TL, DR
Fonosana PyPI antsoina hoe fanaraha-maso gcli nandefa fitaovana feno ho an'ny fidirana lavitra Windows: firaketana an-tsoratra amin'ny alalan'ny bokotra, fakana sary webcam sy mikrôfôna, fanaraha-maso ny takelaka, fidirana amin'ny alalan'ny navigateur, fanaraha-maso ny efijery, faharetana, fanandratana tombontsoa, ary "baiko 140+" izay nambara ho azy. Tsy nanafina izay tena izy izy: ny famintinana ny PyPI an'ny fonosana dia nilaza azy io ho "fitaovana fidirana lavitra amin'ny alalan'ny npoint.io".
Ny antsipiriany mendrika hijanonana dia io andian-teny io "amin'ny alalan'ny npoint.io." Tsy miantso ny serveur natokana ho an'ny trano intsony ny implant ampiasaina, fa npoint[.]io (serivisy maimaim-poana sy ara-dalàna ho an'ny fampiantranoana antontan-taratasy JSON kely) ho toy ny fifandraisana baiko sy fanaraha-maso. Manoratra baiko ao anaty fitoeran-javatra JSON ny mpandraharaha; ny fametrahana dia manao fanadihadiana momba izany fitoeran-javatra izany, manatanteraka ary manoratra ny valiny. Tsy misy sehatra an'ny mpanafika hosakanana, tsy misy IP vaovao hotaterina: ny fifamoivoizana dia mankany amin'ny serivisy ampiasain'ny mpamorona isan'andro.
Enina ny dikan-teny navoaka tao anatin'ny telo ambin'ny folo ora sy sasany teo ho eo, samy nahavita kokoa noho ny teo aloha. Samy nahazo isa avokoa izy rehetra. ml_predicted_safe nataon'ny mpanasokajy mandeha ho azy talohan'ny famerenana amin'ny tanana dia nanasokajy indray ny fianakaviana ho ratsy fanahy.
Anatomy fanafihana
fanaraha-maso gcli mametraka ny fonosana import gcli, kaody fototra Python misy môdioly 35. Tsy misy fotoana fametrahana hooks - tsy misy zavatra mandeha mandritra ny pip installAo anatin'ireo môdioly mihitsy no misy io fahaiza-manao io, izay ampiasaina rehefa miasa ny fitaovana, ary toy ny takelaka famaritana ny vokatra no mivaky toy izao ny fisehon'ny môdioly:
Ny fantsona baiko no tena mahaliana. Ny ankamaroan'ny fitaovana fidirana lavitra dia mahatratra mpizara fehezin'ny mpandraharaha — IP, sehatra iray, mpamatsy fampiantranoana izay azo taterina sy alaina ivelan'ny aterineto. fanaraha-maso gcli fa mitsabo kosa serivisy JSON-bin maimaim-poana ho toy ny vahaolana farany. The npoint mamaky sy manoratra antontan-taratasy JSON kely amin'ny môdely npoint[.]io amin'ny HTTPS mahazatra; ny crypto/encrypt Mamono ireo entana nifanakalozana ny môdioly mba tsy ho baiko soratra tsotra ny votoatin'ny bin. Ny vokany dia fifandraisana voaaro sy voafafa:
- Mametraka toromarika (voaaro) ao anaty fitoeran-javatra JSON ny mpandraharaha.
- Ny implant, izay miasa amin'ny mpampiantrano niharam-boina, dia mandinika ny bin, mamaha ny olana, manatanteraka ny iray amin'ireo mpitantana baikony, ary manoratra ny valiny (voaaro).
- Ho an'ny mpanara-maso ny tambajotra, miresaka amin'ny olona fotsiny ilay niharam-boina npoint[.]io — serivisy iray misy antony ara-dalàna hisehoana ao amin'ny fifamoivoizanan'ny mpamorona.
Tsy misy fisintomana dingana faharoa ary tsy misy "loader" miafina eto: ny fahafaha-manao dia alefa manontolo, amin'ny Python azo vakiana, ary ny hany "miafina" dia ny safidin'ny relay sy ny fanafenana ny entana alefa.
Tsara hohazavaina tsara ny antony mahatonga ny JSON-bin dead-drop ho manintona amin'ny lafiny fiasa, satria manazava ny antony antenainay hahita indray ny lamina izany:
- Tsy misy teboka farany an'ny mpandraharaha. Tsy misy sehatra C2 azo soratana anarana, tsy misy VPS azo hofaina, ary tsy misy zavatra azon'ny mpiaro na ny mpitantsoratra alaina an-keriny. Fanesorana ny fonosana tsy mikasika ny fantsona; fanesorana ny fantsona midika hoe mangataka SaaS ho an'ny ankapobeny mba hanara-maso antontan-taratasy iray amin'ireo antontan-taratasy an-tapitrisany.
- Fanadiovana laza. Ny HTTPS mivoaka mankany amin'ny serivisy mpamorona malaza dia tsy mitondra sazy amin'ny laza toy ny an'ny sehatra vaovao na IP manta. Maro amin'ireo fametrahana sivana fivoahana no mamela izany an-kolaka.
- Asynchrony sy ny tsy fahafahana mandà. Ny modely fanadihadiana — ny implant dia maka antontan-taratasy amin'ny elanelam-potoana iray fa tsy mitazona socket misokatra — dia mamokatra fifamoivoizana izay toa fanadihadiana API miverimberina, fa tsy fivoriana ifandrimbonana. Ny fanafenana ny votoatin'ny antontan-taratasy dia midika fa na ny mpandinika mahita ny bin aza dia mahita ciphertext, fa tsy lisitry ny baiko.
- Fihodinana tsy dia misy dikany loatraNy fifindrana any amin'ny toerana fitahirizana hafa, na serivisy fanamarihana/fametahana hafa tanteraka, dia fiovana fandrindrana andalana iray ho an'ny mpandraharaha. Ny lisitra voasakana rehetra mifandraika amin'ny relay manokana dia efa lany andro raha vao alefa.
Ny takalony eken'ny mpandraharaha dia ny throughput sy ny latency: miadana kokoa ary ambany ny bandwidth-n'ny relay dead-drop noho ny fifandraisana mivantana. Ho an'ny implant fanaraha-maso sy fanaraha-maso izay manome baiko fohy sy manangona valiny rehefa mandeha ny fotoana, dia mora ny manao izany fifanakalozana izany.
Timeline
Nihamafy haingana ny raharaha tao amin'ny fianakaviana. Ny mari-potoana famoronana tapakila ho an'ireo dikan-teny misy marika dia mametraka ny fizotran'ny fanadihadiana manontolo ao anatin'ny telo ambin'ny folo ora sy sasany, ary nitombo niaraka tamin'ny kaody ny isan'ny porofon'ny scanner — avy amin'ny tranonkala misy marika vitsivitsy tao amin'ny dikan-teny voalohany ka hatramin'ny efatra ambin'ny folo tao amin'ny dikan-teny farany.
Tsy navoaka araka ny filaharany hentitra ny laharan'ny dikan-teny, saingy mazava ny lalana: famoahana kely voalohany, avy eo dia fanovana haingana mankany amin'ny 0.7.1 feno endri-javatra. Toy izao ny endriky ny tetikasa iray eo ambany fampandrosoana mavitrika izay alefa any amin'ny rejisitra ho an'ny daholobe rehefa mitombo izy, fa tsy famoahana tampoka.
Famantarana ny fifanarahana
Nohamafisina tamin'ny votoatin'ny fonosana tao anaty kapila sy ny scan deterministic indicator an'ny version 0.7.1 ireo tondro rehetra etsy ambany; tsy misy amin'izy ireo no tombantombana fotsiny.
Fanamarihana avy amin'ny mpiaro: Ny famantarana matanjaka indrindra maharitra dia tsy ny domaine (mihodina tsy dia misy dikany ny mpampiantrano relay) fa ny endrikafonosana tokana izay mampivondrona singa telo na maromaro miavaka amin'ny fanaraha-maso ny mpampiantrano sy mandrindra baiko/valinteny amin'ny alalan'ny serivisy fampiantranoana votoaty ho an'ny daholobe. Fanakanana npoint[.]io Tsy azo ampiharina amin'ny ankamaroan'ny fivarotana ny outright; matanjaka kokoa ny fampandrenesana amin'ny dingana tsy ampoizina izay sady maka ny fitaovana fampidirana no miresaka amin'ny serivisy JSON-bin.
Fitondran-tena sy fandrindrana voamarika
Misy zavatra roa mahatonga ity santionany ity ho tsy mahazatra, ary samy zava-misy azo jerena fa tsy tsoa-kevitra momba ny antony manosika.
Nanao dokam-barotra ho an'ny tenany izy io. Ny famintinana ny fonosana nozaraina tao amin'ny PyPI dia nitanisa ireo fahaiza-manao amin'ny fiteny tsotra — fidirana lavitra, fanaraha-maso birao, fitantanana mpampiasa, webcam, audio, keylogger, persistence, data navigateur, WiFi, rejisitra, "baiko 140+." Tsy nisy fiezahana nampita ny kaody ho mpanampy amin'ny fananganana, fonosana CLI, na fitaovana AI-agent, izay saron-tava mahazatra kokoa hitantsika amin'ny rejisitra ho an'ny daholobe. Na maneho fitaovana ekipa mena navoaka tsy misy fanaraha-maso fidirana izany na zavatra hafa dia fanontaniana tsy voavaha ny votoatin'ny fonosana irery; ny azo antoka dia ny hoe fitaovana fanaraha-maso sy fidirana lavitra miasa sy azo ampiasaina amin'ny ankapobeny dia azo apetraka ho an'izay rehetra manana. pip.
Niantehitra tamin'ny fitokisana tamin'ny serivisy tsara fanahy izany. mampiasa npoint[.]io satria ny relay no teknika mamaritra. Ohatra iray amin'ny lamina mivelatra kokoa izany — ny fandefasana ny C2 amin'ny alàlan'ny SaaS ara-dalàna (tranonkala fametahana, fitoeran-javatra JSON, tranonkala chathooks, antontan-taratasy momba ny rahona) mba hifangaroan'ny fifamoivoizana ratsy fanahy amin'ny hetsika mahazatra ataon'ny mpamorona ary tsy hisy teboka farany an'ny mpandraharaha horaisina. Voaaro ny entana ao amin'ny relay, ka tsy hovakiana ho baiko ho an'ny mpandinika tsotra ny votoatin'ny bin.
Manify sy tsy dia misy dikany loatra ireo famantarana avy amin'ny mpamoaka. Nanambara ny fonosana fa Author an'ny "mpandray anjara gcli" sy fahazoan-dàlana MIT, ary nanondro ny pejy fandraisana sy ny saha fitahirizana azy github[.]com/gcli-control/gcliTsy misy fanamarinana izany rehetra izany: lahatsoratra maimaim-poana ny tady mpamorona, tsy misy vidiny ny lohatenin'ny lisansa MIT, ary fitakiana fotsiny ny URL fitehirizana ao amin'ny metadata fonosana, fa tsy porofon'ny fiaviany. Ny lamina — anarana vaovao, mpanoratra iombonana ankapobeny, ary org/repo manondro tena noforonina manodidina ny fonosana — dia ny endriky ny tetikasa iray rehefa atsangana manokana hitondra ny kaody, fa tsy fitaovana efa napetraka izay nahatonga endri-javatra fanaraha-maso lavitra. Marihinay ho toy ny fandinihana ireo; mifanaraka amin'ny fizarana namboarina manokana izy ireo, saingy tsy mametraka irery, fizarana namboarina manokana.
Lazainay ho ratsy ny fametrahana azy raha jerena ny fahaizany sy ny fanaterana azy: fitaovana feno azo ampiasaina amin'ny fanaraha-maso lavitra, zaraina amin'ny fonosana ho an'ny daholobe miaraka amin'ny fifandraisana miafina. Tsy manome lasibatra na antony manosika izahay.
Fiantraikany, fironana ary izay azon'ny mpiaro atao
Toerana tsy ahitana olona manao triage mifantoka amin'ny fanafenana ny maha-izy azy. Betsaka ny lakile fanaovana triage mandeha ho azy amin'ny fonosana Hody olon-kafa famantarana ny malware mahazatra amin'ny rejisitra — banga tsy mazava, fotoana fametrahana hooks, teny fohy sy fohy momba ny fanangonana mari-pahaizana. Fonosana iray izay tsotra fotsiny RAT ampahibemaso, miaraka amin'ny kaody azo vakiana madio sy tsy misy "install hook", dia tsy mampiseho ireo famantarana ireo ary mety handalo ny heuristika izay manantena fanafenana. Ny famantarana izay mahasarika ity kilasy ity dia mifototra amin'ny rafitra fa tsy mifototra amin'ny fanafenana: fanisam-bahoaka ny fahaiza-manao (firy ny primitives fanaraha-maso miavaka miara-misy ao anaty fonosana iray) ary famakafakana endrika C2 (feo baiko/valinteny alefa amin'ny alàlan'ny serivisy fampiantranoana votoaty ankapobeny). Ireo fanamarinana ireo dia miasa na manao ahoana na manao ahoana ny fahamarinany na ny obfuscated ny fonosana dia.
Ny fironana SaaS-as-C2. Tsy zava-baovao ny fanararaotana serivisy fampiantranoana ara-dalàna ho toy ny vahaolana, fa mbola miasa ihany izy io satria avo ny vidin'ny fiarovana amin'ny fanakanana ny serivisy ary efa ho aotra ny vidin'ny fanafihana amin'ny fifindrana serivisy. Antenaina fa ho betsaka kokoa izany. Mihena avy hatrany ny fiarovana ny tambajotra mifototra amin'ny sehatra ratsy manokana; fa ny fitsipiky ny fitondran-tena ("mamaky ny takelaka sy ny webcam ity dingana ity ary avy eo mifandray amin'ny API fampiantranoana fanamarihana") dia tsy izany.
Sketch amin'ny fitiliana mivaingana. Ny fitsipika maharitra dia tsy manonona npoint[.]io tsy misy mihitsy. Mampifangaro fandinihana roa izay iraisana tsirairay saingy tsy fahita firy amin'ny mpamorona mahazatra na mpampiantrano CI izy io:
fanairana rehefa misy dingana tokana, ao anatin'ny fivoriana iray, samy:
(A) miditra amin'ny fitaovana fampidirana (fitendry/totozy), fakantsary, mikrôfôna, fakana sary, famakiana amin'ny takelaka, na fitahirizana angon-drakitra avy amin'ny navigateur ("Login Data" / "Etat-eo an-toerana" / DPAPI); ARY
(B) manao fangatahana mivoaka amin'ny serivisy fampiantranoana votoaty / fametahana / JSON-bin / chat-webhook ho an'ny daholobe avy eo dia aroso hojerena, na inona na inona serivisy manokana ao amin'ny (B).
Samy tsy misy mampiahiahy azy roa tonta: fitaovana ara-dalàna maro no maka pikantsary, ary maro no mametraka JSON amin'ny API fampiantranoana. Ny fifandraisana ao anatin'ny dingana fohy iray dia ny famantarana, ary tafavoaka velona amin'ny fihodinan'ny relay rehetra izy io.
Dingana azo ampiharina ho an'ny ekipa:
- Hevero ho toy ny fetran'ny fanatanterahana ny fametrahana fonosana ampahibemaso amin'ny mpampiantrano mpamorona sy CI, fa tsy ho zavatra mora ampiasaina — ny RAT amin'ny agent build dia RAT misy ny tsiambaratelonao.
- Aleo ireo fitaratra anatiny voatanisa ho azo avela; ny fonosana nomena ara-bakiteny ho an'ny fanaraha-maso lavitra sy mamaritra ny keylogger dia tsy tokony ho hita mihitsy amin'ny index an'ny orinasa.
- Fampitandremana momba ny mitambatra — fitaovana fampidirana na pikantsary miampy fifamoivoizana mivoaka mankany amin'ny serivisy content/paste/JSON-bin — fa tsy amin'ny primitive tokana, izay manana fampiasana tsara mitokana.
- Aza miantehitra amin'ny isa "azo antoka" mandeha ho azy ho toy ny didim-pitsarana farany ho an'ny fonosana manana fahafahana miditra amin'ny mpampiantrano malalaka; alefaso any amin'ny fanaraha-maso ataon'olombelona izany.
Voasokajy ho mampidi-doza ny fianakavian'ny fonosana ary nalefa hoesorina amin'ny rejisitra. Satria ny C2 mifototra amin'ny relay dia tsy mamela ny mpampiantrano an'ny mpandraharaha ho any amin'ny lavaka, ny sanda fiarovana maharitra dia ao amin'ny dian-tanana fitondran-tena etsy ambony, fa tsy ao amin'ny fidirana lisitra voasakana tokana.
