TL, DR
nolimit-agent dia fonosana npm izay ny dikan-teny navoakany — 1.0.299 ka hatramin'ny 1.0.307, navoaka nandritra ny efatra andro nanomboka ny 2026-06-26 ka hatramin'ny 2026-06-29 — samy mitondra rafitra feno momba ny phishing sy ny fandefasana mailaka betsaka ao anaty lahatahiry miafina sy voasarona tanteraka. Amin'ny dikan-teny rehetra dia mifarana amin'ny .ad/x0.js, iray amin'ireo rakitra ~86 ao anaty lahatahiry antsoina hoe dotfile izay mitahiry blobs string-array javascript-obfuscator eo amin'ny 4,200 eo ho eo; mitovy ny endriky ny install hook sy ny fidirana manerana ny andalana.
Ao ambadiky ny fanafenana dia misy Fikorianan'ny kaody fitaovana Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) fa rehefa ankatoavina ny kaody iray dia mamaky ny boaty fidirana Outlook an'ny niharam-boina ary mandefa entana amin'ny alàlan'ny Microsoft Graph API; motera fandefasana SMTP sy SMS marobe tarihin'ny lisitry ny mpandray nomen'ny mpandraharaha; môdely hafatra sandoka marika; fananganana rohy open-redirect; ary fanaraha-maso amin'ny alàlan'ny DNS-over-HTTPS, WHOIS, ary fikarohana kaody GitHub. Feo fifamoivoizana runtime mankany amin'ny fotodrafitrasan'ny mpandraharaha ao amin'ny api[.]nolimitent[.]xyz:4100.
Voakasika: izay rehetra mametraka dikan-teny rehetra amin'ny fonosana, ary izay rehetra Kaontera Microsoft 365 izay ankatoavin'ny tompony ny kaody fitaovana aseho amin'ny alalany. Ny dikan-teny farany indrindra, 1.0.307, no tag farany indrindra ary mitondra ny fahafaha-miditra amin'ny boaty mailaka kaody fitaovana mitovy — tsy voafetra ho an'ny dikan-teny taloha iray ihany ny kaody mampidi-doza.
Hamafiny: manakianaEkosistema voakasik'izany: npmNy famantarana iray tokony hotadiavina voalohany: ny mpampiantrano api[.]nolimitent[.]xyz.
Ny fanafihana: ny fomba fiasany
Akorandriaka tsara tarehy eo ambonin'ny entana miafina
Maneho endrika tsotra fotsiny ilay fonosana. package.json manambara aorian'ny fametrahana farango –
text postinstall: node scripts/postinstall.js — ary amin'ny fizahana scripts/postinstall.js tsy mampidi-doza: mametraka baiko Windows shim izy ary mivoaka. Tsy ny toerana misy ny fihetsika no misy ny hook. Ny tena sy aho samy manondro ny saha .ad/, lahatahiry iray izay ny teboka eo alohany no misoroka azy tsy ho amin'ny toerana tsy dia mahazatra loatra ls vokatra, ary ny votoatiny dia voasaron'ny milina mitovy. Ny scanner static dia nanisa ~4,293 ny enta-mavesatra voakodia manerana ny .ad/ andiana môdioly; javascript-obfuscator dia fiankinan-doha amin'ny fampandrosoana nambara, izay mifanaraka amin'ny endrika string-array-rotation an'ireo rakitra voangona.
Ny fisarahana no famantarana voalohany mendrika ny homena anarana: madio ny "install hook" izay hodinihin'ny mpandinika, raha toa kosa ka mipetraka eo amin'ny lahatahiry iray miala eo ny kaody fiasa, miafina sy tsy mazava, ka tsy tratra raha tsy miasa ny teboka fidirana aondrana.
Fidirana amin'ny boaty mailaka amin'ny kaody fitaovana Microsoft 365
Ny modely .ad/x12.js no mitondra ny fahaiza-manao manan-danja indrindra amin'ny rafitra. Izy no mitarika ny fanomezana alalana fitaovana Microsoft 365 OAuth 2.0:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode Ny fanomezana kaody fitaovana dia fikorianan'ny Microsoft ara-dalàna natao ho an'ny fitaovana voafetra amin'ny fidirana: mangataka kaody ny serivisy iray, ny mpampiasa dia manoratra izany kaody izany ao amin'ny microsoft.com/devicelogin` amin'ny fitaovana faharoa ary manaiky, ary mahazo token ny serivisy mangataka. Rehefa an'olon-kafa ankoatra ny tompon'ny boaty mailaka ny serivisy mangataka, dia manome token ho an'io antoko fahatelo io ny fankatoavana. Rehefa azo ny token, Mamaky mivantana ny boaty mailaka amin'ny alàlan'ny Microsoft Graph ny .ad/x12.js`:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients The $select Maka ny adiresin'ny mpandefa avy ao amin'ny boaty fidirana sy ny adiresin'ny mpandray avy amin'ny entana nalefa ny projections — ny akora fototra amin'ny fanaovana sarintany ireo iraka ifandraisan'ny niharam-boina. Izany dia fidirana amin'ny alalan'ny fanekena fa tsy amin'ny alalan'ny fakana tenimiafina: tsy misy fahazoan-dalana hidirana amin'ny phish amin'ny heviny mahazatra, fa kaody fotsiny ihany mba hahazoana fankatoavana.
Môtera fandefasana mailaka sy SMS marobe miaraka amin'ny môdely fisandohana
Manodidina ny fidirana amin'ny boaty paositra dia misy mailaka. Mandefa rakitra angona azo ovaina amin'ny alalan'ny mpandraharaha ny fonosana — lisitry ny mpandefa (senders.txt, smtps.txt) ary rakitra môdely (functions.txt) — izay ny adiresiny dia azo vakiana ho toy ny taratasy fangatahana ho an'ny fisandohana anarana: security@apple.com, login-fanamarinana, serivisy OAuth, faktiora, ary mpandefa fampandrenesana kaonty manohitra ny yourdomain.com soloin'ny mpandraharaha ny finday. Ny lafiny SMS dia mitondra telefaonaebook ary ny firafitry ny vavahady. Ny mailer dia mamerina ny lisitry ny mpandray nomen'ny mpandraharaha ary mandefa amin'ny alàlan'ny relay SMTP voamboatra.
Mba hampifandraisana ireo rohy, .ad/xu.js sy .ad/xq.js manorina URL izay manararaotra ny tsy fahazoana antoka momba ny famakafakana URL sy ny fanaraha-maso ny tsindry. Ireo lamina sandoka dia mametraka fahefana toa azo itokisana alohan'ny @ ka ny tovona hita maso dia tsy mitovy amin'ny tena mpampiantrano:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Maka ireo favicons avy amin'ny mpanjifa lehibe sy enterprise mpamatsy mailaka — teknika mahazatra hanehoana bitsika na pejy fipetrahana mandresy lahatra misy marika mpamatsy.
Fanaraha-maso ny lasibatra sy ny fotodrafitrasa
Môdioly maromaro no manangona ny votoatiny alohan'ny handefasana azy. .ad/x0.js mamaha anarana amin'ny alàlan'ny DNS-over-HTTPS (dns[.]google/resolve), .ad/xa.js fangatahana WHOIS (api[.]whois[.]vu), Ary .ad/x9.js miasa amin'ny fikarohana kaody GitHub (api[.]github[.]com/search/code?q=) — lamina mifanaraka amin'ny fahitana ny fikirakirana ny mpizara mailaka sy ny fahazoan-dàlana SMTP hita mba hamahanana ny lisitry ny relay. .ad/xs.js mikaroka ny index CDX an'ny Wayback Machine.
Fibaikoana sy fifehezana
Manerana ny andiany tsy mazava, .ad/x4.js manondro ny teboka farany amin'ny mpandraharaha:
text http://api[.]nolimitent[.]xyz:4100 Mizara ny azy ny mpampiantrano tsy misy fetra marika miaraka amin'ny anaran'ny mpamoaka azy manokana, ary ny : 4100 Ny port no fantsona antso an-trano an'ny framework. Ity no famantarana maharitra indrindra ho an'ny mpiaro: fonosana, toeram-piasana mpamorona, na build agent mahatratra api[.]tsy voafetra[.]xyz efa nampiasa ity kaody ity.
Famantarana ny marimaritra iraisana
Ireto ambany ireto ny mari-pamantarana azon'ny mpiaro ampiasaina — maka rakitra hidy, manakana mpampiantrano, na mikaroka proxy sy DNS logs. Miseho ireo endpoint Microsoft satria manararaotra azy ireo ny framework; tsy ratsy fanahy izy ireo ary tsy tokony hosakanana.
Ireo rakitra voaray nandritra ny triage:
- fonosana/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- fonosana/fonosana.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Famantarana ho an'ny mpampiasa Microsoft 365 mendrika hotadiavina tsy miankina amin'ity fonosana ity: fidirana mahomby amin'ny kaody fitaovana arahin'ny famakiana Graph avy hatrany mailFolders/inbox sy mailFolders/sentimes, indrindra avy amin'ny session tsy fantatry ny mpampiasa.
Fitondran-tena voamarika sy ny fanombanana
Ny zavatra hita maso dia misaraka amin'izay ao ambadik'izany.
Zava-misy azo tsikaritra: navoaka teo ambanin'ny anarana ny fonosana nolimit-agent miaraka amin'ny adiresy Gmail tsy voamarina ary tsy misy tahiry loharano mifandray; ny azy package.json mamaritra azy ho "mpandefa mailaka mandroso" ary manisy marika azy amin'ny ekipa mena teny fanalahidy; ny kaody runtime dia mifantoka amin'ny toerana miafina sy tsy azo antoka .ad/ lahatahiry izay misy ny toolchain (javascript-obfuscator) dia fiankinan-doha nambara; ary ny mpampiantrano antso an-trano api[.]tsy voafetra[.]xyz mampiasa indray ny tsy misy fetra marika. Fonosana tokana misy fotodrafitrasa iray fehezin'ny mpandraharaha ity — fa tsy vondrona fonosana maro, ary tsy misy fifanindriana amin'ny fampielezan-kevitra voalaza teo aloha.
The ekipa mena Tsy manova ny fanasokajiana ny teny fanalahidy. Ny fitaovana fiarovana ara-dalàna izay mandefa fahaiza-manao roa sosona dia manao izany amin'ny fomba mangarahara: loharano azo vakiana, lasibatra omen'ny mpandraharaha, ary tsy misy antso an-tariby miafina. Ity fonosana ity dia mamadika ny tsirairay amin'ireo toetra ireo - ny kaody fiasany dia voasarona sy miafina, ary manondro ny fotodrafitrasan'ny mpandraharaha raikitra fa tsy ny lasibatra omen'ny mpampiasa. Ny fitondran-tena, fa tsy ny marika, no mifehy ny didim-pitsarana, izay ratsy.
Tsy voalaza eto ny fikasana. Ny lahatsoratra dia mamaritra ny asan'ny kaody — mangataka kaody amin'ny fitaovana, mamaky boaty mailaka amin'ny alàlan'ny Graph, mandefa mailaka betsaka amin'ny alàlan'ny relay voalamina, beacon mankany amin'ny mpampiantrano raikitra — ary mamela ny antony manosika tsy voalaza.
Fiantraikany, fironana ary torolàlana ho an'ny mpiaro
Misy fiantraikany roa lehibe eo amin'ny fotoana fametrahana. Voalohany, izay mpamorona na CI agent mametraka nolimit-agent mitondra ny rafitra mankany amin'io mpampiantrano io ary mametraka ny antso an-tariby mankany amin'ny api[.]tsy voafetra[.]xyzFaharoa, ny fahafahan'ny kaody fitaovana dia miitatra mihoatra ny mpampiantrano fametrahana: ny boaty mailaka Microsoft 365 izay ampirisihina ny tompony hanaiky ny kaody aseho dia vakiana mivantana amin'ny alàlan'ny Graph, tsy misy tenimiafina miampita ny tariby mihitsy.
Ny fironana mivelatra kokoa dia ilay miditra lalina ao anatin'ny rafitra. Ny phishing amin'ny alalan'ny kaody fitaovana (AiTM) dia nifindra avy amin'ny fotodrafitrasa phishing mahaleo tena ho lasa fonosana ao amin'ny rejisitra ho an'ny daholobe — fizarana ataon'ny npm install fa tsy amin'ny alalan'ny rohy alefa amin'ny alalan'ny mailaka. Ny famonosana ny kitapo amin'izany fomba izany dia manova ny olan'ny fampiantranoana sy ny fanaterana rohy an'ny mpandraharaha phishing ho lasa azon'ny rejisitra, ary manafina ny kaody miasa ao ambadiky ny "install hook" madio sy ny lahatahiry voasakana antsoina hoe dotfile izay tsy mila mijery haingana amin'ny tanana.
Ho an'ny mpiaro:
- Famerenana ny rejisitra sy ny fiankinan-doha. Karakarao ny fonosana izay tena/aho Miova ho lahatahiry miafina (misy teboka mialoha) misy kaody avy amin'ny antoko voalohany voasarona mitovy ho mampidi-doza amin'ny rafitra fotsiny, na dia toa madio aza ny hook fametrahana. Ny fampihenana dia tsy fanakorontanana — vavahady amin'ny sonia decoder string-array, fa tsy amin'ny halavan'ny andalana.
- Fanamafisana ny Microsoft 365. Fero ny fikorianan'ny fanomezan-dàlana amin'ny kaody fitaovana amin'ny alàlan'ny Conditional Access raha tsy ilaina amin'ny asa izany; ny fanomezana kaody fitaovana dia vector AiTM fantatra ary mahalana vao ilain'ny mpampiasa ifanakalozan-kevitra. Fanaraha-maso ny fidirana amin'ny kaody fitaovana arahin'ny fanisana avy hatrany ny boaty mailaka Graph.
- Fitihana tambajotra. Sakanana sy ampitandremana api[.]tsy voafetra[.]xyzMitadiava log DNS sy proxy mivoaka ho azy manerana ny fotodrafitrasan'ny mpamorona sy ny fananganana.
- Fitihana ny lalan'ny paositra. The mpampiasa@mpampiantrano Endrika URL sandoka (azo itokisana[.]com@…) dia hita ao amin'ny vavahady mailaka sy ny proxy; rohy marika izay mialoha ny singa fahefana @.
Efa tao amin'ny npm ilay fonosana tamin'ny fotoana nanaovana ny fanadihadiana. Satria ny rafitra miafina dia mandrakotra ny andiany dikan-teny navoaka manontolo sy ny ankehitriny farany Ny tag (1.0.307) dia manana ny fahafaha-manao "device-code", ny fanesorana ny rejisitra dia tokony handrakotra ny dikan-teny rehetra, fa tsy ny dikan-teny taloha tokana ihany.
