TL, DR
Нэг npm хэвлэн нийтлэгч блокчэйн болон түрийвч хөгжүүлэхэд зориулсан өдөр тутмын барилгын материал шиг нэртэй найман жижиг багцыг илгээсэн. base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpersБолон crypto-validate-lib. Тэд тус бүр нь ажиллаж буй хэрэгсэл агуулдаг. Гэхдээ уг хэрэгслийн дараа модулийг импортлох үед ажилладаг өөрөө дууддаг кодын блок нэмэгдсэн.
Импорт хийснээс хойш ойролцоогоор 37 секундын дараа, энэ блок нь туршилтын бэхэлгээ хэлбэрээр далдлагдсан багц дотор илгээгдсэн ашигтай ачааллыг декодлож, хэрэглэгчийн гэрийн сангийн доорх далд файлд бичиж, дахин ачаалахын тулд өөрийгөө бүртгэдэг. login Windows, macOS болон Linux дээр декодлогдсон скриптийг салангид процесс болгон ажиллуулдаг. Энэ нь npm суулгалтын үед ажиллахгүй; энэ нь кодыг импортлохыг хүлээж, ажиллуулахыг хүлээдэг бөгөөд энэ нь суулгалтаас илүү чимээгүй мөч юм.
Ачаалал нь тунгалаг биш. Энэ нь энгийн base64 хэлбэрээр илгээгддэг тул "туршилтын бэхэлгээ"-г декодлох нь хоёр дахь шатыг бүрэн сэргээдэг: a крипто түрийвч болон нууц хулгайлагч Энэ нь машиныг идэвхгүй байхыг хүлээж, хувийн түлхүүр болон үрийн хэллэгийг цуглуулж, олдвор бүрийг хатуу кодлогдсон RSA-4096 түлхүүрээр шифрлэж, нийтийн IPFS хадгалалтад зүүж, 12 цаг тутамд буцааж дохио өгдөг.
Бид кластерыг дараах байдлаар хянадаг PhantomSyncШинжилгээний үед бүх найман багц npm бүртгэлд нэг бүртгэл дор нийтлэгдсэн байсан.
| Экосистем | npm |
| Багцууд нь | base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpers, crypto-validate-lib |
| Зорилтот платформууд | Windows, macOS, Linux |
| Гол зан байдал | Туршилтын хэрэгсэл болгон нуусан хойшлогдсон, импортын хугацааны дусаагуур; платформ хоорондын тогтвортой байдлыг суулгадаг |
| Төлбөрийн хэмжээ | Крипто түрийвч болон нууц хулгайлагч, RSA-4096 шифрлэлт, олон нийтийн IPFS пиннингээр дамжуулан гадагшлуулах |
Довтолгооны анатоми
Багц бүрийг анх харахад онцгой биш харагдаж байна. base58-utilsЖишээлбэл, энэ нь тэг хамааралгүй Base58 / Bitcoin-WIF туслагч кодын хэдэн килобайт бөгөөд энэ нь нэрэнд амласан зүйл юм. Холбогдох код нь ... дараа модулийн модуль.экспорт, файлын дээд хэсгийг гүйлгэж байгаа уншигч харагдахгүй байх магадлалтай: таймераар өөрийгөө хуваарьладаг өөрөө дууддаг функц.
Багцын эх сурвалжаас сэргээн босгосон үйл ажиллагааны гинжин хэлхээ дараах байдлаар ажиллана:
1. Package is required() by the host project 2. A self-invoking function schedules a callback ~37,000 ms later (setTimeout) 3. On fire, the callback reads test/fixtures/keypairs.dat (a base64 blob) 4. It base64-decodes that blob into a Node.js script 5. It writes the script to ~/.cache-db/.node-sync/syncd.js (mode 0o700) 6. It installs login-persistence for that script (see below) 7. It spawns "node syncd.js" as a detached processХоёр дизайны сонголт онцгой харагдаж байна.
Ачаа нь туршилтын бэхэлгээ хэлбэрээр явдаг. Хоёр дахь шат нь илэрхий код хэлбэрээр бичигдээгүй. Энэ нь дотор нь амьдардаг. тест/бэхэлгээ/түлхүүр хослолууд.dat, нэр нь түлхүүр хосуудыг зохицуулдаг гэж мэдэгдсэн багцад ууссан base64 файл. Тарболлыг гүйлгэж буй хүний хувьд энэ нь жишээ өгөгдөл шиг харагддаг; хавсаргасан кодын хувьд энэ нь декод хийж ажиллуулах скрипт юм. Дроппер өөрөө сүлжээний хаяг агуулаагүй - эдгээр нь хоёр дахь шатанд байдаг - гэхдээ нэмэлт төөрөгдөл байхгүй: бэхэлгээ нь base64-ийн нэг давхарга тул үүнийг декодлох (base64 -d) бүрэн сэргээнэ syncd.js болон түүний сүлжээний зан төлөв. Дараагийн хэсэгт сэргээгдсэн үе шат юу хийдгийг авч үзэх болно.
Тэсрэлт хойшлогдож, суулгахтай биш, харин импорттой холбоотой байна. Учир нь өдөөгч нь шаардлагатай() дээр нь суулгах дэгээний оронд ~37 секундын таймер байгаа бөгөөд зөвхөн ...-г ажигладаг гэсэн шалгалтуудыг тойрч гарах үйлдэлтэй. npm суулгах алхам бөгөөд саатал нь богино хугацааны олон sandbox болон CI гүйлтээс давж гардаг. Ямар нэгэн зүйл ажиллах үед багцыг татаж авсан суулгалт аль хэдийн дууссан байдаг.
Декодлогдсон скрипт диск дээр байгаа үед ~/.cache-db/.node-sync/syncd.js — ердийн кэш сан шиг уншихаар сонгосон зам — dropper нь гурван үндсэн платформ дээр дахин ачаалахад амьд үлддэг:
- Линукс: скриптийг дахин ажиллуулдаг cron оруулга. Оруулгыг одоо байгаа crontab-г шүүж суулгадаг. grep -v syncd, энэ нь ижил нэртэй энгийн жагсаалтаас шинэ оруулгыг хасах гаж нөлөөтэй.
- Windows: нэртэй хуваарьт даалгавар WinNodeSync, 12 минутын интервалтайгаар дахин ажиллуулахаар тохируулсан.
- макос: шошготой ажиллуулах ажил com.apple.syncd, хэд хэдэн багцад байдаг - Apple-ийн албан ёсны системийн үйлчилгээг дуурайсан шошго.
Дараа нь скриптийг салангид процесс хэлбэрээр шууд эхлүүлдэг тул импортлогч програм гарсны дараа үргэлжлүүлэн ажиллана.
Хоёр дахь үе шат юу хийдэг вэ
Учир нь уг бэхэлгээ нь ганц base64 давхарга тул хоёр дахь шат нь цэвэрхэн декодлогддог бөгөөд бүрэн хэмжээгээр нь уншиж болно. Бүх найман багц нь ижил скриптийн гурван хувилбарын аль нэгийг агуулдаг бөгөөд энэ нь толгойн тайлбарт өөрийгөө дараах байдлаар тодорхойлдог. phantom syncd v3 — topo durmiente (“унтаж буй мэнгэ”). Үүний ажил бол криптовалютын түрийвчний материал болон хөгжүүлэгчийн нууцыг хулгайлж, машинаас гаргах явдал юм. Энэ нь дараах алхмуудаар ажилладаг:
- 1. Машин идэвхгүй болтол хүлээнэ үү. Юу ч хийхээсээ өмнө, syncd.js хэрэглэгч хэр удаан идэвхгүй байсан бөгөөд зөвхөн тодорхой босгыг давсан (ойролцоогоор 15 минут) эсэхийг шалгана — xprintide Линукс дээр, иорег macOS дээр HIDIdleTime болон Windows дээр PowerShell-ийн идэвхгүй цагийн асуулга байдаг. Тиймээс хэн ч гар дээр байхгүй үед мэдээлэл цуглуулах нь ихэвчлэн тохиолддог.
- 2. Алсын удирдлагатай идэвхжүүлэх унтраалга авахСкрипт нь үйлдэл хийхээсээ өмнө үхсэн уналтаас жижиг тохиргоог татаж авдаг. Үндсэн эх сурвалж нь GitHub gist түүхий URL (gist.githubusercontent.com/juang55/…/cfg.txt); скрипт нь зөвхөн тухайн тохиргоог уншсан тохиолдолд л идэвхждэг идэвхтэй=1Хэрэв gist байхгүй бол энэ нь нийтийн гарцаар дамжуулан татагдсан гурван хатуу кодлогдсон IPFS контент танигч руу буцаж орно. gateway.pinata.cloud, ipfs.ioБолон cloudflare-ipfs.comЭнэ нь операторт гар/зэвсэг хураах хяналт болон буулгахад тэсвэртэй нөөц боломжийг олгодог. (Хамгийн жижиг хувилбар нь тээвэрлэгдсэн крипто-баталгаажуулах-либ, eth-wallet-helpersБолон solana-key-utils, нь gist давхаргыг устгасан бөгөөд зөвхөн IPFS танигчдаас хамаардаг.)
- 3. Түрийвчний материал болон нууцыг хураах. Скрипт нь хэрэглэгчийн гэрийн лавлахаар явдаг — ~/.config/solana, ~/.ethereum/түлхүүрийн сан, ~/.цутгамал үйлдвэр, ~/.хард малгай, ~ / .sshБолон Ширээний/Баримт бичиг/Файл татаж авах (Испани хэл дээрх хавтасны нэрийг оруулаад), дээр нь ~/.env болон shell rc файлууд болон түүнтэй дүйцэхүйц файлууд Апплейкшний мэдээллийн бааз Windows дээрх байршлууд. Энэ нь Ethereum хувийн түлхүүрүүд, Bitcoin WIF түлхүүрүүд, BIP-39 үрийн хэллэгүүд, Solana түлхүүрийн хослолууд, Ethereum түлхүүр хадгалах JSON, SSH түлхүүрүүд болон нууц агуулсан орчны хувьсагчдыг чиглүүлдэг. Илүү том хувилбар (дотор) abi-encode, base58-utils, eth-dev) нь 2048 үгтэй BIP-39 толь бичгийг бүрэн агуулдаг бөгөөд тогтмол илэрхийллийг ашигладаг ханд уншсан аливаа текстээс тусдаа түлхүүрүүд болон баталгаажсан үрийн хэллэгүүд; оронд нь хоёр жижиг хувилбар нь файлуудыг түлхүүр үгээр нь тааруулдаг (үрийг, mnemonic, түрийвч, metamask, Phantom, дэвтэр, trezor, …) мөн бүхэл файлуудыг байршуулна уу.
- 4. Олон нийтийн пиннинг үйлчилгээгээр дамжуулан шифрлэж, шүүж гаргана. Олдвор бүрийг эзэн биеийн хурууны хээтэй хамт багцалсан байдаг (хэрэглэгчийн нэр@хостын нэр, платформ, цагийн тэмдэг) бөгөөд скриптэд суулгагдсан хатуу кодлогдсон RSA-4096 нийтийн түлхүүрээр шифрлэгдсэн. Дараа нь шифрлэгдсэн бичлэгийг IPFS рүү пин хийж байршуулдаг. api.pinata.cloud/pinning/pinJSONToIPFS, хатуу кодлогдсон Pinata API итгэмжлэлүүдээр баталгаажсан. Хураан авах захиалгат C2 сервер байхгүй: хулгайлагдсан өгөгдлийг олон нийтийн төвлөрсөн бус хадгалалтад байрлуулж, оператор нь үүссэн контент хэш ашиглан сэргээж авах боломжтой. Байршуулалтууд нь хэдэн секундын дотор санамсаргүй чичиргээтэй, мөн орон нутгийн бүртгэлтэй байна. цагийн тэмдэг | түлхүүрийн төрөл | буцаагдсан хэш хадгалагдаж байна ~/.cache-db/.node-sync/.sl.
- 5. 12 цагийн мөчлөгт тууштай байж, дохио зангаагаа чиглүүл. Хоёр дахь шат нь өөрийн тогтвортой байдлыг дахин тогтоодог - Линукс дээр cron оруулга, a com.apple.syncd macOS дээр launchd ажил болон нэртэй хуваарьт ажил WindowsNodeSync Windows дээр — 12 цаг тутамд дахин ажиллахаар тохируулсан. Энэ нь а өөр өөр Дроппер суулгасан Windows даалгаврын нэр (WinNodeSync); хоёуланг нь хайх нь зүйтэй.
Цагийн хуваарь
Найман багцыг 2026-07-13 болон 2026-07-14-нд нягт нямбай нийтэлсэн. Хэд хэдэн нь нэгээс олон хувилбартай; дусаагуур нь хувилбарууд дээр ижил бөгөөд зөвхөн мөрийн зөрүү нь дээрх хоргүй хэрэглээний кодын хэмжээ өөрчлөгдөхөд өөрчлөгддөг.
Үүний үр дүнд, хэвлэн нийтлэгчийн бүртгэлийн нэр хүнд кластерын эхэнд бараг төвийг сахисан байсан бол илрүүлэлт хуримтлагдах тусам эрс сөрөг болж өөрчлөгдсөн нь багцуудыг тэмдэглэсний ажиглагдахуйц гаж нөлөө болохоос зохион бүтээгдсэн онцлог биш юм.
Буулт хийх үзүүлэлтүүд
Доорх бүх үзүүлэлтүүд нь шинжилгээний үед байгаа эсэхийг баталгаажуулсан бөгөөд эдгээр нь "Хоёрдугаар шатны" хүснэгтэд байгаа үзүүлэлтүүд бөгөөд тэдгээрийг декодлох замаар баталгаажуулсан болно. тест/бэхэлгээ/түлхүүр хослолууд.dat мөн сэргээгдсэнийг уншсан syncd.js.
Файлууд болон замууд
Хоёрдугаар шатны сүлжээний дэд бүтэц (syncd.js файлаас сэргээгдсэн)
Хоёрдугаар шатны цуглуулгын байнууд (syncd.js-ээс сэргээгдсэн)
Тогтвортой байдлын олдворууд
Зан төлөв
- Өөрийгөө дууддаг функцийг дараа нь нэмсэн модуль.экспорт, хуваарь a Цагийг тохируулах импортлох үед ~37,000 мс.
- хүүхдийн_процесс spawn(“зангилаа”, ) салангид сонголтын багцтай хамт.
- Хоёр дахь шатанд идэвхгүй горимд идэвхжүүлэх (xprintide / иорег HIDIdleTime / PowerShell-ийн сул зогсолтын хугацаа; ~15 минутын босго).
- RSA-4096 шифрлэлтийг олох бүрт, дараа нь HTTPS Шуудан нийтийн IPFS пиннинг API руу.
Багцууд болон хувилбарууд (npm, хэвлэн нийтлэгч solbuilder_io)
Хэвлэлийн газар
- solbuilder_io - angel_lopez89[@]proton[.]me, имэйл баталгаажаагүй, баталгаажсан эх сурвалжийн хяналтын бүртгэл байхгүй, холбогдсон репозитор байхгүй.
Атрибут ба Ажиглагдсан Зан төлөв
Найман багц нь нэг нийтлэгчийн бүртгэл болон нэг ашигтай ачааллыг хуваалцдаг. Тус бүр нь энгийн багц юм - хэдэн килобайт бодит хэрэглээний код, ижил дусаагуур хавсаргасан - холбогдсон репозиторгүйгээр, баталгаажаагүй нэг удаагийн маягийн имэйлийн дор нийтлэгдсэн. Тэрхүү жигд байдал, хуваалцсан дуслын зам, хуваалцсан тогтвортой байдлын шошго, болон хуваалцсан түлхүүр хосууд.dat үе шатны файл нь кластерыг холбодог зүйл юм.
Багцууд өөрсдийн зан авирын талаар ер бусын илэн далангүй байдаг. solana-key-utils хавсаргасан блокийг энгийн үгээр тайлбарласан мөр доторх тайлбаруудыг агуулдаг - нэг нь үүнийг шошголодог ХИЙСЭН ЗҮЙЛ: Үл үзэгдэх тууштай байдал, өөр нэг (Испани хэлээр) гэж уншдаг Арын дэвсгэр дээр топографийг салгах, “мэнгийг ард нь ажиллуулах.” Эдгээр нь кодын юу хийдэг талаарх өөрийн тайлбарууд юм; энэ бичлэг дэх кампанит ажлын нэр нь хуурамч зангилаа болох “sync daemon”-той хамт эхний шошгоноос авсан болно (синк хийгдсэн) тэсвэр хатуужлын машин дуурайдаг.
Бид зөвхөн кодын ажиглагдаж буй үйлдлийг л тайлбарлаж байна. Багцуудын нэршил - бүгд крипто, түрийвч, блокчэйн хэрэгслийн нэр томъёо - нь хөгжүүлэгчийн хэрэглэгчдийг нэрээр нь татах магадлал өндөр байгааг харуулж байна; энэ нь өөрөө хэвлэн нийтлэгчийг хэн болохыг тогтоодоггүй. Хоёр дахь шат нь base64 бэхэлгээг тайлж бүрэн сэргээгдэх боломжтой байсан бөгөөд түүний зан төлөвийг дээр дурдсан болно: энэ нь түрийвчний түлхүүр, үрийн хэллэг, нууцыг цуглуулж, RSA-аар шифрлэгдсэн байдлаар Pinata-аар дамжуулан олон нийтийн IPFS хадгалалт руу гадагшлуулдаг. Дизайны онцлох сонголт бол хувийн C2 сервер байхгүй байх явдал юм - тохиргоо нь GitHub gist болон IPFS-ээс ирдэг бөгөөд хулгайлагдсан өгөгдөл нь контент хэшээр түлхүүрлэгдсэн олон нийтийн төвлөрсөн бус хадгалалтад байрладаг бөгөөд хоёулаа нэг халдагчийн хяналттай хостоос илүү хураахад хэцүү байдаг. Бичих үед энэ кластертай тохирох өмнөх олон нийтийн тайлан олдсонгүй.
Хамгаалагчдын нөлөөлөл, чиг хандлага ба удирдамж
Хэн ил болсон бэ. Эдгээр багцуудын аль нэгийг Node төсөлд нэмээд дараа нь импортлох кодыг ажиллуулсан хэн бүхэн. Дэлбэрэлт нь суулгах хугацаанаас илүү импортлох хугацаа учраас багцыг байгаа нь хангалтгүй - гэхдээ модулийг ачаалдаг ердийн хэрэглээ нь ачаалалд хүрдэг. Ethereum, Solana, Arbitrum, Layer-2 болон ерөнхий түрийвч/кодчилолын хэрэгсэл дээр суурилсан зорилтот хөгжүүлэгчдийн өгөөшний нэрс - хоёр дахь шатны хайж буй хөрөнгийг яг таг эзэмших магадлалтай хүн ам. Эдгээр модулиудын аль нэгийг түрийвчний түлхүүр, үрийн хэллэг, түлхүүрийн сан, SSH түлхүүр, эсвэл .env нууцууд нь эдгээр итгэмжлэлийг алдагдсан гэж үзэж, эргүүлэх ёстой.
Дотооддоо шингээх хоёр хэв маяг. Нэгдүгээрт, ачааны бэхэлгээ: хоёр дахь шатыг base64 хэлбэрээр боломжит нэртэй өгөгдлийн файл дотор илгээх (тест/бэхэлгээ/түлхүүр хослолууд.dat) нь багцын харагдах эх сурвалжийг цэвэрхэн харагдуулж, хортой контентыг хэрэгслүүдийг хянадаг файл руу түлхдэг бөгөөд хүний сканнердсан өгөгдлийг ихэвчлэн идэвхгүй өгөгдөл гэж үздэг. Хоёрдугаарт, платформ хоорондын тогтвортой байдалтай импортын хугацаанд хойшлогдсон гүйцэтгэл: триггерийг суулгах дэгээнээс салгаж, таймер нэмж, дараа нь cron, хуваарьт ажил болон launchd дээр үргэлжлүүлэн ажиллуулах нь автомат бүртгэлийн сканнердах хамгийн анхааралтай ажигладаг илүү чимээ шуугиантай суулгах скрипт техникүүдээс санаатайгаар холдсон алхам юм.
Хамгаалагч болон хамгаалагчдад зориулсан заавар:
- Хавсаргасан кодыг дараа нь боловсруулах модуль.экспорт хянан үзэх тэргүүлэх чиглэл болгон - дусаагуурын логик нь ихэвчлэн "жинхэнэ" модулийн гадаргуугийн доор нуугддаг.
- Өгөгдлийн файлууд идэвхгүй гэж бүү бод. Доорх base64 blob туршилт/бэлтгэл/ ажиллах үед уншигдаж, декодлогдсон нь гүйцэтгэгдэх файлын хажууд байрладаг; ажиллах үеийн тэжээлийн файлуудын уншилтыг тэмдэглэнэ. Чиг үүрэг/үнэлгээ/бичих-дараа-зөөж байна гинж.
- Унах замыг хайж олоорой ~/.cache-db/.node-sync/ мөн тэсвэр хатуужлын нэгжүүдийн хувьд WinNodeSync (төлөвлөсөн даалгавар) болон com.apple.syncd Эдгээр нэрийг татаж авсан хөгжүүлэгч машинууд дээр (launchd) ажиллуулсан.
- Cron оруулга, хуваарьт даалгавар эсвэл launchd ажлуудыг үүсгэдэг Node процессуудын талаар анхааруулга өгөх - албан ёсны сангууд импортлох үед үүнийг ховор хийдэг.
- Түгжих файл болон пинтэй хувилбаруудыг илүүд үзэж, ялангуяа шинэ жижиг "хэрэглээний" хамаарлын ялгааг хянаж үзээрэй. тэг хамааралгүй багцууд нийтлэгдсэн холбоосгүй репозитортой баталгаажаагүй бүртгэлүүдээр.
Бүртгэлийн хамгаалагчдын хувьд гол санаа нь суулгах дэгээ хяналт шаардлагатай боловч хангалтгүй юм: өгөгдлийн файл дотор байрлуулсан импортлох хугацаа, цаг хугацааны сааталтай дроппер нь зөвхөн суулгах хугацааны шалгалтыг давах бөгөөд тогтвортой байдлын алхам нь ихэвчлэн барихад үлдсэн хамгийн чанга ажиглагдах дохио юм.
