TL, DR
Teo anelanelan'ny 1 Aprily sy 3 Mey 2026, mpamoaka npm tokana, user0001, voasoratra anarana amin'ny adiresy Gmail tsy voamarina tanvisoul9@gmail.com, nanosika mangina fonosana enina misy anarana tsy dia misy dikany loatra sy toa fotodrafitrasa: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, ary node-env-resolve.
Ny dikan-teny roa farany indrindra amin'ny node-env-resolve, 1.0.7 sy 1.0.8, dia voamariky ny rafitra Malware Early Warning (MEW) an'ny Xygeni tamin'ny 2 Mey ary voamarina fa mampidi-doza tamin'ny 3 Mey.
Hafahafa amin'izay tsy maha-izy azy ilay implant: tsy misy bots Telegram, tsy misy antso an-tariby OAST, tsy misy obfuscation, ary tsy misy ezaka haka ny fahazoan-dàlana AWS amin'ny fotoana fametrahana. Fa kosa, postinstall.js Mametraka fidirana Windows boot-persistence, mampiasa ny fanalahidy HKCU Run izay manomboka wscript.exe manohitra ny VBS stub. Avy eo dia mamoaka agent Node.js misaraka izay mampivondrona modules ho an'ny fakana mikrôfôna, halatra tantaran'ny navigateur, fakana pikantsary, ary simulation totozy/fitendry.
Antsoinay hoe cluster ity DevTap, rehefa vita ny kitapo dia avela hiasa amin'ny milina ampiasain'ny mpamorona rindrambaiko izy io.
Efa niasa tao amin'ny npm avokoa ireo fonosana enina ireo tamin'ny fotoana nanoratana ity lahatsoratra ity. Efa natolotray tany amin'ny fantsona fanararaotana an'ny rejisitra izy ireo. Tokony hesorin'ireo mpiaro ny fametrahana rehetra avy amin'ny mpamoaka rindrambaiko miandry ny fanesorana azy.
Ny Vondrona: Fonosana enina, Mpamoaka iray
Ny kaonty mpamoaka user0001 tsy voamarina. Tsy misy izany SCM fanamarinana, tsy misy mailaka mifamatotra amin'ny sehatra, ary tsy misy tantara teo aloha. Ny kaonty Gmail tanvisoul9 tsy miseho amin'ny firaketana mpamoaka npm hafa hitanay.
Ireo fonosana enina rehetra dia samy manana ny mpikojakoja iray ihany, navoaka avy amin'ny kaonty iray ihany, ary mizara mitovy. package.json boilerplate. Tsy misy repository, tsia homepage, ary tsia description lava kokoa noho ny andalana tokana.
Ny paikady fanomezana anarana no tena mahaliana. Tsy toy ny fampielezan-kevitra mahazatra momba ny fiankinan-doha na ny typosquat, tsy misy amin'ireo anarana ireo mikendry tranomboky manokana. Fa kosa, namboarina mba hanjavona ao anaty tena izy izy ireo. package.json or npm ls fivoahana.
| Package | Navoaka voalohany | Latest Version | dikan | Anjara asa ao amin'ny vondrona |
|---|---|---|---|---|
| centrallogger | 2026-04-01 12:46 UTC | 1.0.9 | 5, avy amin'ny 1.0.5 ka hatramin'ny 1.0.9 | Fonon'ny "fitaovana fandrindrana logging" an'ny Cluster; navoaka voalohany indrindra |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Fonony mpanampy DOM ankapobeny |
| node-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Manahaka ny fianakaviana node-fetch |
| mpampitohy-agent | 2026-04-25 05:12 UTC | 1.0.0 | 1 | "Agent" anarana ankapobeny |
| node-gyp-runtime | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Manahaka ny fitaovana fanamboarana môdioly teratany |
| node-env-resolve | 2026-04-25 05:21 UTC | 1.0.9 | 10, avy amin'ny 1.0.0 ka hatramin'ny 1.0.9 | Pipette mavitrika; implant feno |
Anarana toy centralogger, node-fetch-lite, ary node-gyp-runtime dia natao mba tsy hampiady hevitra amin'ny famerenana kaody. Toy ny zavatra efa ao anatin'ny hazo fiankinan-dohan'ny tetikasa izy ireo.
Miaraka amin'ny mpamoaka vaovao tsy voamarina sy rohy fitahirizana tsy hita, dia mamorona lamina azo fantarina izy ireo: mpilalao iray mamafy anarana tsy dia misy fiantraikany firy ao amin'ny rejisitra, avy eo dia miverimberina haingana amin'ilay manan-danja. Amin'ity tranga ity, node-env-resolve nahazo dikan-teny folo tao anatin'ny valo andro.
Inona no mitranga ao amin'ny Windows Dev Box
Ny rojo ratsy fanahy node-env-resolve:1.0.8 fohy, mivantana, ary manankarena endri-javatra tsy mahazatra ho an'ny RAT npm.
Fametrahana aorian'ny fametrahana: Faharetana sy Agent tsy miankina
package.json manambara "install hook" tokana:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js manao zavatra telo araka ny filaharany.
Voalohany, mametraka lahatahiry fametrahana ivelan'ny hazo npm izy. Kajy ny lalana mandritra ny fotoana fanombohana ao amin'ny script toy izao INSTALL_DIRAvy eo dia miasa anatiny izy execSync('npm install --production --silent ...') ao anatiny mba hisintonana ny fiankinan-doha amin'ny fotoana fiasan'ny implant. Izany dia mametraka ny agent amin'ny kapila any amin'ny toerana iray ao amin'ny boky torolalana node_modules tsy ho hita ny fanaraha-maso.
Faharoa, manoratra VBS launcher izy ary misoratra anarana amin'ny boot persistence:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe dia ny Windows Script Host, binary Microsoft nosoniavina izay miasa .vbs rakitra tsy misy varavarankely console. Izany dia mialohacisnahoana no ankafizina amin'ny autorun stubs izy io.
Misy ihany koa ny fifanarahana reg delete lalana ao anatiny src/index.js, izay midika fa natao ho azo esorina mora foana ilay zavamaniry rehefa avy nobaikoin'ny mpampiasa.
Fahatelo, miteraka dingana misaraka ho an'ny zaza izy io:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })Misy antsipiriany roa manan-danja eto.
SERVER_URL vakiana avy amin'ny tontolo iainana. Vokatr'izany, azo amboarina isaky ny fametrahana ny teboka farany C2 ary tsy ampidirina ao anaty fonosana. Io safidy kely nefa niniana natao io dia mandresy ny ankamaroan'ny static-IOC sweep.
Ary koa, ny zaza teraka dia mandova ny tontolo iainana feno an'ny ray aman-dreny. Noho izany, izay rehetra NPM_TOKEN, AWS_*, GITHUB_TOKEN, na ny socket SSH-agent izay hita ao amin'ny akoran'ny mpamorona rehefa mandeha ny fotoana fametrahana mankany amin'ny fitadidian'ny agent maharitra ela.
Izay alefan'ny masoivoho
Ny bundle src/ Ny hazo dia misy môdely telo izay ny anarany fotsiny no mitantara ny tantara: audioCapture.js, browserHistory.js, ary systemInfo.js.
Ny lisitry ny fiankinan-doha amin'ny runtime, voavaha nandritra ny dingana npm install, manamarina azy ireo.
Ity fomba fiasa ity dia mamadika ny trangan-javatra mikorontana ho valinteny voafehy.
Tsy mamaly an-jambany fotsiny ireo ekipa fa miasa amin'ny laharam-pahamehana mazava sy fanitsiana haingana.
| fiankinan-doha | Inona no antony amin'ity toe-javatra ity |
|---|---|
| pikantsary-desktop | Pikantsary tsy tapaka |
| @nut-tree-fork/nut-js | Fanaovana simulation/fidirana mandeha ho azy amin'ny totozy sy fitendry |
| better-sqlite3 | Famakiana mivantana ny angon-drakitra SQLite momba ny tantaran'ny Chrome, Edge, ary Firefox |
| adm-zip | Fanangonana ireo zavatra voaangona alohan'ny hanesorana azy amin'ny sivana |
| maranitra | Fanovana habe/fanesorana pikantsary sy zavatra vita amin'ny sary |
| mpanjifa socket.io | Fantsona C2 roa sosona maharitra |
| ID-milina-node | Dian-tanana azo antoka isaky ny mpampiantrano ho an'ny fanaraha-maso ny niharam-boina |
systemInfo.js antso os.networkInterfaces() ho an'ny fakana dian-tanana fanampiny alohan'ny jiro voalohany.
Nahoana ny fakana feo no famantarana miavaka
Ny ankamaroan'ny npm RAT izay karakarainay ao amin'ny MEW dia mijanona amin'ny halatra miafina amin'ny fotoana fametrahana. Mamaky izy ireo ~/.npmrc, vakio ~/.aws/credentials, kikisana process.env, POST mankany amin'ny webhook, ary mivoaha. Mifanaraka amin'ny modely ara-toekarena smash-and-grab izany. Fohy ny antsasaky ny androm-piainan'ny fahazoan-dàlana, ary mila mahazo vola haingana ny mpanafika.
node-env-resolve dia samy hafa endrika.
Napetraka ny persistence mba ho tafavoaka velona rehefa reboot. Miasa tsy misy fifandraisana ny agent ary maharitra ela eo ambanin'ny wscript.exeNy fitaovana entiny dia natao ho an'ny fisiana ao amin'ny milina ampiasain'ny mpamorona rindrambaiko, fa tsy ho an'ny fakana sy fialana: fandraketana mikrôfôna, mpamily fitendry/totozy, fidirana feno amin'ny tantaran'ny navigateur, fakana pikantsary, ary fantsona Socket.IO interactive miverina amin'ny C2 azo amboarina.
Ny fakana mikrôfôna indrindra no fetra tsy vitan'ny ankamaroan'ny malware npm.
Miha-mitombo hatrany ny toeram-piasana ampiasain'ny mpamorona rindrambaiko mba handraisana antso an-tariby, hiresahana amin'ny mpanjifa, hifanakalozan-kevitra momba ny famolavolana, ary handraisana antso an-tariby. Ny fitaovana iray mirakitra ny mikrôfôna dia tsy tena manaraka ny npm token an'ny mpamorona rindrambaiko. Fa manaraka izay lazain'ny mpamorona rindrambaiko eo anoloan'ny solosaina finday.
Izany fahaiza-manao izany, miampy ny tsy fisian'ny fanafenana sy ny tsy fisian'ny fanesorana mirenty mandritra ny fametrahana, dia toy ny fametrahana mialoha ho an'ny fidirana kendrena fa tsy halatra fahazoan-dàlana amin'ny fomba fanararaotana.
Tsy avy amin'izany irery ihany no anambaranay ny maha-azo itokiana azy. Marihinay ny mombamomba ny asa.
Ny cadence miverimberina valo andro amin'ny node-env-resolve no antsipiriany manan-danja indrindra amin'ny fampandehanana ny fandaharam-potoana.
Tsy fametrahana "fry-and-forget" fotsiny ity. Ny mpamoaka lahatsoratra dia mitazona mavitrika ny "dropper", izay mazàna midika zavatra roa. Na mampifanaraka izany amin'ny tontolo fitsapana izy ireo alohan'ny fametrahana azy amin'ny ankapobeny, na efa manana telemetry fametrahana miverina izy ireo ary mamaly izany.
Tsy nisy fiovana firy ireo fonosana dimy hafa taorian'ny famoahana voalohany azy ireo. Mifanaraka amin'ny lamina "dingana iray, avelao ny anarana" ho an'ny vondrona mpanohana izany raha toa kosa ny ezaka ataon'ny injeniera dia mifantoka amin'ny fonosana izay manao ny asa.
Fanondroana: Fanondroana kely, tsy misy didim-pitsarana hentitra
Public OSINT Manify ny famantarana, ary tsy hanitatra azy ireo izahay. Ny zavatra hita maso:
Ny kaonty Gmail tanvisoul9 mitovy amin'ny anarana Aziatika Atsimo hoe "Tanvi." Famantarana malemy ity. Tsy famantarana ny Gmail handles, ary ny ao aoriana soul9 ankapobeny. Tsy azo antoka ny manatsoaka hevitra momba ny jeografia avy amin'ny mailaka eo an-toerana fotsiny.
Tsy dia miavaka loatra ny endriky ny kaody ao amin'ny Node.js: standard antso an-tariby avy amin'ny tranomboky toy ny os, child_process, spawn, ary reg addTsy misy fanafenana, tsy misy fihodinan'ny tady, ary tsy misy lojika manohitra ny debug. Mahay mampiasa ny Windows registry primitives sy ny detached-child-process orchestration ny mpanoratra, saingy toa tsy mitady fomba fiasa miafina izay azo inoana fa ampiasainy.
Tsy misy intsony ny fiankinan-doha ary efa fantatra tsara: screenshot-desktop, nut-js, better-sqlite3, ary socket.io-clientTsy misy protocole manokana, tsy misy C2 stack naverina nohavaozina hatrany am-boalohany, ary tsy misy tetika fikirizana vaovao ankoatra ny boky fianarana. Fanalahidy HKCU RunMpampiditra mahay ity, fa tsy mpanoratra fitaovana.
Tsy nahita tady tsy amin'ny teny anglisy, fanehoan-kevitra tafiditra, angon-drakitra momba ny toerana, na dian-tanana avy amin'ny faritry ny ora navoakan'ny compiler tao anatin'ireo zavatra navoaka izahay.
Nojerenay raha misy fifandimbiasan'ny kaody amin'ireo fampielezan-kevitra teo aloha izay efa arahinay maso, anisan'izany Shai Hulud, Olivion, Buildkite, ary ny heibai vao haingana / claude-code-best Fianakaviana klôna Anthropic-CLI. Tsy nahita izahay: tsy nisy lamina C2 nozaraina, tsy nisy fisehon'ny rakitra nozaraina, ary tsy nisy fiteny nozaraina.
Ny tsy holazainay dia: fa mpisehatra ao amin'ny fanjakana ity, vondrona fantatra, na mifamatotra ara-jeografika amin'ny firenena manokana.
Mifanaraka amin'ny ekipa kely sy antonony ny fahaizany manao fanaraha-maso eo amin'ny sehatry ny mpamorona sy ny toeram-piasana. Azo inoana fa noho ny antony ara-bola izany amin'ny alàlan'ny fampiasana ny fidirana any aoriana, fa mety ho noho ny fanaraha-maso ho toy ny serivisy ho an'ny mpividy hafa.
Misy teboka roa tsy mivantana manohana izay milaza hoe: ny fisorohana ny mekanika fanesorana ny fidiran'ny angona izay mety handoro haingana ny vondrona, toy ny bots Telegram, oastify.com, na canarytokens, ary ireo anaran'ny fonosana tsy dia misy dikany loatra, izay mankasitraka ny fametrahana lava sy mangina fa tsy ny fitomboan'ny habetsahana vetivety.
Famantarana ny fifanarahana sy ny fahitana
| Fonosana sy Mpamoaka | |
|---|---|
| Field | sarobidy |
| mpamoaka npm | user0001 |
| Mailaka mpamoaka | tanvisoul9@gmail.com, tsy voamarina |
| Packages | centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, node-env-resolve |
| Voamarina fa ratsy fanahy | node-env-resolve@1.0.7, node-env-resolve@1.0.8 |
| Zavatra namboarin'ny mpampiantrano | |
|---|---|
| Type | sarobidy |
| Fanalahidin'ny faharetana | HKCU\Software\Microsoft\Windows\CurrentVersion\Run |
| Sanda faharetana | Anaran'ny variable; angon-drakitra amin'ny endrika wscript.exe " \\ .vbs" |
| Mametraha farango | postinstall: node postinstall.js ao amin'ny manifest fonosana |
| Môdiola fametrahana | src/audioCapture.js, src/browserHistory.js, src/systemInfo.js |
| Laharan'ny fizarana | Voavaha ivelan'ny node_modules an'ny tetikasa ny INSTALL_DIR; toerana napetraky ny postinstall.js tamin'ny fotoana fametrahana |
| Network | |
|---|---|
| Type | sarobidy |
| Fitaterana C2 | socket.io-client, fantsona bidirectional maharitra |
| Teboka farany C2 | Nomena ny agent tamin'ny alalan'ny variable environment SERVER_URL; tsy voarakitra anaty artifact navoaka |
Fanamarihana momba ny famantarana
Misy fitsipika roa mahafehy ity fianakaviana ity nefa tsy mila ny teboka farany C2.
Voalohany, asio marika ireo script postinstall izay manao asa anatiny npm install mankany amin'ny lalana ivelan'ny lahatahiry manokana an'ny fonosana. Izay downloader prebuild ara-dalàna, toy ny node-gyp manorina indray na misintona rakitra binary efa namboarina mialoha, manoratra ao anaty fonosana na ao anaty sehatra-standard lalan'ny cache misy hash voamarina. Tsy manoratra amin'ny rakitra vao noforonina izy io INSTALL_DIR any an-kafa amin'ny kapila.
Faharoa, asio marika ireo script postinstall izay mamoaka reg add HKCU\…\Run amin'ny wscript.exe amin'ny maha-mpandefa azy. Tsy ara-dalàna mihitsy ity avy amin'ny fonosana npm. Asio marika ary karantina.
Ilaina ny heuristika fahatelo mba hahitana ny fonosana iray tampo manaraka alohan'ny hanamafisana azy: mpamoaka npm vaovao tsy misy SCM fanamarinana, mailaka Gmail, tsia repository saha, ary anarana fonosana fohy, ankapobeny, ary toa fotodrafitrasa maromaro avoaka ao anatin'ny andro vitsivitsy dia ampy fotsiny mba hanamarinana azy amin'ny tanana.
Efa notaterina tany amin'ny rejisitra npm. Havaozinay ity lahatsoratra ity rehefa nesorina ny kaontin'ny mpamoaka.
