TL, DR
Багцууд өөрсдийгөө устгадаг. Наймдугаар сард арван таван өдрийн турш нэг npm оператор долоон данснаас есөн нэрээр есөн багц нийтэлж, наймыг нь хувьдаа татаж авсан. Хязгаарлагдмал хугацаа арван гурван цагаас арван долоон минут болж буурсан. Энэ арга нь зөвхөн тэднийх биш: огт өөр ачаалалтай холбоогүй операторуудаас өөр долоон багцыг өөрсдийн хэвлэн нийтлэгчид дунджаар 37.8 минутын хугацаанд татаж авсан. Ихэнх хамгаалалтын процессууд эхлэхээс өмнө уг олдвор алга болсон бөгөөд суулгалт аль хэдийн хийгдсэн байна.
Бүртгэлд илэрсэн бүх зүйл эргэлддэг; ашигтай ачаалал эргэлддэггүй. Есөн хүн бүгд ижил байтаар илгээсэн bin/ лавлах, ижил SHA-256 нь гурван багцын нэр, хоёр бүртгэлийг арван таван өдрийн зайтайгаар боловсруулдаг. Контентын таних тэмдэг нь энэ оператор эвдэрээгүй цорын ганц хянах дохио бөгөөд тэдний хэзээ ч татаж аваагүй ганц багц нь тэдгээрийн аль нэгийг нь огт шалгаж болох шалтгаан юм.
Үүнийг суулгаж буй хүмүүс хохирогч биш бөгөөд ямар ч байсан маш их өртдөг. Энэ хэрэгсэл нь хөгжүүлэгчдэд зориулагдаагүй: далд дэлгэцийн зураг авалт, дэлгэцэн дээрх текстийг гаргаж авах, хариултуудыг давхардсан хэлбэрээр буцаах замаар шалгалтын алсын хяналтыг ялдаг. хэн ч гүйж байгаа npm install нь зорилтот хүн биш харин зорилгот ашиг хүртэгч юм. Тэд мөн нэг цагийн дотор өөрийгөө устгасан бүртгэлээс хөтчийнхөө күүки санг тайлдаг гарын үсэггүй хоёртын файлыг ажиллуулдаг. Тэд засвар хүлээн авах боломжгүй, дараа нь юу ажиллуулснаа аудит хийх боломжгүй бөгөөд яагаад суулгаснаа мэдэгдэлгүйгээр хор хөнөөлийг мэдээлэх боломжгүй.
Экосистем: npm, PyPI дээр ижил хэв маяг ажиглагдсан. Хугацаа: 2026 оны зургадугаар сараас наймдугаар сар.
Хэмжилт
Оршин суух хугацаа гэдэг нь бүртгэлийн өөрийн мета өгөгдлөөс тооцоолсон багц гарч ирэх болон алга болох хоорондох зай юм. Эдгээр нь тооцоолол биш, харин хэмжилт юм.
Нийтлэлийн дарааллаар уншвал цонх дөч гаруй дахин агшдаг - хамгийн өргөн хэсэгт 13 цаг 23 минутаас хамгийн нарийн хэсэгт 17 минут хүртэл. Эхний дөрвөн багц дунджаар найман цаг хагас, сүүлийн дөрвөн багц дунджаар гучин гурван минут үргэлжилдэг. 8-р сарын 28-нд гурван багцыг 77 минутын дотор нийтэлж, татаж авсан.
Агшилт нь аажмаар бууралт биш юм. Энэ нь 8-р сарын 26-28-ны хооронд төвлөрсөн бөгөөд өөрчлөгдсөн зүйл бол илгээмж хэр удаан аюулгүй зогсож чадах талаарх операторын тооцоолол байв.
Энд байгаа бүх татан авалтыг нийтлэгч санаачилсан. Бүртгэлийн баримт бичиг нь тус бүрийн хажууд хоосон засвар үйлчилгээний жагсаалтыг харуулж байна нийтлээгүй цаг бичлэг — устгахын оронд нийтлэхийг болиулах гарын үсэг. Ес дэх багц, эйюс, хэзээ ч огт татагдаагүй; энэ нь эдгээрийн аль нэгийг нь шалгаж болох шалтгаан юм.
Хоёр дахь гарах дэглэм байдаг бөгөөд үүнийг үүнтэй андуурч болохгүй. Зөвхөн ачааны хувилбар Хэрэв багцыг татаж аваад амьд үлдвэл, 31 багцад дундаж нь ойролцоогоор 73 цаг байна. Эдгээр солигдсон багцууд нь скриптлэгдсэн багцаар ирж, хоосон хальс үлдээдэг - a багц.json зарлах үндсэн файл илгээдэггүй - түүний цорын ганц үүрэг нь нэрийг хадгалах явдал юм. Энэ горим нь хуваарийн дагуу цэвэрлэгээ хийх явдал юм. Энэ нь тохируулсан өртөлтийн цонх юм.
Устгаснаас юу үлдэх вэ
Эдгээр багцуудын ес нь нэг оператор юм: моидев, моидевкс, моидевз, моидева, мойдевх, амикат, bmcat, эевокс болон эйюсНэрсүүд нь ямар ч конвенцгүй байдаг - хэн нэгэн үүнийг дагаж мөрддөг моидев Stem нь тэдний талаас илүү хувийг алгассан байх байсан бөгөөд тэдгээр нь бараг бүгд нэг удаагийн имэйл домэйнд бүртгэлтэй долоон тусдаа бүртгэлээс нийтлэгдсэн байв.
Тэдний хуваалцдаг зүйл бол оршин байх шалтгаангүй илэрхий оруулга юм:
"хогийн сав": { "": "bin/kalamasha-tool.js" } } Бид таван хуулбарыг устгахаасаа өмнө хадгалсан. Бүх таван хуулбарыг бүхэлд нь мянга/ сан нь байтаар ижил байна:
Хоёр өөр дохио санал нийлж байна. Гурван багцыг 8-р сарын 17, 8-р сарын 26, 8-р сарын 31-ний өдрүүдэд UTC цагаар 03:24, 03:38 болон 03:22 цагт нийтэлсэн бөгөөд энэ нь арван таван өдөр болон гурван тусдаа дансанд арван зургаан минутын хугацаа юм. Эдгээр дансны хоёр нь нэг удаагийн имэйл домэйнд бүртгэгдсэн бөгөөд кодоос үл хамааран тэдгээрийг хооронд нь холбосон.
Дансууд
Эдгээр нь ачааг тээвэрлэсэн npm нийтлэгчийн бүртгэлүүд бөгөөд багц бүрийг байршуулсан болон хэр удаан хадгалсан нь дараах байдалтай байна:
so1d1a7i27 болон lololololol435678 хуваалцах ogzmail.com бүртгэлийн домэйн — доор нийтлэгдсэн бүртгэлтэй шууд хуулбарыг байршуулж байгаа бүртгэлийг холбосон холбоос моидев иш нь хоёр долоо хоногийн өмнө. sahihai123 8-р сарын 28-нд 77 минутын дотор гурван тусдаа багцын нэрийг нийтэлж, татаж авсан. Хэйтошан бүртгэгдсэн, нийтлэгдсэн мойдевх, мөн 47 минутын дараа үүнийг татаж авсан; энэ нь тухайн бүртгэлийн цорын ганц нийтлэл хэвээр байна.
Эдгээр бүртгэл бүр имэйлээр баталгаажаагүй, баталгаажсан эх сурвалжийн хяналтын холбоос агуулаагүй, холбоогүй төсөл нийтлээгүй байна. Долоон бүртгэлийн зургаа нь цаашид юу ч байршуулахгүй болсон.
Нэг багцыг хэзээ ч буцааж аваагүй. eyiouss:4.0.1 8-р сарын 16-наас хойш хэвлэгдсэн бөгөөд бичиж байх үед шийдвэрлэх боломжтой хэвээр байсан. Найман эд өлгийн зүйлийг сэргээж чадаагүй; үлдсэн нэгээс нь кампанит ажлыг бүрэн сэргээн босгосон. Устгасан оператор эцэст нь нэгийг нь хэвээр үлдээх болно.
Хэрэгсэл юу хийдэг вэ
eyiouss:4.0.1 npm дээр өөрийгөө "Орчин үеийн вэб програмуудад зориулсан өндөр хүчин чадалтай DOM хэрэгсэл болон оношилгооны гүүр" гэж тодорхойлсон. Энэ нь алсын шалгалтын хяналтын дор ажиллуулахаар бүтээгдсэн дэлгэцийн зураг авах, хариулт авах хэрэгсэл бөгөөд эх сурвалж үүнийг өөрийн үгээр хэлсэн.
Эхлүүлэгч нь Electron-г ажиллуулахаасаа өмнө хуурамч файлын нэрээр хуулбарлаж, юунаас зайлсхийж байгаагаа нэрлэнэ:
// 🛡️ STEALTH BINARY NAME: Жинхэнэ Testpad-тай мөргөлдөж болохгүй! const STEALTH_NAME = 'SearchApp.exe';
Ижил файлын толгой хэсэг нь үүнийг ... гэж нэрлэдэг. Прокторын эсрэг сүнсний харуул мөн хурдан устгагдах тусам улам ухардаг дахин төрөх давталтыг хэрэгжүүлдэг. Бусад тохиолдолд энэ үйл явц өөрийн гэсэн тэргүүлэх чиглэлийг нэмэгдүүлдэг. CPU-ийн хяналтын хязгаарлалттай тэмцэх, шалгалтын өргөдлийг анхаарлын төвд оруулах үед урд талаас нь түлхэж, Аюулгүй шалгалтын хөтчийн хүүхдийн процессыг зогсооно taskkill /F /T.
Capture нь гүйцэтгэх бодлогыг идэвхгүй болгож, цонхыг дарсан байдлаар дуудагдсан багцалсан PowerShell скриптээр дамжин ажилладаг бөгөөд дэлгэц дээрх текстийг Windows UI Automation-аар зэрэгцээ цуглуулдаг. Дараалалд байгаа зураг болон текстийг суулгагдсан хөтөч дээрх хэлний загварын сесс рүү илгээж, хариултыг үргэлж дээр байгаа давхаргад харуулдаг. Энэ холболтыг санаатайгаар хойшлуулдаг бөгөөд код нь шалтгааныг нь өгдөг: NETSTAT-д байнгын өртөлтөөс зайлсхийхийн тулд.
Багц мөн тээвэрлэгддэг chrome_cookie.ps1толгойлсон Хром жигнэмэгийн хандлагч, нь DPAPI-ээр дамжуулан Chrome болон Edge күүкиг тайлж, дөрвөн хүртэлх хөтчийн профайлаас күүки мэдээллийн санг уншдаг. Урьдчилан мэдээлсэнcisely: Бид ямар ч илгээсэн JavaScript файлаас нэрээр дуудагдсан скриптийг олоогүй. Одоо байгаа бөгөөд хүрч болох зүйл бол хадгалагдсан сессийн күүкиг суулгагдсан хөтөч рүү оруулдаг хэрэглээний тал юм.
Үүнийг суурилуулсан хүмүүсийн байр суурь
Хэн ч үүнийг санамсаргүйгээр суулгадаггүй. Энэ нь хяналттай шалгалтаас гадуур ямар ч функцгүй бөгөөд түүний гаралт нь хэрэглэгчийн өөрийн дэлгэц дээр хариултын давхардал юм. Хуурамч багцын тайлбар нь суулгагчид огт чиглээгүй - энэ нь бүртгэл болон дараа нь машиныг шалгасан хэн бүхэнд чиглэсэн хавтас юм. Суулгагч юу авч байгаагаа мэддэг; тайлбар нь байдаг тул бичлэг Суурилуулалтын хэмжээ нь үүнийг тусгаагүй болно.
Хохирсон талууд нь npm-д хэзээ ч хүрээгүй гуравдагч этгээдүүд юм: шалгалт явуулж буй байгууллага, бусад нэр дэвшигчид, мөн ямар нэгэн утга учиртай итгэмжлэлд найддаг дараагийн бүх хүмүүс.
Гэхдээ суулгагч нь тийм ч аюулгүй биш бөгөөд энэ хэсгийг тодруулах нь зүйтэй юм, учир нь алга болж буй багцын загвар нь өөрөө илчлэлтийг үүсгэдэг.
Тэд хэнээс ч гарын үсэггүй хоёртын файл ажиллуулж байна. uia_extract.exe байхгүй болсон бүртгэлээс эх сурвалжгүй, бүтээх гарал үүсэлгүй эмхэтгэсэн. Үүнтэй ижил файлыг хэшээр дахин нийтэлсэн letol39119, so1d1a7i27, lololololol435678, tagadob568, tayihim489, sahihai123 болон Хэйтошан Арван таван өдрийн турш. Асуух засварчин байхгүй, унших репозитор байхгүй, шалгах түүх байхгүй - үүнийг илгээсэн бүх таних тэмдэгтүүд өөрийгөө устгасан.
Тэд хортой програм хангамжид шаардлагатай яг тэр чадварыг түүнд олгосон. Хуурамч нэрээр ажилладаг, хөтчийн күүки санг тайлж, дэлгэцийг тасралтгүй уншиж, аюулгүй байдлын програм хангамжийг зогсоож, устгагдсан үед дахин гарч ирдэг далд процесс. Өнөөдөр күүки тайлах үйл явц нь нэг үйлдвэрлэгчийн домэйнд хамрах хүрээтэй бөгөөд хэрэглэгчийн өөрийн сессэд үйлчилдэг. Энэ хүрээ нь нэг мөрийн өөрчлөлт бөгөөд хүргэлтийн загварын талаар юу ч өөрчлөгдөхгүй - шинэ нэр, шинэ бүртгэл, шинэ байршуулалт.
Тэд засвар хүлээн авах боломжгүй. Багц нэг цагийн дотор нийтлэгдэхээ больсон. Шинэчлэх зам, зөвлөгөө байхгүй бөгөөд тэдний суулгасан хувилбар нь найзынх нь суулгасан хувилбараас өөр болохыг дараа нь мэдэх арга байхгүй. Машин дээр байгаа бүхэн тэндээ үлддэг.
Тэд юу хийж байгаагаа аудит хийж чадахгүй. Тэдний цоожны файл нь одоо шийдэгдэхээ больсон багцыг лавлаж байна. Хэрэв тэд дараа нь - ослын дараа эсвэл маргааны дараа - машин дээрээ юу байгааг тогтоохыг хүсвэл бүртгэлд тэдэнд өгөх бүртгэл байхгүй болно.
Мөн тэд хохирлын талаар мэдээлж чадахгүй. Энэ хэрэгслээр халдлагад өртсөн хэрэглэгч яагаад суулгаснаа мэдэгдэлгүйгээр зүй бус үйлдлийн тайлан гаргаж чадахгүй. Энэ нь санамсаргүй биш юм. Бүртгэлийн зүй бус үйлдлийн тайлан нь богино хугацааны багцуудыг илрүүлдэг гол суваг бөгөөд энэ операторын хэрэглэгчийн бааз нь бүтцийн хувьд үүнийг ашиглах боломжгүй байдаг. Үлдсэн цорын ганц өрсөлдөгч бол автомат сканнердах бөгөөд арван долоон минутын цонхоор тохируулагддаг.
Хохирогчийн бүтэц болон оршин тогтнох хугацаа нь хоёр удаа харагдсан ижил баримт юм. Энэ нь мөн цагийн шугамын гажигийг тайлбарладаг: хэрэв татгалзлыг гомдол гаргахаас айсан тохиолдолд удаан хугацааны турш үргэлжилсэн алдартай багц эхлээд явах байсан. Гомдол хэзээ ч ирдэггүй тул тийм биш байсан.
Ижил хэв маяг, өөр оператор
Хяналтын оператор үүнд ганцаараа биш бөгөөд хамгийн тодорхой зэрэгцээ нь холбоогүй ачаа дээр ажилладаг.
8-р сарын 24-27-ны хооронд хоёр хүчин зүйлийн баталгаажуулалтын хэрэгслээс зээлсэн нэрээр дөрвөн npm багц гарч ирсэн. auth-otp, нууц түлхүүр-2fa, нууц түлхүүр2фа болон 2fa-нууц түлхүүр — тэдгээрийн хооронд арван зургаан хувилбарыг авч явсан. Тус бүр нь өөрийн шинээр бүртгүүлсэн бүртгэлээс нийтлэгдсэн (бейаилол, Жанпол 686г, зззалипэй, длүүүүүү), бүгд имэйлээр баталгаажаагүй, баталгаажсан эх сурвалжийн хяналтын холбоосгүй, өөр юу ч нийтлээгүй. Бүгдийг нь өөрийн хэвлэн нийтлэгч нь татан авсан.
Энэ ашигтай ачаалал нь шалгалтын програм хангамжтай ямар ч холбоогүй. Энэ нь хөтчийн итгэмжлэлийн дэлгүүрүүд болон Discord токенуудыг уншиж, шинэчлэх токеныг авахын тулд Xbox Live баталгаажуулалтын шатыг Minecraft эхлүүлэгчийн эсрэг алхдаг. Энд суулгагч байна is энгийн утгаараа хохирогч - энэ нь харьцуулалтыг ашигтай болгодог зүйл юм, учир нь хүргэлтийн зан төлөв нь ямар ч байсан адилхан байдаг.
Дөрвөн мөчлөг нь нийтлэх дарааллаар 274.9, 37.8, 37.6 болон 35.7 минут үргэлжилсэн: нэг урт эхний оролдлого, дараа нь батлагдсан тоон дээр нэгдэх. Өөр гурван багц нь бусад операторуудад хамаарах бөгөөд ижил таталтын зан төлөвийг харуулсан.
Долоон багц, дунджаар 37.8 минут, тэдгээрийн аль нь ч шалгалтын програм хангамжтай холбоогүй.
Гурван холбоогүй ашигтай ачаалал, гурван холбоогүй дансны багц, нэг хуваалцсан арга.
Яагаад цонх хаагддаг вэ
2026 онд бүртгэлийн орчинд ямар нэгэн зүйл өөрчлөгдсөн бөгөөд хамгийн тодорхой шалтгаан нь сканнердах хурдассан явдал юм.
Саяхныг хүртэл хортой багцуудыг голчлон тухайн үйл явдлын дараа илрүүлдэг байсан: хэрэглэгч ямар нэгэн зүйлийг анзаарсан, дараагийн тайлан эсвэл үечилсэн шинжилгээгээр. Илрүүлэлтийн хоцрогдолыг хэдэн өдрөөр хэмждэг байсан. Энэ нь цорын ганц горим биш болсон. Шинээр нийтлэгдсэн багцуудын бараг бодит цагийн шинжилгээ — Xygeni-ийн өөрийн хортой програм хангамжийн эрт сэрэмжлүүлэг салбарын хэмжээнд өсөн нэмэгдэж буй ийм системийн дунд - нийтлэл болон хяналт шалгалтын хоорондох зайг хамаагүй богиносгодог.
Хоёр сонголттой тулгарч буй оператор. Ачааллыг танихад хэцүү болгох эсвэл харах боломжтой хугацааг богиносгох. Хоёр дахь нь хямд, инженерчлэл шаарддаггүй бөгөөд бүртгэл нь механизмыг үнэ төлбөргүй олгодог: npm-ийн 72 цагийн нийтлэхээ болих цонхны дотор нийтлэгч багцыг нэг талын байдлаар устгаж болох бөгөөд нэрийг дараа нь дахин ашиглаж болно. Татаж авах нь операторт ямар ч зардал гарахгүй.
Хугацаа таарч байна. Дээрх хоёр оператор хоёулаа дүрс дээр нийлж, түүнийг гулсах биш харин барьдаг бөгөөд энэ нь тохируулсан параметр нь тохиромжтой байдлаас илүүтэйгээр харагддаг зүйл юм. Тэдний нийлсэн параметр нь хэдэн арван минутын өмнө байрладаг.cisбагцыг хэрэглэгчдэдээ хүрэхэд хангалттай удаан хугацаанд суулгах боломжтой хэвээр үлдээхийн зэрэгцээ автоматжуулсан шалгалтын тэнцлийг давахын тулд суух шаардлагатай болно.
Энэ нь таамаглал хэвээр байна. Цаг хугацааны өгөгдөл нь сканнердах хариу үйлдлийг бүртгэлийн хэрэгжилтийн хариу үйлдлээс эсвэл эдгээр операторууд бие биенээсээ суралцах үед ердийн үйл ажиллагааны төлөвшлөөс салгаж чадахгүй. Дүгнэлтгүйгээр юу гэж хэлж болох нь илүү нарийхан бөгөөд ашигтай хэвээр байна: Илрүүлэлтийн цонх одоо хангалттай богино болсон тул нийтлэгдсэний дараа багцыг шалгахаас хамааран аливаа хяналт нь операторын тохируулсан цагийг уралдуулж байна. Насаар тусгаарлагдсан, суулгах скриптийг идэвхгүй болгосон гэх мэт хяналт шалгалтаас хамааралгүй хяналтууд нь тухайн арьс өнгөөр нөлөөлөгддөггүй тул тэдгээрийг илүүд үзэх практик шалтгаан юм.
Энэ талаар юу хийх вэ
Насны дагуу хорио цээр. Амьдрах хугацааны хүснэгтэд арван гурван цагаас дээш хугацаа үлдсэнгүй. Хамаарлын хувилбарыг 72 цаг хүртэл суулгах боломжгүй гэсэн бодлого нь юу ч илрүүлэлгүйгээр бүгдийг нь хасах байсан.
Анхдагчаар суулгах скриптүүдийг идэвхгүй болгох. –үл тоомсорлох-скриптүүд Энэ корпус дахь итгэмжлэл хулгайлах багцуудын хамааралтай хүргэх механизмыг арилгадаг. Энэ нь хэрэглэгчийн санаатайгаар ажиллуулдаг хэрэгсэлд тус болохгүй бөгөөд энэ нь урьдчилан хийгдсэн байдаг.cisойлгоход үнэ цэнэтэй ялгааг авч үзье.
Алга болох явдлыг аюулгүй байдлын үйл явдал гэж үз. Суулгасан хамаарал шийдэгдэхээ больсон үед анхааруулга өгөх. Нотлох баримт нь бүртгэлд биш, харин таны цоожтой файлд хадгалагдсаар байна.
Нэрсийг биш, контентыг хянах. Дээрх зургаан дайжест нь багцын нэр, нийтлэгчийн бүртгэл эсвэл хувилбарын мөрөөс үл хамааран таарч байна - энэ оператор талбар бүрийг өөрчлөх болно гэдгийг харуулсан. Шинээр бүртгүүлсэн бүртгэл нэг цагийн дотор цорын ганц багцаа татаж авах нь тайлагнах боломжтой загвар гэсэн бүртгэлийн талын дүрэм нь зөвхөн мета өгөгдөл дээр л энд байгаа бүх багц дээр ажиллах байсан.
Хэрэв та энэ ангилалд ямар нэгэн зүйл суулгах талаар бодож байгаа бол: Бүртгэлийг олоход хэцүү болгодог шинж чанарууд нь танд ямар ч арга хэмжээ авах боломжгүй болгодог шинж чанаруудтай адил юм. Хариуцлага хүлээх хэвлэн нийтлэгч байхгүй, шинэчлэх зам байхгүй, таны ажиллуулсан зүйлийн бүртгэл байхгүй.
Шалгуур үзүүлэлт
Ашигласан материал
- npm-ийн нийтлэхгүй байх бодлого — хэвлэн нийтлэгч ямар ч оролцоогүйгээр багцыг устгаж болох 72 цагийн хугацаа.
