.platform()
os.networkInterfaces()
os.uptime()
Fahatelo, amboariny ho tatitra misy andalana maromaro miaraka amin'ny sora-baventy ara-bakiteny ny angon-drakitra voaangona:
PRO-LEVEL INTELLIGENCE REPORT
Mifarana amin'ny:
Status: 🟢 RCE VERIFIED
Fahefatra, mandefa ny tatitra any amin'ny Telegram amin'ny alalan'ny sendTelegram(report) asa, mampiasa ny teboka farany Telegram Bot API:
https://api.telegram.org/bot<token>/sendMessage
Voatahiry ao anatin'ireo tarballs tsy navoaka ny mari-pamantarana bot Telegram marina ary tokony ho azo alaina avy amin'ny fitahirizana anatiny npm.
Nahoana no zava-dehibe ny sora-baventy "RCE VERIFIED"
Ny ara-bakiteny RCE VERIFIED milaza zavatra betsaka araka ny tokony ho izy ny marika.
Tsy mametraka "backdoor" ny "loadload". Tsy maharitra izy io. Tsy mangalatra mivantana ny "cloud credentials". Fa manamafy kosa izy fa nitranga nandritra ny fametrahana ny fonosana ny fanatanterahana ny kaody.
Ampy izany ho an'ny fanentanana porofon'ny fanatanterahana sy fisafotofotoana momba ny fiankinan-doha.
Raha mahazo hafatra Telegram avy amin'ny tontolo kendrena ny mpanafika, dia fantany fa voavaha sy notanterahina tao anatin'ny mpampiantrano tena izy, CI runner, workstation mpamorona, na tontolo fananganana ilay fonosana npm ampahibemaso.
Raha lazaina amin'ny teny hafa, tsy fanangonana metadata ho an'ny mpampiantrano fotsiny ihany ny malware. Manamarina ihany koa izy raha azo ampiasaina ny famahana ny fonosana kendrena.
Fanasokajiana Xygeni MEW
Nosokajian'ny Xygeni MEW ho toy ny mety ho ratsy fanahy, miaraka amin'ny isa mihoatra ny 91/100.
Ireto avy ireo zavatra hita:
| fahasaro-po | Detection | Meaning |
|---|---|---|
| Critical | fanesorana_angona_saro-pady | Ny req.write(data) dia mitondra ny tatitra momba ny dian-tanana ao amin'ny Telegram POST mivoaka. |
| High | script_fametrahana_maloto | fametrahana mialoha: ny node index.js dia manetsika ny beacon amin'ny fotoana fametrahana |
| Low | fangatahana_ahiahy | Fikarohana IP ho an'ny daholobe amin'ny alàlan'ny api.ipify.org |
| Low | fangatahana_ahiahy | Teboka fivoahana Telegram Bot API |
| Low | fonosana_tsy_zavatra | Tsy misy tanjona manan-danja ankoatra ny famantarana ny fonosana |
| Info | fanisana_angona_saro-pady | Voatanisa ny antsipirian'ny mpampiantrano toy ny fotoana fiasana, ny mombamomba ny mpampiasa ary ny anaran'ny mpampiantrano |
samy carbonite-internal:99.9.0 sy carboniteapp:99.9.0 nanana entana mitovy, anisan'izany ny ID-flow code mitovy sy ny script fametrahana mitovy amin'ny byte.
Ny tondro MEW publisher-projects dia nanamarika ireo fonosana valo rehetra ho anisan'ny vondrona publisher/loadload iray ihany.
Nahoana no zava-dehibe ny lamina fanafoanana ny famoahana tena
Tsy navoakan'ny mpamoaka avokoa ireo fonosana valo iray tampo ireo tao anatin'ny minitra na ora vitsy taorian'ny nivoahany.
Zava-dehibe izany fitondran-tena izany.
Indraindray ireo mpikarakara ara-dalàna dia manala ny famoahana ireo fonosana, saingy ny fotoana eto dia toa fanadiovana mpanafika. Niseho ireo fonosana, nanatanteraka ny entana napetraka rehefa voavaha tamin'ny lasibatra, ary avy eo dia nanjavona tsy ho azon'ny rehetra idirana.
Izany dia miteraka olana roa ho an'ny mpiaro.
Voalohany, lasa tsy feno ny metadata npm ampahibemaso rehefa tsy navoaka. Mety hoesorina na ho sarotra amboarina ny firaketana dikan-teny sasany.
Faharoa, ireo mpiaro miantehitra amin'ny toetry ny rejisitra ankehitriny dia mety tsy hahita ireo fonosana izay efa nisy nandritra ny fe-potoana fampiharihariana saingy tsy azo apetraka intsony.
Noho izany antony izany, ny npm dia tokony hitahiry ireo tarballs tsy navoaka anatiny ho an'ny forensika. Ny bot Telegram Ny token ao anatin'ny tarballs dia mety hanampy amin'ny fanisana ny fantsona mandray sy hananganana indray ireo mety ho niharam-boina.
Famantarana ny fifanarahana sy ny fahitana
Mpamoaka sy Kaonty
| Field | sarobidy |
|---|---|
| anarana mpampiasa npm | alone5511 |
| mailaka mpamoaka npm | raistargaming703@gmail.com |
| laza npm | 2 |
| mailaka voamarina | No |
| SCM voamarina | No |
| Identity GitHub voatonona | alonebeast002/beastcrypt |
Anaran'ny fonosana voakasik'izany
cosmos-explorer
signalsdk-web
ms.analytics-web
icons.generated
latency-tracking
latency-tracking-internal
carbonite-internal
carboniteapp
Endrika dikan-teny mampiahiahy
10.0.0
99.0.0
99.9.0
99.9.13
Ireo dikan-teny avo lenta ireo dia tena ilaina indrindra amin'ny fanadihadiana momba ny fisafotofotoana noho ny fiankinan-doha satria mety hihoatra ny dikan-teny fonosana manokana izy ireo.
Teboka Fiafaran'ny Tambajotra
| Type | sarobidy |
|---|---|
| Fanadihadiana momba ny IP ho an'ny daholobe | https://api.ipify.org |
| Lakandrano fanariana rano | https://api.telegram.org/bot<token>/sendMessage |
| Fomba fanesorana ny sivana | API Telegram Bot POST |
Marika Entana
Tadiavo ao amin'ny script fametrahana ireto tady ireto:
PRO-LEVEL INTELLIGENCE REPORT
Status: 🟢 RCE VERIFIED
sendTelegram(
Asio marika ihany koa ity lamina manifest ity:
{
"scripts": {
"preinstall": "node index.js"
}
}
Indrindra rehefa ampiarahina amin'ny:
- Tsy miankina amin'ny hafa
- Haben'ny fonosana kely
- Anaran'ny fonosana anatiny
- Dikan-teny avo lenta
- API fampiantranoana fanondro
- Fifamoivoizana Telegram Bot API
API Fandraisana Fanondroana
Ny enta-mavesatra kanonika dia mampiasa:
os.userInfo()
os.hostname()
os.platform()
os.networkInterfaces()
os.uptime()
Mifandray amin'ny:
https://api.ipify.org
mba hahazoana ny IP ampahibemaso an'ny mpampiantrano.
Fanamarihana momba ny famantarana
Mety hahatratra ity fampielezan-kevitra ity ny fitsipika maromaro ary hanakatona ny variants.
Voalohany, araho maso ireo script fametrahana npm izay mifandray amin'ny Telegram:
api.telegram.org
Saika tsy tokony hapetraka ao amin'ny Telegram mihitsy ny script fametrahana fonosana. Hevero ho toy ny "hostile" izany raha tsy hoe misy exception mazava tsara sy efa nodinihina.
Faharoa, sainam-pirenena preinstall scripts ao anaty fonosana kely tsy miankina amin'ny zero miaraka amin'ny anarana anatiny.
Ny fitambaran'ny fonosana kely, ny dikan-teny semver avo lenta, ary ny anarana anatiny amin'ny endrika namespace dia famantarana matanjaka momba ny fiankinan-doha-fisafotofotoana.
Fahatelo, mailo amin'ny anaran'ny fonosana izay mitovy amin'ny môdely injeniera manokana navoakan'ny kaonty npm ho an'ny daholobe tsy dia malaza loatra.
Ireto misy ohatra avy amin'ity vondrona ity:
ms.analytics-web
latency-tracking-internal
carbonite-internal
icons.generated
Fahefatra, tadiavo ireo referansa lockfile mankany amin'ireo anaran'ny fonosana valo manerana ny rafitra CI sy ny toeram-piasana mpamorona.
Search:
package-lock.json
yarn.lock
pnpm-lock.yaml
npm-shrinkwrap.json
Ny lalao rehetra dia tokony hiteraka famerenana ny fiankinan-doha-fisafotofotoana.
Hetsika atolotra ao amin'ny Rejistra
Efa tsy navoaka ity vondrona ity tamin'ny fotoana nanaovana ny tatitra. Na izany aza, ny fanesorana ny famoahana dia tsy manala ny risika.
Hetsika npm atolotra:
- Hamafiso raha toa ka fanadiovana natombok'ireo mpanafika ireo fanesorana ny famoahana fa tsy hetsika ara-dalàna nataon'ny mpikojakoja.
- Atsaharo na fandraràno ny kaontin'ny mpamoaka
alone5511. - Ampio ao amin'ny lisitra misy ny abuse sy supply-chain ny mpamoaka, ny adiresy mailaka, ny anaran'ny fonosana, ary ny marika payload.
- Tehirizo ao amin'ny fitahirizana anatiny ireo tarball tsy navoaka ho an'ny fanadihadiana ara-pitsarana.
- Esory ny mari-pamantarana bot Telegram avy amin'ny tarballs voatahiry.
- Miaraha miasa amin'ny Telegram, raha azo atao, mba hamantarana ny fantsona mpandray sy hanamboarana indray ny telemetria mety ho niharam-boina.
Lisitra fanamarinana ny valin'ny marimaritra iraisana
Raha misy amin'ireo fonosana voakasik'izany miseho ao amin'ny lockfiles, build logs, package cache, na CI install history mandritra ny exposure window, dia raiso ho toy ny dependence-confusion execution event izany.
Valiny atolotra:
- Fantaro hoe aiza no nametrahana ny fonosana: toeram-piasana eo an-toerana, CI runner, build agent, na container image.
- Tehirizo ny rakitra mihidy, ny cache npm, ny log-n'ny fananganana, ny tantaran'ny shell, ary ny vokatra azo avy amin'ny mpitantana fonosana.
- Jereo ny log-n'ny tambajotra mivoaka
api.telegram.orgsyapi.ipify.orgmandritra ny varavarankely fametrahana. - Jereo raha toa ka niasa tao anaty tontolo misy variables saro-pady, credentials, na fidirana amin'ny tambajotra anatiny ny fametrahana.
- Ahodino ireo token izay miharihary amin'ny tontolo fametrahana raha toa ka CI runner na developer workstation manana tombontsoa manokana ny mpampiantrano.
- Fikirana vahaolana amin'ny fonosana fanaraha-maso ho an'ny fisafotofotoana amin'ny rejisitra ho an'ny daholobe/tsy miankina.
- Ampiharo ireo fonosana manokana voasokajy sy ny fametahana "pinning" amin'ny rejisitra.
- Sakano ireo fonosana ho an'ny daholobe tsy nahazoana alalana izay mifanaraka amin'ny lamina fanomezana anarana anatiny.
- Add guardrails ho an'ny script fametrahana, indrindra
preinstall,install, arypostinstall.
Izay tokony hoentin'ny mpiaro
Tsy sarotra ara-teknika ity fampielezan-kevitra ity. Izany indrindra no antony maha-zava-dehibe azy.
Kely, mivantana ary mora ampiasaina ny entana alefa. Tsy mila fikirizana na rindrambaiko ratsy mandroso ny mpanafika. Lalana iray ihany no ilainy mba hamahana ny olana amin'ny fonosana.
Ny tena risika dia ny fisafotofotoana momba ny fiankinan-doha.
Fonosana misy anarana anatiny mahazatra, laharan'ny dikan-teny avo lenta, ary preinstall afaka mivadika ho ara-dalàna ny hook npm install ho toy ny jiro avy ao anatin'ny tontolo iainanao.
Fa DevSecOps mazava ny lesona ho an'ireo ekipa: fananana saro-pady ny anaran'ny fonosana anatiny. Hevero ho toy ny fanafihana ety ivelany izy ireo.
Notaterina tany amin'ny npm ho an'ny fampiharana ny kaonty, ny lisitra sakana, ary ny fiarovana ny tarball tsy navoaka.
