TL, DR
Mpamoaka npm tokana, deadcode09284814, dia nanao fanentanana diso tsipelina manohitra ny ara-dalàna axios sy chalk-template fonosana nanomboka tamin'ny tapaky ny volana Mey 2026.
Nanomboka ho toy ny mpangalatra fahazoan-dalana sy poketra mahazatra ny fampielezan-kevitra, izay namoaka angon-drakitra tany amin'ny Serveo HTTPS tonelina.
On 2026-05-17, miaraka amin'ny axois-utils:1.0.9, nanova tanteraka ny payload ny mpandraharaha: scaffold triple install-hook mitovy, mpamoaka mitovy, anaran'ny fonosana mitovy.
Saingy ny script fametrahana dia karazana botnet DDoS miasa amin'ny sehatra maro ankehitriny.
Miresaka amin'ny a ny entana localhost.run tonelina ary manaiky baiko tondra-drano, mamadika ireo tontolo voaloto ho ampahany amin'ny botnet afaka DDoS.
Nalefan'ny mpandraharaha mihitsy aza ny Mpizara C2 binary ao anatin'ny tarball, mampiseho fiakarana mazava avy amin'ny halatra fahazoan-dàlana mankany amin'ny fotodrafitrasa botnet mavitrika.
Fonosana roa, dikan-teny efatra mbola miasa ao amin'ny rejisitra, ary mpandraharaha iray no mampiasa ireo môdely roa ireo miaraka.
Fahasarotana: avo.
Ny Fanafihana: Ny Fomba Fiasany
Ny fampielezan-kevitra dia miorina amin'ny sehatra fanaterana natao ho mankaleo: anaran'ny fonosana typosquat roa, litera iray miala amin'ny fonosana misy fisintomana an-jatony tapitrisa isan-kerinandro (axios, lasitra tsaoka), ary fametrahana intelo hooks izay miantoka ny fanatanterahana. Ny mahaliana dia ny hoe inona ny scaffold mitondra — ary ny hoe nanova ny entana ilay mpandraharaha nefa tsy nanova na inona na inona hafa.
Ny rafitra iraisana
Ny dikan-teny navoaka rehetra amin'ireo fonosana roa ireo dia manambara tsingerim-piainana telo mitovy hooks in package.json:
"scripts": { "preinstall": "node <payload>.js", "install": "node <payload>.js", "postinstall": "node <payload>.js" } Fametrahana ny entana eo ambanin'ireo telo ireo hooks tafahoatra loatra — aorian'ny fametrahana irery dia hiasa amin'ny default npm installZava-dehibe ny safidy: npm fametrahana --tsy miraharaha-scripts mandingana scripts, fa misy workflows mahazatra maromaro (ny cache CI dia mamerina amin'ny laoniny ny tsingerin'ny famerenana ny asa hooks voafantina, na ireo mpamorona izay manara-maso fotsiny aorian'ny fametrahana) manaova fanambarana triple-redundant ho safidy azo antoka indrindra ho an'ny mpanafika.
tsaoka-tempalte manampy fomba fiasa faharoa: manambara izany axois-utils:^1.0.7 ho toy ny fotoana fiasana fiankinan-dohaFametrahana ny typosquatted lasitra tsaoka noho izany dia misintona ny typosquat iray tampo ihany koa, ary samy miasa ny payloads roa. Ireo fonosana roa ireo dia mpivady mirindra, fa tsy lisitra mahaleo tena.
Dingana A — mpangalatra fahazoan-dalana / poketra (2026-05-15 → ankehitriny)
Dingana A no entana voalohany. Fohifohy ny entana postinstall.js izay manondro ny Serveo HTTPS reverse-tunnel:
// chalk-tempalte/postinstall.js:11-13 const C2_HOST = "f04a273bd84c0622-80-200-28-28.serveousercontent.com"; const C2_PORT = 443; const C2_PATH = '/collect'; Ny subdomain Serveo dia mandika ny IP toerana haleha (80.200.28.28) mivantana ao amin'ny anaran'ny mpampiantrano — fomba fanao azo fantarina ho an'io serivisy io. Mamadika ny tovona subdomain kisendrasendra eo anelanelan'ny dikan-teny ny mpandraharaha mba hialana amin'ny lisitry ny domaine tsy dia misy dikany loatra, saingy tsy mihetsika mihitsy ny IP fototra. (tsaoka-tempalte:1.0.14 nampiasa 8a3e818ea8f11186-80-200-28-28…; fampiasana 1.0.16 / 1.0.19 / 1.0.20 f04a273bd84c0622-….)
postinstall.js tsy mandray andraikitra phantom.js, môdioly "mpanangona" mifamatotra misy andalana 7,667. phantom.js mandeha ny mpampiantrano ho an'ny:
Lakile manokana SSH (~/.ssh/*) |
.npmrc votoaty sy izay rehetra npm_* marika env |
| Rakitra fanamarinana AWS, GCP, ary Azure |
Regex-n'ny GitHub ho an'ny fidirana manokana (ghp_*, gho_*, ghu_*, ghs_*) |
| Zavatra vita amin'ny poketra crypto ho an'ny Bitcoin, Exodus, Electrum, Monero, Litecoin, Dogecoin, Zcash, Dash |
Fiverenana miverimberina .env* mandehandeha ~/projects, ~/dev, ~/code, ~/workspace, ary ny fametrahana cwd |
Tantaran'ny Shell sy ny antsipiriany feno process.env |
Alefa any amin'ny tonelina Serveo ny fonosana ao amin'ny /manangonaTsy misy fanafenana, tsy misy lojika manohitra ny VM, tsy misy fanomanana — ny filokan'ny mpandraharaha dia ny volume sy ny hafainganam-pandeha.
Dingana B — Fandraisana DDoS PhantomBot (2026-05-17, axois-utils:1.0.9 ihany)
Ny Dingana B dia manolo ny phantom.js + postinstall.js amin'ny rakitra tokana antsoina hoe distrube.js (ny typo dia an'ny operator). Tsy miova ny scaffold triple-hook ao amin'ny package.json; mitazona ny anarana, ny sehatra ary ny lamina version-bump mitovy ny fonosana. Raha jerena ivelany, ny axois-utils:1.0.9 dia toa tohiny kely amin'ny 1.0.6. Ao anatiny, fianakaviana malware hafa izy io.
distrube.js Misokatra amin'ny bloc configuration izay manonona ny marika famantarana ny mpandraharaha:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
Ireo fanehoan-kevitra dia alefa any amin'ny mpandraharaha amin'ny ho avy izay hampiasa ny kitapo ("Ampiasao ny URL HTTPS localhost.run anao"). Izany, miampy izay alefa eo akaikin'ny mpanjifa bot, no famantarana fa tsy entana niharam-boina fotsiny ity - fa ny kitapo.
Ny fikorianan'ny rano:
- fikirizana miasa aloha. Mametraka ny tenany amin'ny fomba telo samihafa isaky ny OS ny script (registry Run + Fampidirana fanombohana + schtasks amin'ny Windows; crontab + phantom-bot.service singa rafitra + .bashrc/.zshrc ampio + /etc/rc.local amin'ny Linux; LaunchAgent com.phantom.bot.plist amin'ny macOS). Samy azo ampiasaina ny anaran'ny serivisy persistence sy ny marika LaunchAgent. robot-phantom / com.phantom.bot, izay koa no niavian'ny anaran'ny fampielezan-kevitra.
- Fampahalalana momba ny rafitra exfil Miasa indray mandeha — POST dian-tanana indray mandeha mankany amin'ny b94b6bcfa27554.lhr.life:443/collect mitondra ny anaran'ny mpampiantrano, sehatra, arch, anarana mpampiasa, CPU/RAM, interface tambajotra, process.env, cwd, homedir, dikan-teny node, ary IP ho an'ny daholobe. Tsy dia mahery vaika loatra noho ny Dingana A ity: tsy misy SSH, tsy misy wallets, tsy misy .env recursion. Ny asan'ny bot dia ny misoratra anarana, fa tsy mangalatra.
- Fitempon'ny fo Manokatra HTTPS POST isaky ny 30 segondra mankany amin'ny b94b6bcfa27554.lhr.life:443/. PhantomBot/1.0 ny User-Agent. Tsy mandeha tsara ny fanamarinana TLS (rejectUnauthorized: false). Ny valinteny C2 dia hazavaina ho JSON amin'ny endrika {type, target, port, duration, threads, method} ary alefa.
- Fitaovam-piadiana tondra-drano dia mifandray amin'ny baiko enina:
| Karazana baiko | Module | Fanamarihana |
|---|---|---|
| Ping | Valin-teny momba ny fahavelomana | Bot dia mamaritra ny tenany |
| Sokajy | Tondra-drano HTTP | Fangatahana tondra-drano ho an'ny Layer-7 |
| ny https | Tondra-drano HTTPS | Mitovy amin'ny http, voafono amin'ny TLS |
| TCP | Tondra-drano TCP | 65 KB spam misy entana kisendrasendra |
| pud | Tondra-drano UDP | Fonosana UDP 65,507-byte |
| haingana | HTTP/2 famerenana haingana ny DoS | Ny teknika 2023 CVE-2023-44487 |
Ireo môdely dimy momba ny tondra-drano dia samy maka lasibatra, seranan-tsambo, Duration, ary kofehy adihevitra — fitaovana fandravana "flooder" mahazatra ho an'ny mpampiasa ity bot ity, tsy natao ho an'ny niharam-boina manokana. Ao amin'ny C2 no misy ny lisitry ny niharam-boina an'ny mpandraharaha, fa tsy ao anaty fonosana.
Inona no Vaovao Eto — ny binary C2 nalefa
Endrika mahazatra ny Dingana A: halatra fahazoan-dalana, fametrahana hook, C2 voafandrika amin'ny mpivarotra. Ny Dingana B dia koa endrika mahazatra — efa an-taonany maro no nisian'ny fonosana npm ratsy fanahy ny botnet DDoS. Ny tsy mahazatra dia ny fandefasana ny lafiny mpizara ny kitapo ao anatin'ny tarball npm:
- c2 — Go ELF binary 4-megabyte voaangona
- c2.go — ny loharano Go andalana 426 ho an'io binary io
Tsy misy install hook miantso ireo rakitra roa ireo. Tsy anisan'ny payload an'ny niharam-boina izy ireo. Mipetraka ao amin'ny lahatahiry fonosana izy ireo toy ny rakitra antontan-taratasy. Ny famakiana azo inoana indrindra dia ny nanosika ny hazo fiasan'ny fampandrosoana ho any amin'ny npm ny mpandraharaha nefa tsy nikarakara ny lisitry ny rakitra — slip OpSec tena izy — ary ny nalefa dia ny kitapo roa lafy feno: ny mpanjifa ampiasain'ny niharam-boina, ary ny mpizara ampiasain'ny mpandraharaha.
Ity no ampahan'ny tantara izay manamarina ny fametrahana ny "kitapo botnet vita pirinty". Izay rehetra naka axois-utils:1.0.9 alohan'ny takedown dia tsy vitan'ny hoe santionan'ny niharam-boina fotsiny izy ireo — fa manana mpizara C2 miasa koa izy ireo.
Ny pivot, ao anaty fehezanteny iray
Mpamoaka mitovy, anaran'ny fonosana mitovy, scaffold triple-hook mitovy, marika "phantom" mitovy - fa Niova tampoka ny modely momba ny vola miditra: manomboka amin'ny "tsiambaratelo momba ny fijinjana azoko amidy indray" ka hatramin'ny "fahafahana manofa tondra-drano azoko hofaina". Ny TTP amin'ny fotoana fametrahana izay tokony harahin'ny mpiaro dia saika mitovy amin'ny dingana roa; fiarovana mifototra amin'ny sonia mifandraika amin'ny tady lalan'ny poketra amin'ny Dingana A na amin'ny phantom.jsHo tsy nahatratra ny Dingana B mihitsy ilay mpanangona andalana 7 667.
| Daty (UTC) | Event |
|---|---|
| 2026-05-15 | Famoahana voalohany: axois-utils:1.0.4 (Fanamboarana fitsapana LAN, fitaovana fampandrosoana ao amin'ny 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 navoaka — Dingana A C2 nosoloina 80.200.28.28 amin'ny alalan'ny tonelina Serveo; ny fanehoan-kevitra avy amin'ny loharano // Change to '80.200.28.28' for public manamafy ny dev→prod swap |
| 2026-05-16 | chalk-tempalte:1.0.14 sy 1.0.16 navoaka — manambara ny chained loader axois-utils:^1.0.7 ho toy ny fiankinan-doha amin'ny fotoana fiasana; navadika ny subdomain Serveo |
| 2026-05-16 | Hita nandritra ny fitiliana npm mahazatra ny fampielezan-kevitra Dingana A; nampiharina ny didim-pitsarana voamarina fa ratsy |
| 2026-05-17 | axois-utils:1.0.9 navoaka — payload pivot: PhantomBot DDoS recruit via localhost.run tunnel; operator-side c2 binary ary c2.go loharano nalefa tao amin'ny tarball |
| 2026-05-17 | chalk-tempalte:1.0.19 sy 1.0.20 navoaka — mbola Dingana A (mpangalatra); miasa miaraka ireo môdely roa ireo ny mpandraharaha ankehitriny |
| 2026-05-17 | Fahitana ny Dingana B nandritra ny fitiliana mahazatra; ny didim-pitsarana dia ampiharina amin'ny rehetra 2026-05-17 dikan |
| (mitohy) | Miandry tatitra momba ny fanesorana; mbola azo jerena ao amin'ny rejisitra avokoa ireo fonosana efatra navoaka tamin'ny fotoana nanoratana ity lahatsoratra ity. |
Famantarana ny fifanarahana
Packages
| tontolo iainana | Package | dikan |
|---|---|---|
| npm | axois-utils (fandikana diso ny axios) | 1.0.4, 1.0.6, 1.0.9 |
| npm | chalk-tempalte (typosquat an'ny tsaoka-template) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
Momba ny mpanoratra
| Field | sarobidy |
|---|---|
| mpamoaka npm | deadcode09284814 |
| Mailaka mpamoaka | phantomdeadcode@tutamail.com |
| SCM fanamarinana | tsy misy |
Command-and-control
| dingana | Endpoint | Transport |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | Serveo HTTPS tonelina |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | Serveo HTTPS tunnel (dikan-teny teo aloha) |
| A | 80.200.28.28:443/collect | Teboka farany VPS fototra |
| B | b94b6bcfa27554.lhr.life:443/ | localhost.run HTTPS reverse-tunnel |
Famintinana rakitra (SHA-256)
| File | Sha-256 | Fanamarihana |
|---|---|---|
c2 (Mandehana ELF, 4 MB) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | Mpizara C2 eo amin'ny lafiny mpandraharaha, alefa ao anatiny axois-utils:1.0.9 |
c2.go (andalana 426) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | Mandehana loharano ho an'ny binary C2 |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | Mpanjifa bot Dingana B |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | Mpanangona fahazoan-dàlana / poketra Dingana A |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | Mpanangona Dingana A (variana 1.0.20) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | Mpandrindra dingana A, mitovy byte amin'ny dikan-teny roa |
Fanomezana & Fandrisihana
Arahinay ity fanentanana ity araka ny PhantomBot, maka ny marika manokan'ny mpandraharaha avy amin'ny Solontenan'ny mpampiasa: PhantomBot/1.0 lohatenin'ny fitempon'ny fo, ny phantom-bot.service singa systemd, ny com.phantom.bot marika LaunchAgent, ary ny kaody maty an-tsaina@ Tahon'ny mailaka. Mitovy amin'ny anarana mahazatra amin'ny zavatra efatra farafahakeliny ny mpandraharaha.
Katalogy famantarana
- Mpanonta - kaody maty09284814 ao amin'ny npm. Kaonty tokana, mailaka azo ariana Tutamail, tsia SCM fanamarinana. Tsy misy tantaran'ny famoahana teo aloha ankoatra ity fampielezan-kevitra ity.
- Fampiasana indray ny marika — miseho ao amin'ny mailaka mpamoaka ny "phantom", ao amin'ny anaran'ny rakitra mpanangona Dingana A (phantom.js), ao amin'ny anaran'ny serivisy fikirizana Dingana B (phantom-bot.service), ao amin'ny marika LaunchAgent (com.phantom.bot), ary ao amin'ny bot User-Agent (PhantomBot/1.0).
- fotodrafitrasa — VPS tokana ao amin'ny 80.200.28.28 eo anoloana Dingana A amin'ny alàlan'ny fihodinan'ny subdomain Serveo; Mifindra any amin'ny a ny Dingana B localhost.run tonelina mivadika (b94b6bcfa27554.lhr.fiainanaMaimaimpoana ireo serivisy roa ireo ary mitaky SSH mivoaka avy amin'ny mpandraharaha ihany, mifanaraka amin'ny fametrahana OpSec ambany tetibola.
- Fomba kaody — JavaScript tsotra manerana; tsy misy fanafenana, tsy misy fandikana tady, tsy misy fanamarinana anti-VM. Ny anaran'ny variable dia mamaritra (mangalatraSystemInfo, executeCommand, httpFlood). Fanehoan-kevitra ao amin'ny distrube.js mitodika mivantana amin'ny mpandraharaha amin'ny ho avy ("Ampiasao ny URL HTTPS localhost.run anao"), izay milaza fa natao hozaraina indray ho toy ny kitapo ilay rakitra, fa tsy hampiasain'ny mpanafika tokana.
- OpSec slip — Ny tarball Phase B dia mandefa ny bot client sy ny mpizara C2 an'ny mpandraharaha (c2 ELF + c2.go (loharano). Mifanaraka amin'ny mpandraharaha iray izay nanosika ny hazo fiasan'izy ireo ho npm izany nefa tsy nanamarina ny lisitry ny rakitra. Na tsy za-draharaha ny mpandraharaha, na tsy manana traikefa ny kitapo. natao hozaraina ampahibemaso ary ny binary C2 dia anisan'ny vokatra.
- Fanamafisana tena - axois-utils:1.0.4 misy ny fanehoan-kevitra avy amin'ny loharano // Ovay ho '80.200.28.28' ho an'ny daholobe eo amin'ny andalana faha-12, manamafy ny fivoaran'ny dev / staging / production izay matetika lavin'ny mpandraharaha.
antony manosika
Ny entana Dingana A dia halatra ara-bola mivantana: ny fahazoan-dàlana, ny lakilen'ny rahona, ny token GitHub, ary ny poketra crypto dia samy manana tsena fivarotana indray. Ny Dingana B dia ara-bola ihany koa, saingy tsy mivantana: ny serivisy DDoS-for-hire ("booter") dia manofa fahafahana tondraka isan-minitra, ary ny bots toy ny alefa eto dia ny lisitra ampiasain'ireo serivisy ireo. Ny fitempon'ny fo 30 segondra, ny generic lasibatra/seranan-tsambo/Duration tetika baiko, ary ny fitaovam-piadiana tondra-drano misy protokol dimy no standard vokatra avy amin'ny mpandraharaha booter.
Fampandehanana ireo môdely roa miaraka — tsaoka-tempalte:1.0.19 sy 1.0.20 manohy mandefa ny mpangalatra raha mbola axois-utils:1.0.9 mandefa ny bot — milaza fa miaro ny fidiram-bola ny mpandraharaha fa tsy mandao ny Dingana A. Ny pivot dia koa, tsy fanoloana.
Izay tsy lazainay
Tsy afaka nanamarina ny tena maha-izy azy eto amin'izao tontolo izao ao ambadiky ny kaody maty09284814 handle, ary tsy manome ity fampielezan-kevitra ity ho an'ny mpilalao fandrahonana, vondrona, na firenena voatonona anarana izahay. Mitovy tsara amin'ny artifact rehetra ny marika "phantom" mba hanondroana mpandraharaha tokana, saingy ny fandefasana ny binary C2 amin'ny fomba kit dia mamela ny mety hisian'ny fampiasana indray ny kaody mitovy amin'izany amin'ny fonosana ho avy avy amin'ny handle tsy mifandraika.
Fiantraikany, fironana & izay tokony hataon'ny mpiaro
Impact
Ireo lasibatra ara-dalàna axios sy lasitra tsaoka dia iankinan'ny ankamaroan'ny rafitra JavaScript; axios irery no anisan'ireo fonosana npm telopolo be mpampiasa indrindra. Ny anaran'ny typosquat dia iray tsindry monja miala amin'ny tena izy (axois ↔ axios, tempalte ↔ môdely), ary samy diso tsipelina azo inoana ara-pitenenana izy roa ireo.
Tsy afaka nahazo antontan'isa azo antoka momba ny fisintomana ireo dikan-teny ratsy izahay talohan'ny nanesorana azy — ny npm dia tsy mitahiry ny isan'ny fisintomana isaky ny dikan-teny rehefa tsy navoaka ny fonosana iray, ary npms.ioMitabataba amin'ity ambaratonga ity ny proxy -style. Izay fikambanana rehetra izay manana lockfile dia mamadika ho fonosana antsoina hoe axois-utils or tsaoka-tempalte avy amin'ny mpamoaka kaody maty09284814 tokony hoheverina ho voajirika: avadiho ny fahazoan-dàlana rehetra misy ao process.env amin'ny mpampiantrano voakasik'izany, jereo ny vecteur persistence isaky ny OS (jereo ny "Inona no tokony hataon'ny mpiaro" etsy ambany), ary esory ny fiankinan-doha.
Modely mipoitra
Ity fanentanana ity dia maneho fiovana hitantsika tamin'ny tranga npm maromaro vao haingana: Ny scaffold fametrahana-hook no fananana maharitra; azo ovaina ny entanaIlay mpamoaka mitovy, ilay fonosana mitovy, ilay mitovy preinstall / hametraka / aorian'ny fametrahana telo sosona, ary na dia ny cadence version-bump mitovy aza — ny hany zavatra niova teo amin'ny axois-utils:1.0.6 sy axois-utils:1.0.9 ilay rakitra ve ilay hooks mihazakazaka. Fitiliana mifototra amin'ny sonia mifototra amin'ny entana Phase A (tady lalan'ny wallet, phantom.js(mpanangona andalana 7,667, ny mpampiantrano Serveo C2) dia ho nanamarika ireo dikan-teny telo voalohany ary tsy nahatratra ny Dingana B tanteraka.
Hita taratra amin'ny fampielezan-kevitra hafa tamin'ny taona 2026 izay efa narahintsika maso ihany koa io lamina io: mpandraharaha tokana manana rafitra matanjaka, fifanakalozana eo amin'ny halatra fahazoan-dalana, mpanjifa misoloky amin'ny fanadinana, Telegram-bot exfil, ary ankehitriny ny fandraisana mpiasa DDoS. Ireo mpiaro izay miantehitra amin'ny sonian'ny entana dia ho resy hatrany amin'ny fihodinana faharoa amin'ny fampielezan-kevitra tsirairay.
Ny vokany dia Ny TTP amin'ny fotoana fametrahana no famantarana tsara kokoaFanambarana "install-hook" telo sosona, script fametrahana izay ampidirina ny https or child_process, mametraka script izay manoratra any amin'ny lahatahiry fanombohan'ny mpampiasa, ary mametraka script izay mamaha ny anaran'ny mpampiantrano amin'ny serivisy reverse-tunnel maimaim-poana (Serveo, localhost.run, ngrok, cloudflared) dia samy tsy fahita firy amin'ny fonosana ara-dalàna ary fahita amin'ireo fonosana mampidi-doza.
Izay tokony hataon'ny mpiaro
- Fanaraha-maso ny rakitra mihidy. Fikarohana isaky ny package-lock.json / kofehy.hidy / pnpm-lock.yaml ao amin'ny fikambanananao ho an'ny tady marina axois-utils sy tsaoka-tempalteRaiso ho toy ny marimaritra iraisana izay lalao rehetra.
- Ahodino ny tsiambaratelo amin'ireo mpampiantrano voakasik'izany. Dingana A: Fahazoan-dàlana SSH, cloud, GitHub, npm, ary wallet voaangona betsaka. Eritrereto hoe misy ny fahazoan-dàlana rehetra ao amin'ny process.env, ~ / .ssh, ~/.aws, ~/.npmrc, ~ / .config, na hafa .tontolo* miharihary ny rakitra ao amin'ny mpampiantrano voakasik'izany.
- Esory ny fikirizana (Dingana B). Ao amin'ny Windows, fafao HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SystemUpdate, esory %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\system-update.bat, ary schtasks /delete /tn SystemUpdate /fAo amin'ny Linux, crontab -e ary esory @reboot node…, systemctl –tsy ampiasaina intsony ny mpampiasa –ankehitriny phantom-bot.service fafao avy eo ~/.config/systemd/user/phantom-bot.service, manosotra .bashrc / .zshrc / /etc/rc.localAo amin'ny macOS, launchctl esory ~/Library/LaunchAgents/com.phantom.bot.plist dia fafao ny plist.
- Sakanana ireo mpampiantrano C2. Ampio ao amin'ny lisitry ny sakana fivoahana ireo teboka farany C2 efatra ao amin'ny tabilao IOC. *.serveousercontent.com sy *.lhr.fiainana dia azo sakanana ambongadiny raha toa ka tsy azo ampiasaina ara-dalàna ho an'ny serivisy tonelina mivadika ny tontolo iainanao.
- Fikarohana araka ny fotoana fametrahana TTP, fa tsy entana. Fidirana amin'ny rakitra hidin'ny lisitra izay package.json nanambara preinstall, hametraka, ary aorian'ny fametrahana samy manondro script iray ihany. Hamarino tsara ny taonan'ny fonosana sy ny satan'ny fanamarinana mpamoaka. Mahalana ity lamina ity amin'ny fonosana ara-dalàna ary io no famantarana azo itokisana indrindra ampiasain'ny PhantomBot indray.
- Fanaraha-maso ny binary C2. Izay rehetra nisintona axois-utils:1.0.9 manana ny mpizara C2 an'ny mpandraharaha (c2 ELF, sha256 165fa92d…) amin'ny kapila. Skanera ny cache sy ny tahiry artifact CI. Tsy miasa irery ny binary, saingy ny fisiany ao amin'ny toeram-piasana dia porofo mazava fa napetraka ny fonosana.
Tsipika famaranana
Ny mpandraharaha iray ihany, ny fonosana iray ihany, ary ny fitaovana fametrahana iray ihany dia afaka mandefa fandrahonana samihafa tanteraka ao anatin'ny 48 ora. Jereo ny rafitra, fa tsy ny entana.
