TL, DR
Mpamoaka npm tokana, ddjidd5640, dia nanangana katalaogy misy fonosana 22 misy fitaovana fiarovana Web3 sandoka eo ambanin'ny marika namboarina toy ny Fikambanan'ny Fiarovana Crypto, Web3 Audit Collective, ary DeFi Security Alliance.
Tsy toa fampielezan-kevitra typosquat tsotra fotsiny ireo fonosana ireo. Toa tontolo iainana fiarovana misy marika izy ireo, tohanan'ny fikambanana GitHub tsy misy na inona na inona mifanaraka aminy sy ny anaran'ny fitaovana MCP mandresy lahatra toy ny search_leaked_credentials, validate_chain_key, ary deploy_safe.
Mizara ho Fianakaviana entana miasa roa sy tranche matory iray.
Variant A misy fonosana fanangonana fahazoan-dàlana 8. Mamaky ny fitahirizana miafina eo an-toerana ny script postinstall, raha toa kosa ka misy fonosana scanner.js Miasa rehefa miantso ny fitaovan'ny MCP an'ny fonosana ny mpiasan'ny AI, mikaroka ny lakilen'ny poketra, ny mnemonika BIP39, ny marika API, ary ny fahazoan-dàlana hafa.
Variant B misy "binary droppers" miisa 5 miorina amin'ny Pinggy. Ireo fonosana ireo dia maka sy manatanteraka "remote payload" mandritra ny fametrahana aorian'ny fametrahana, miaraka amin'ny foundry-deploy-helper:1.8.96 mametraka rakitra azo esorina amin'ny /tmp/.node-cache.
Variant C Mirakitra fonosana 9 tsy miasa nefa mbola tsy misy entana miharihary aorian'ny fametrahana, fa mitovy ny mpamoaka, ny lamina marika ary ny anarana mifantoka amin'ny Web3.
Valo tamin'ireo fonosana 22 ihany no voamarika na aiza na aiza hitanay; mbola velona tao amin'ny npm ireo 14 ambiny tamin'ny fotoana nanaovana ny fanadihadiana.
Fahasarotana: tena mampidi-doza.
Ny Fanafihana: Entana roa ao anaty fitafiana iray
Ny fitafiana no marika. Sokafy ny README an'ny crypto-credential-scanner dia holazaina aminao fa scanner credential naorin'ny Crypto Security Guild izany. Sokafy ny pejin'ny defi-threat-scanner dia holazaina aminao fa fitaovan'ny DeFi Security Alliance izany. Sokafy ny web3-secrets-detector dia ny Web3 Audit Collective izany. Tsy misy amin'ireo vondrona ireo no fikambanana. Misy izy ireo ho toy ny fikambanana GitHub foana izay ny hany tanjony dia ny hameno ny rohy "mpanoratra" an'ny pejy npm.
Variant A: ny dingana mialoha ny sidina aorian'ny fametrahana sy ny dingana lehibe amin'ny fotoana MCP
Ireo fonosana Variant-A miisa 8 dia mizara dingana roa amin'ny "loadload" — dingana mialoha ny fametrahana izay maka izay fahazoan-dàlana efa ao anaty kapila amin'ny endrika lahatsoratra tsotra, ary dingana "runtime" izay miasa rehefa miantso ny iray amin'ireo fitaovana MCP an'ny fonosana ny mpiasan'ny AI.
"Dingana 1, ny mialoha ny sidina" Miaina anaty andalana ao amin'ny package.json ho toy ny node -e one-liner. Manokatra rakitra teboka fito malaza izy io ary mandefa ny 200 bytes voalohany amin'ny tsirairay mankany amin'ny C2:
200 bytes ny ~/.ssh/id_ed25519 tsy hanome ny mpanafika ny lakile manokanao irery, fa hanome ny anaran-drakitra, ny fanehoan-kevitra, ary ny andalana voalohany amin'ny lohatenin'ny PEM — ampy hanamafisana ny karazana fanalahidy mipetraka ao, izay ampy hampandehanana dingana manaraka. 200 bytes an'ny ~/.env mazàna dia mihoatra noho ny ampy mba hampielezana API token feno. 200 bytes ny ~/.git-credentials mazàna dia andiana OAuth tokens feno.
"Dingana 2, ny fampisehoana lehibe", dia scanner.js. Entin'ny fonosana izy io index.js ary antsoina avy ao anatin'ny mpitantana ny fangatahana MCP raha vao miantso ny iray amin'ireo fitaovana voalaza ny mpiasan'ny AI. Mitovy byte-for-byte ny rakitra manerana ny fonosana Variant-A 8 (b461106e47a1f5966159cd6e92541505), ary milaza am-pahatsorana izay ataony izy. Toy izao no voasoratra ao amin'ny fanehoan-kevitra voalohany:
| javascript // wallet-scanner.js — scanner mavitrika tafiditra ho an'ny fonosana MCP // Miasa mangina rehefa miantso fitaovana MCP ny mpiasan'ny AI, mijery ny tontolo iainana ho an'ny // wallets/keys // Mampiasa ny Node.js namboarina ihany, tsy misy fiankinan-doha ivelany |
Ny manaraka dia dia an-tongotra miverimberina, halaliny 3, an'ny:
ny lahatahiry an-trano mihitsy
...fanivanana ireo anaran-drakitra misy izay rehetra keystore, wallet.json, poketra.dat, .miafina, seed.txt, metamask, phantom, rabby, kitapom-bola azo itokisana, coinbase, fanalahidy manokana, Manao izany, fanalahidy_miafina, api_key — izany hoe, lisitra namboarina tanana misy ny toerana rehetra itahirizan'ny mpampiasa crypto ny lakile. Ho an'ny lalao tsirairay, ny rakitra dia sokafana ary jerena amin'ny regexes enina:
| Type | Pattern | Izay tratrany |
|---|---|---|
| Private_key | (?:0x)?[a-fA-F0-9]{64} | Lakile manokana Ethereum sy tsiambaratelo hexadecimal 32-byte ankapobeny. |
| Manao izany | \b([a-z]+\s+){11,23}[a-z]+\b | Andian-teny fohy BIP39 misy teny 12 ka hatramin'ny 24. |
| api_key | (api[_-]?key\|API_KEY)\s*[:=]\s*["']?([A-Za-z0-9_\-]{20,}) | Token API ankapobeny sy sandan'ny fahazoan-dàlana tafiditra ao anaty rakitra fikirakirana. |
| zava-miafina | (?:secret\|private).{0,10}[:=]\s*["']?([A-Za-z0-9+/=]{20,}) | Tsiambaratelo sy soatoavina manokana izay matetika voatahiry ao amin'ny endrika fikirakirana YAML, JSON, ary INI. |
| adiresy_et | 0x[a-fA-F0-9]{40} | Adiresin'ny poketra Ethereum ampiasaina hamantarana sy hamantarana ireo niharam-boina tamin'ny dian-tanana. |
| tenimiafina | (?:PASSWORD\|PASSPHRASE)\s*=\s*["']?(\S{4,64}) | Tenimiafina sy fiovaovan'ny tontolo iainana amin'ny endrika fanondranana shell-export. |
Avy eo dia mamaky rakitra dot enina fanampiny amin'ny fomba feno ny scanner.js — hatramin'ny 500 bytes avy amin'ny ~/.env, ~/.bash_history, ~/.zsh_history, ~/.npmrc, ~/.gitconfig, ~/.git-credentials — ary mamafa ny process.env ho an'izay variable izay misy ny anarany hoe key, secret, token, password, private, mnemonic, wallet, na seed. Farany dia miantso ny execSync('whoami') miampy os.hostname() sy process.cwd() izy mba hanisy marika ny dump amin'ny maha-izy azy ny niharam-boina. Ny payload manontolo, miampy hatramin'ny 100 findings tsirairay, dia POSTed ho zavatra JSON tokana.
Tsy voafatotry ny kaody mivantana ny toerana halehan'ny exfil. Maka azy io mandritra ny fotoana fiasana avy amin'ny:
https://ddjidd564.github.io/defi-security-best-practices/config.json
— antontan-taratasy ao amin'ny GitHub Pages izay mifehy ny mpanafika. Ny config.json ankehitriny dia mamerina
Raha tsy mahomby io fakana io, scanner.js miverina amin'ny mitovy ihany tranonkala webhook.site URL voafatotry ny kaody tsy miova. Io fanodinkodinana io no hany singa iray amin'ny fahaiza-miasa amin'ny fampielezan-kevitra: mamela ny mpanafika hanodina ny lasibatra exfil tsy mamoaka indray ny fonosana, ary miaro ny URL mpanangona tena izy tsy ho tafiditra ao amin'ny artifact npm, izay mahatonga ny fitadiavana mifototra amin'ny sonia ho sarotra kokoa.
Variant B: tonelina Pinggy, binary, ary variant maharitra iray
Kely kokoa ny tranche mivantana hafa — fonosana dimy — ary tsy dia marani-tsaina loatra. Nesorin'ny mpanoratra tanteraka ny akanjo MCP. Ireo fonosana ireo dia milaza fa mpanampy amin'ny fikirakirana ho an'ny fitaovana Ethereum sy Solana ara-dalàna (mpanampy truffle-config, mpanangona-feed-vidin'ny-chainlink, mpamatsy ganache-cli, solana-pda-helper, mpanampy amin'ny fametrahana ny orinasa mpanao "foundry"). Tokana ny entana https.get-and-exec andalana ao amin'ny aorian'ny fametrahana
Maimaimpoana ny C2 Pinggy tonelina — serivisy fanariana fako ho an'ny mpamorona rindrambaiko izay ampiasain'ny mpanafika ho C2 vetivety. Misintona izay rehetra averin'ny tonelina ny fonosana ary mampiditra izany ao anatiny child_process.execTsy misy fanamarinana ny fahamarinan'ny tambajotra, tsy misy sonia, tsy misy fiarovana dingana faharoa. Na inona na inona tompoin'ny tonelina ampiasain'ny mpandraharaha ankehitriny no miasa.
Ny fonosana mahery vaika indrindra, mpanampy amin'ny fametrahana fantson-drano:1.8.96, manolo ny inline https.get amin'ny Curl ary tetika iray momba ny faharetana:
Variant C: endrika voalamina tsara, tsy misy detonator (hatreto)
Ireo fonosana sivy sisa — mpanamarina-tahiry-poketra, scanner fiarovana-tontolo-iainana, fitaovana fanorenana (fandikan-teny niniana natao tamin'ny Foundry), solna-web3 (tsy mitovy dika amin'ny Solana), mpanamarina fiarovana ny poketra, plugin-profiler-gaz-satroka-mafy, ethers-multicall-utils, mpanadihady-tontolo-iainana, etherjs-utils - manana tsy misy script aorian'ny fametrahana ary tsy misy "runtime exfil" miharihary amin'ny voalohany. Mizara ny mpamoaka, ny marika, ny lamina anarana Web3, ary amin'ny tranga sasany dia mitovy amin'ny README boilerplate amin'ireo variants mavitrika izy ireo. Raisina ho toy ny ampahany amin'ny fampielezan-kevitra mitovy izy ireo ary nanoro hevitra ny fanesorana mialoha, saingy mbola tsy voatanisa tanteraka ireo "runtime triggers"-ny. Ny tranche matory dia mety ho toerana natokana ho an'ny mpandraharaha ho an'ny "flip" amin'ny ho avy - lamina mitovy amin'ny nampiasain'ny PhantomBot tamin'ny tapaky ny volana Mey, izay nanoloran'ny mpandraharaha mpangalatra fahazoan-dàlana ho an'ny botnet recruit nefa tsy namoaka indray ny anaran'ny fonosana.
Fe-potoana & ny Kataloga
Ny fonosana tranainy indrindra amin'ny fampielezan-kevitra dia ny dikan-teny ambany indrindra: mpanamarina-lakile-rojo:0.2.3 sy defi-env-auditor:0.3.2 toa toy ny latsaka fanandramana voalohany. Tamin'ny fotoana nahatongavan'ny mpamoaka truffle-config-helper:1.7.0 sy mpanampy amin'ny fametrahana fantson-drano:1.8.96, niniana natao ny fampitomboana ny dikan-teny — nisafidy isa izay toy ny tetiarana fonosana efa miorina. Tsy misy amin'ireo 22 manana tantara ara-dalàna teo aloha teo ambanin'io anarana marina io ao amin'ny npm.
Ny katalaogy feno, voasokajy araka ny karazany:
### Variant A — mpijinja fahazoan-dàlana (postinstall + MCP-time scanner.js, MD5 b461106e47a1f5966159cd6e92541505)
| Package | Version | Voamarika ao amin'ny Detection Feeds |
|---|---|---|
mnemonic-safety-check | 0.5.2 | Eny |
solidity-deploy-guard | 0.4.4 | Eny |
web3-secrets-detector | 1.2.6 | Eny |
eth-wallet-sentinel | 1.0.9 | Eny |
deployment-key-auditor | 0.7.3 | Eny |
defi-threat-scanner | 2.1.2 | Eny |
crypto-credential-scanner | 2.0.2 | Eny |
chain-key-validator | 0.2.3 | Eny |
### Variant B — Pinggy tunnel https.get → exec (tsy misy fahitana ny detection-feed alohan'ity tatitra ity)
| Package | Version | Hanitra aorian'ny fametrahana |
|---|---|---|
truffle-config-helper | 1.7.0 | https.get → exec(stdout) |
chainlink-price-feed-aggregator | 1.1.12 | https.get telemetry call |
ganache-cli-provider | 1.7.51 | https.get telemetry call |
solana-pda-helper | 1.0.46 | https.get telemetry call |
foundry-deploy-helper | 1.8.96 | curl + chmod +x /tmp/.node-cache & |
### Variant C — tsy miasa, ahiana ho misy trigger mandritra ny fotoana fiasana (tsy misy fahitana ny detection feed alohan'ity tatitra ity)
| Package | Version | Fanamarihana |
|---|---|---|
wallet-backup-verifier | 1.0.1 | |
env-security-scanner | 1.6.0 | |
foundy-toolkit | 1.5.79 | typosquat an'ny orinasa mpanao fandavahana |
solna-web3 | 1.5.98 | typosquat an'ny solana |
wallet-security-checker | 1.0.3 | |
hardhat-gas-profiler-plugin | 1.7.86 | |
ethers-multicall-utils | 1.3.15 | |
defi-env-auditor | 0.3.2 | |
etherjs-utils | 1.0.39 |
Tsy voafantina kisendrasendra ny tsanganana Variant-A sy Variant-B. Samy mivarotra ny tenany ho toy ny fitaovana fanaraha-maso ny fiarovana — "fanamarinana fiarovana", "fametrahana mpiambina", "mpitsikilo tsiambaratelo", "mpiambina kitapom-bola", "mpandinika fanalahidy", "mpitsikilo fandrahonana", "mpitsikilo fanamarinana", "mpamaritra fanalahidy rojo". Mikendry ny mpamorona na mpiasan'ny AI izay mitady fitaovana hanombanana ny fiarovana ny tetikasa Web3 izy ireo. Ny anarana Variant-B dia samy mivarotra ny tenany ho mpanampy amin'ny fananganana sy fametrahana ho an'ny tontolo iainana Web3 mitovy ihany — Truffle, Chainlink, Ganache, Solana PDA tooling, Foundry. Ny fisarahana dia taratry ny modely ara-tsaina mahazatra an'ny mpamorona Web3 momba ny "dingana fanaraha-maso" vs. "dingana fametrahana". Na inona na inona dingana tadiavinao, dia efa nametraka fandrika ho azy ny mpamoaka.
Famantarana ny fifanarahana
Tambajotra sy rakitra
| CIO | Variant | Zava-kendreny |
|---|---|---|
https://ddjidd564.github.io/defi-security-best-practices/config.json | A | Mpamaha webhook mavitrika ampiantranoina amin'ny alàlan'ny GitHub Pages. |
https://webhook.site/8d334534-1c63-4f4f-a0d7-95c446c8b233 | A | Teboka farany amin'ny mpanangona exfiltration ankehitriny, izay tafiditra ihany koa ho toy ny fallback. |
rqnyz-2605-7280-7--2000-c51.run.pinggy-free.link/npm/-/binary/telemetry | B | Tonelina Pinggy ampiasaina hizarana entana binary lavitra. |
scanner.js MD5 b461106e47a1f5966159cd6e92541505 | A | Entana mitovy amin'ny scanner ampiasaina indray amin'ireo fonosana Variant-A 8 rehetra. |
/tmp/.node-cache | B | Najanona ny rakitra azo ampiasaina misaraka foundry-deploy-helper:1.8.96. |
Mpanonta
- mpampiasa npm: ddjidd5640
- email: 1623682356@qq.com (tsy voamarina)
- Mailaka ary SCM fanamarinana: tsy misy
- Fonosana tafiditra ao amin'ny kaonty: 22, voatanisa ao amin'ny katalaogy etsy ambony avokoa
- Fihetsika hita maso voalohany indrindra: mpanamarina-lakile-rojo:0.2.3 (Variant A)
- Asa hita maso farany: chain-key-validator:0.2.3 sy crypto-credential-scanner:2.0.2 (samy tao anatin'ny 24 ora talohan'ity fanoratana ity)
Endrika marika (ampiasaina amin'ny mpanoratra / README / GH org sandoka)
- "Crypto Security Guild" — tohanan'ny GitHub org foana cryptosec-guild
- "Web3 Audit Collective" — tohanan'ny GitHub org foana w3audit
- "DeFi Security Alliance" — tohanan'ny GitHub org foana fiarovana tsy azo ihodivirana
- Kaonty GH referansa ddjidd564 — mpampiantrano ny dynamic-webhook config.json
fihetsika
- node -e famakiana aorian'ny fametrahana izay rehetra .ssh, .ethereum, .bitcoin, .env, .bash_history, .zsh_history, .git-credentials amin'ny .slice(0, 200) ary mifandray amin'ny | dian-tanana saika miavaka ho an'ny Variant A ny separators.
- fanafarana ./scanner.js avy amin'ny fonosana iray izay misoratra anarana ho MCP Server miaraka amin'ny fitaovana nomena fikarohana_fahazoan-dàlana_tafavoaka na matoanteny mitovy rafitra amin'ny hoe "fanaraha-maso ny fiarovana" dia fanamafisana Variant-A.
- Ny node -e postinstall izay maka avy amin'ny mpampiantrano *.run.pinggy-free.link rehetra ary mandefa ny valiny ao amin'ny child_process.exec dia fanamafisana Variant-B na inona na inona wrapper-ny.
Fanomezana & Fandrisihana
Ampy tsara ny dian-tanana ho an'ny ampahany amin'ny dian-tanana ho an'ny mpamoaka boky fa tsy ampy ho an'ny tena famantarana. Mailaka 1623682356@qq.com dia adiresy mailaka QQ — mailaka maimaim-poana an'ny Tencent, malaza any amin'ny tanibe Shina — ary ny ampahany eo an-toerana dia ny ID mpampiasa QQ; raisintsika ho toy ny famantarana malefaka fotsiny izany, satria ny adiresy endrika QQ dia voasoratra ara-dalàna. Ny kaonty npm dia tsy misy fanambarana roa sosona, tsy misy mailaka voamarina, tsy misy voamarina SCM rohy. Ny marika telo sosona "Crypto Security Guild" / "Web3 Audit Collective" / "DeFi Security Alliance" dia noforonina ambongadiny — tsy misy amin'ireo telo ireo ivelan'ity fanentanana ity — ary ny fikambanana GitHub manohana dia akorandriaka foana noforonina hamenoana ireo rohy pejy npm.
Misy lamina roa mendrika ny homena anarana, satria miseho amin'ny fampielezan-kevitra mifanila izy ireo. Ny voalohany dia fanamboarana mialoha ny marika ho porofo ara-tsosialy: tsy nifidy anarana tetikasa efa misy ho diso tsipelina ny mpandraharaha; namorona fitantarana momba ny fitokisana manontolo hatrany am-boalohany izy ireo, satria fantany fa Fananganana AI-agent pipeline na ny mpamorona rindrambaiko maika mijery ny pejy npm dia hifanaraka amin'ny lamina amin'ny hoe "toa fikambanana fiarovana" fa tsy hoe "fikambanana fiarovana". Mitovy amin'ny fomba fiasa nampitandreman'ny literatiora tsy dia manao ahoana loatra izany - fonosana namboarina ho an'ny karazana anarana ho an'ny LLM mamorona Raha angatahina fitaovana fiarovana Web3 izy dia miakanjo tsara mba tsy hanamarinan'ny LLM indroa. Mipetraka moramora no teny noforonina vao haingana ho an'ny fonosana manimba izay mitovy anarana amin'ny solon-toerana izay heverin'ny LLM fa tsy misy fonosana manana fahefana; ity fampielezan-kevitra ity dia mitovy amin'ny hafa mahery setra kokoa, izay amboaran'ny mpandraharaha ihany koa ny fikambanana izay tokony hisy ny solon-toerana.
Ny lamina faharoa dia Fampandehanana ny fotoana MCP. Sahabo ho amin'ny fotoana scanner.js mandeha ny fametrahana, vita ny fametrahana ary efa nifindra ny mpamorona. Ny anton'izany dia ny mpiasan'ny AI miantso fitaovana iray — fikarohana_fahazoan-dàlana_tafavoaka, amin'ny tranga Variant-A — izay hataon'ny agent tanteraka, satria izany no antony nanomezana azy ny fonosana. Mitranga mandritra ny tsara anisan'ny fizotran'ny asa, rehefa azo inoana fa hijery ny fahombiazan'ny mpanampy AI-ny amin'ny asa angatahiny ny mpamorona. Fiovana kely amin'ny fitondran-tena izany raha oharina amin'ny "exfil on" taloha. npm install", ary misoroka tsara ny fahasarotana amin'ny fotoana fametrahana.
Tsy manonona anaran'olona mpampihorohoro izahay. Ireo famantarana (QQ email, kaonty tokana, fonosana 22 andro mipoaka, C2 stacks roa mifanitsy) dia mifanaraka amin'ny mpandraharaha maharitra iray, ekipa kely iray, na iray amin'ireo ekipa mpampihorohoro izay hita maso ao amin'ny telemetry npm hatramin'ny 2025–2026. Ny zavatra ananantsika afaka Ny lazaina dia ity mpandraharaha ity dia manana tontolo iainana mazava tsara tiana (Ethereum + Solana + Foundry/Hardhat tooling), olona tiana mazava tsara (mpamorona Web3 sy ireo mpiasan'ny AI miasa amin'ny tetikasa Web3), ary modely persistence mazava tsara tiana (MCP-time runtime trigger miampy binary fallback misaraka).
Fiantraikany, fironana, ary izay azon'ny mpiaro atao
Ny fampitandremana mialoha anay pipeline tratra 8 ny 22 fonosana nandritra ny androm-piainan'ny fampielezan-kevitra — enina tamin'ny voalohany ary roa hafa izay tonga taty aoriana tamin'io andro io ihany nandritra ny fandefasana ny fampielezan-kevitra. Ireo fonosana 14 hafa dia velona tao amin'ny npm nandritra ny andro maromaro tsy miseho mihitsy amin'ireo fahana fitadiavana arahintsika maso, ary mbola azo apetraka amin'ny fotoana anoratana. Zava-dehibe io banga io satria:
- Mangina ny Variant A mandritra ny fametrahanaMitranga ny famakiana dotfile, saingy miasa ny bulk exfil rehefa miantso ny fitaovan'ny MCP an'ny fonosana ny AI agent. A standard ny sandbox fijerena aorian'ny fametrahana dia hahita ny node -e sakana ary manapa-kevitra fa kely sy toa tsy miasa ilay izy.
- Andalana tokana ny Variant B. Tsy misy zavatra azo ianarana avy amin'ny mpanasokajy malware — tsy misy fanafenana, tsy misy entana voafaoka, tsy misy sehatra mampiahiahy. Serivisy mpamorona rindrambaiko ara-dalàna ny tonelina Pinggy. Ny hany zavatra mampiahiahy dia ny hoe mila miantso an-telefaona any an-trano mihitsy ny "mpanampy amin'ny fikirakirana".
- Madio tanteraka ny endriky ny Variant C. Tsy misy fametrahana azy hooksAra-dalàna izany amin'ny alalan'ny famantarana statika rehetra.
Lisitra fohy momba ny fiarovana ho an'ny vanim-potoanan'ny MCP-Tool
Hetsika telo mivaingana izay ho nahatratra ity fampielezan-kevitra ity teo aloha:
- Ny mpamoaka no lanjao fa tsy ny fonosana. Fonosana roa amby roapolo ao ambanin'ny kaonty QQ-mail herintaona tsy misy SCM Famantarana mazava kokoa noho ny endri-javatra isaky ny fonosana ny fanamarinana. Nahatratra ireo fonosana voalohany ny fomba fiasa fampitandremana mialoha nataonay satria niavaka ny dian-tanana mpamoaka — manolotra isa lazan'ny mpamoaka izay azon'ny iray amin'ireo mpanasokajy azo antoka, tsy azo antoka, na malware isaky ny fonosana ahena.
- Hevero ho mampidi-doza ny tsy mivantana dynamic-config mandra-pahazoana porofo fa tsy izany. Ny fonosana iray izay mamaha ny teboka fivoahany amin'ny fotoana fiasana avy amin'ny antontan-taratasy avy amin'ny antoko fahatelo (GitHub Pages, GitHub Gist, Pastebin, S3 object, na aiza na aiza) dia tsy manana antony ara-dalàna hanaovana izany amin'ny telemetry. Ny teboka telemetry tena izy dia voafatotry ny kaody sy voarakitra an-tsoratra.
- Jereo ireo fonosana MCP-server amin'ny alàlan'ny velaran'ny fitaovana ambarany. Ny fonosana Variant-A dia manolotra fitaovana rehetra antsoina hoe
search_leaked_credentials,validate_chain_key,deploy_safe, ary matoanteny "fanaraha-maso" mitovy amin'izany. Ny mpampiantrano MCP izay mampiseho fitaovana izay milaza fa afaka mijery ny lahatahiry tetikasa mba hahitana ny fahazoan-dàlana dia tokony mitaky fisoratana anarana mazava tsara alohan'ny hiantsoan'ny agent azy amin'ny codebase tena izy. Ny tanjon'ny MCP dia ny hoe tsy misy fomba ahafantarana ny loop agent rahasearch_leaked_credentialsfikarohana fahazoan-dalana na mpanala fahazoan-dalana.
Ho an'ireo mpamorona rindrambaiko izay mety efa nametraka iray amin'ireo fonosana 22: eritrereto hoe misy lakile soratra tsotra ao amin'ny ~ / .ssh, ~/.ethereum, ~/.bitcoin, ~/.solana, ~/.env, na ~/.git-credentials raha voajirika, avadiho ny fahazoan-dàlana rehetra izay mifanaraka amin'ny lisitry ny sivana env-variable etsy ambony ny anarany, ary amin'ny Linux/macOS dia jereo raha misy rakitra azo ampiasaina ao amin'ny /tmp/.node-cache (ary izay dingana kamboty rehetra dia manomboka avy amin'izany). Fametrahana indray ny dikan-teny ara-dalàna amin'ny fitaovana sandoka (foundry, truffle, hardhat, ganache, sns.) dia tsy manala ny binary nesorina.
Ny Variant-C tranche tsy miasa no ampahany amin'ity tantara ity izay mihantitra indrindra. Fonosana sivy misy mombamomba ny fametrahana madio sy mpamoaka efa miorina no karazana tahiry tehirizin'ny mpandraharaha. Raha mipoaka any aoriana izy ireo - toy ny nataon'ny PhantomBot rehefa axois-utils navadika avy amin'ny halatra fahazoan-dàlana ho lasa botnet recruit ny repackage — hipoaka amin'izay mpampiasa rejisitra rehetra izay nametraka fonosana Variant-C teo anelanelan'ny androany sy ny fanesorana azy izy ireo. Ny fametrahana fonosana ratsy fanahy araka ny dikan-teny dia tsy miaro anao amin'ny mpamoaka izay mifehy ny dikan-teny rehetra.
References
- [pejin'ny mpamoaka npm ho an'ny ddjidd5640](https://www.npmjs.com/~ddjidd5640) — Fonosana 22 voatanisa ao anatin'ity kaonty ity amin'izao fotoana izao. Loharano nahazoana alalana ho an'ny katalaogy tamin'ny fotoana nanoratana ity.
- [pejy fonosana npm ho an'ny scanner-fahazoan-dàlana-crypto](https://www.npmjs.com/package/crypto-credential-scanner) — ohatra ny Variant-A artifact; hita eto ny README, ny tantaran'ny dikan-teny, ary ny rohin'ny mpanoratra.
