TL; ඩී
නම් කරන ලද PyPI පැකේජයක් gcli-පාලනය සම්පූර්ණ Windows දුරස්ථ ප්රවේශ මෙවලමක් නැව්ගත කරන ලදී: යතුරු පහර ලොග් කිරීම, වෙබ් කැමරාව සහ මයික්රෆෝනය ග්රහණය කිරීම, ක්ලිප්බෝඩ් නිරීක්ෂණය, බ්රවුසර-අංකපත්ර ප්රවේශය, තිර පාලනය, නොනැසී පැවතීම, වරප්රසාද ඉහළ යාම සහ ස්වයං-ප්රචාරණය කරන ලද "140+ විධාන". එය එය කුමක්දැයි සඟවා නැත: පැකේජයේම PyPI සාරාංශය එය "හරහා දුරස්ථ ප්රවේශ මෙවලමක්" ලෙස විස්තර කළේය. npoint.io යෙදුම".
විරාමයක් තැබීමට වටින විස්තරය නම් එම වාක්ය ඛණ්ඩයයි "npoint.io හරහා." කැපවූ සේවාදායකයකට නිවසට කතා කිරීමට වඩා, බද්ධ කිරීම භාවිතා කරන ලදී npoint[.]io (කුඩා JSON ලේඛන සත්කාරකත්වය සඳහා නොමිලේ, නීත්යානුකූල සේවාවක්) එහි විධාන-සහ-පාලන රිලේ ලෙස. ක්රියාකරු JSON බින් එකකට විධාන ලියයි; බද්ධ කිරීම බින් කරන, ක්රියාත්මක කරන සහ ප්රතිඵල නැවත ලියන ඡන්ද විමසීම් කරයි. අවහිර කිරීමට ප්රහාරකයා සතු වසමක් නැත, සලකුණු කිරීමට නව IP නැත: ගමනාගමනය සංවර්ධකයින් දිනපතා භාවිතා කරන සේවාවකට යයි.
ආසන්න වශයෙන් පැය දහතුනහමාරක් ඇතුළත අනුවාද හයක් ප්රකාශයට පත් කරන ලද අතර, ඒ සෑම එකක්ම පෙර එකට වඩා දක්ෂ විය. ඒ සෑම එකක්ම ලකුණු ලබා ගන්නා ලදී. ml_predicted_safe_ අතින් සමාලෝචනය කිරීමට පෙර ස්වයංක්රීය වර්ගීකරණයක් මගින් පවුල ද්වේෂසහගත ලෙස නැවත වර්ගීකරණය කරන ලදී.
ප්රහාර ව්යුහ විද්යාව
gcli-පාලනය ආයාත පැකේජය ස්ථාපනය කරයි ජීසීඑල්අයි, මොඩියුල 35 ක පයිතන් කේත පදනමකි. ස්ථාපන වේලාවන් නොමැත. hooks — කිසිවක් ක්රියාත්මක නොවේ පයිප්ප ස්ථාපනය. හැකියාව මොඩියුල තුළම පවතින අතර, මෙවලම ක්රියාත්මක වූ පසු ක්රියාත්මක වන අතර මොඩියුල පිරිසැලසුම නිෂ්පාදන පිරිවිතර පත්රිකාවක් මෙන් කියවනු ලැබේ:
විධාන නාලිකාව සිත්ගන්නා සුළු කොටසයි. බොහෝ දුරස්ථ ප්රවේශ මෙවලම් ක්රියාකරු පාලනය කරන සේවාදායකයකට ළඟා වේ - IP ලිපිනයක්, වසමක්, වාර්තා කළ හැකි සහ නොබැඳි ලෙස ගත හැකි සත්කාරක සපයන්නෙක්. gcli-පාලනය ඒ වෙනුවට සලකන්නේ a නොමිලේ JSON-bin සේවාව තාවකාලිකව. එම එන්පොයින්ට් මොඩියුලය කුඩා JSON ලේඛන කියවා ලියයි npoint[.]io සාමාන්ය HTTPS හරහා; ගුප්තකේතනයකි/ගුප්තකේතනය කර ඇත මොඩියුල හුවමාරු කරන ලද ගෙවීම් ඔතා ඇති බැවින් බින් අන්තර්ගතය සරල පෙළ විධාන නොවේ. බලපෑම මැදිහත් වූ, සංකේතනය කළ රිලේ එකකි:
- ක්රියාකරු (සංකේතනය කළ) උපදෙස් JSON බඳුනකට දමයි.
- වින්දිත ධාරකය මත ක්රියාත්මක වන බද්ධ කිරීම, එම බින් එක මත විමසුමට ලක් කරයි, විකේතනය කරයි, එහි විධාන හසුරුවන්නෙකු ක්රියාත්මක කරයි, සහ (සංකේතනය කළ) ප්රතිඵලය නැවත ලියයි.
- ජාල මොනිටරයකට, වින්දිතයා කතා කරන්නේ npoint[.]io — සංවර්ධක ගමනාගමනයේ පෙනී සිටීමට නීත්යානුකූල හේතුවක් සහිත සේවාවක්.
මෙහි දෙවන අදියර බාගත කිරීමක් සහ අපැහැදිලි පූරකයක් නොමැත: හැකියාව කියවිය හැකි පයිතන් තුළ සම්පූර්ණයෙන්ම නැව්ගත කරන අතර, එකම "සැඟවීම" වන්නේ රිලේ තේරීම සහ රිලේ කරන ලද ගෙවීම් සංකේතනය කිරීමයි.
JSON-bin dead-drop එකක් ක්රියාකාරීව ආකර්ශනීය වන්නේ මන්දැයි සඳහන් කිරීම වටී, මන්ද එය රටාව නැවත දැකීමට අප අපේක්ෂා කරන්නේ මන්දැයි පැහැදිලි කරයි:
- ක්රියාකරු සතු අන්ත ලක්ෂ්යයක් නොමැත. ලියාපදිංචි කිරීමට C2 වසමක් නැත, කුලියට ගැනීමට VPS නැත, සහ ආරක්ෂකයෙකුට හෝ රෙජිස්ට්රාර්වරයෙකුට අත්පත් කර ගැනීමට කිසිවක් නැත. ඉවත් කිරීම පැකේජය නාලිකාව ස්පර්ශ නොකරයි; ඉවත් කිරීම නාලිකාව මිලියන ගණනක් අතරින් එක් ලේඛනයක් පමණක් පරීක්ෂා කිරීමට පොදු කාර්ය SaaS එකක් ඉල්ලා සිටීම යන්නෙන් අදහස් කෙරේ.
- කීර්ති නාමයට හානි කිරීම. ප්රසිද්ධ සංවර්ධක සේවාවකට පිටතට යන HTTPS, නැවුම් වසමකට හෝ අමු IP එකකට ඇති කීර්ති නාම දඬුවම් කිසිවක් ගෙන එන්නේ නැත. බොහෝ පිටවීමේ-පෙරහන් සැකසුම් එයට ව්යංගයෙන් ඉඩ දෙයි.
- අසමමුහුර්තතාවය සහ ප්රතික්ෂේප කිරීමේ හැකියාව. ඡන්ද ආකෘතියක් - බද්ධ කිරීම විවෘත සොකට් එකක් තබා ගැනීමට වඩා පරතරයකින් ලේඛනයක් ලබා ගනී - අන්තර්ක්රියාකාරී සැසියක් නොව, ආවර්තිතා API ඡන්ද විමසීමක් මෙන් පෙනෙන ගමනාගමනය නිපදවයි. ලේඛන අන්තර්ගතය සංකේතනය කිරීම යනු බඳුන සොයා ගන්නා විශ්ලේෂකයෙකුට පවා විධාන ලැයිස්තුවක් නොව කේතාංක පෙළ දකින බවයි.
- සුළු භ්රමණය. වෙනස් බඳුනකට හෝ සම්පූර්ණයෙන්ම වෙනස් සටහන්/පේස්ට් සේවාවකට මාරු වීම, ක්රියාකරු සඳහා එක්-පේළි වින්යාස වෙනසක් වේ. නිශ්චිත රිලේ වෙත යතුරු කර ඇති ඕනෑම බ්ලොක් ලැයිස්තුවක් එය නැව්ගත කරන මොහොතේම යල් පැන යයි.
ක්රියාකරු පිළිගන්නා හුවමාරුව ප්රතිදානය සහ ප්රමාදය වේ: ඩෙඩ්-ඩ්රොප් රිලේ එකක් සෘජු සම්බන්ධතාවයකට වඩා මන්දගාමී සහ අඩු කලාප පළලකි. බොහෝ දුරට කෙටි විධාන නිකුත් කරන සහ කාලයත් සමඟ ප්රතිඵල එකතු කරන නිරීක්ෂණ සහ පාලන බද්ධ කිරීමක් සඳහා, එම හුවමාරුව සිදු කිරීම පහසුය.
කාල නියමය
පවුල වේගයෙන් උත්සන්න විය. සලකුණු කරන ලද අනුවාද සඳහා ටිකට්පත් නිර්මාණය කිරීමේ කාලරාමු මඟින් මුළු නිරීක්ෂණය කරන ලද චාපය පැය දහතුනහමාරක් පමණ ඇතුළත තබන අතර, ස්කෑනරයේම සාක්ෂි ගණන කේතය සමඟ වර්ධනය විය - පළමු අනුවාදයේ සලකුණු කරන ලද අඩවි කිහිපයක සිට නවතම අනුවාදයේ දහහතර දක්වා.
අනුවාද අංක දැඩි අනුපිළිවෙලකට ප්රකාශයට පත් කර නැත, නමුත් දිශාව පැහැදිලිය: පළමුව කුඩා කප්පාදුවක්, පසුව සම්පූර්ණයෙන්ම විශේෂාංගගත 0.7.1 දෙසට වේගවත් පුනරාවර්තනයක්. මෙය ක්රියාකාරී සංවර්ධනය යටතේ පවතින ව්යාපෘතියක් වර්ධනය වන විට පොදු ලේඛනයකට තල්ලු කරනු ලබන ආකාරයයි, එක්-වරක් පහත වැටීමක් නොවේ.
සම්මුතියේ දර්ශක
පහත දැක්වෙන සියලුම දර්ශක, තැටියේ පැකේජ අන්තර්ගතයට සහ 0.7.1 අනුවාදයේ නිර්ණායක දර්ශක ස්කෑන් පරීක්ෂණයකට අනුව තහවුරු කර ඇත; කිසිවක් සමපේක්ෂන නොවේ.
ආරක්ෂක සටහන: ශක්තිමත්ම කල් පවතින සංඥාව වන්නේ වසම නොවේ (රිලේ ධාරකයක් සුළු වශයෙන් භ්රමණය වේ) නමුත් හැඩය: වෙනස් ධාරක-අධීක්ෂණ ප්රාථමික තුනක් හෝ වැඩි ගණනක් මිටි කරන තනි පැකේජයක් සහ පොදු අන්තර්ගත සත්කාරක සේවාවක් හරහා විධාන/ප්රතිචාර ලූපයක් යොමු කරයි. අවහිර කිරීම. npoint[.]io බොහෝ වෙළඳසැල් සඳහා සම්පූර්ණයෙන්ම ප්රායෝගික නොවේ; ආදාන උපාංග ග්රහණය කර JSON-බින් සේවාවකට කතා කරන අනපේක්ෂිත ක්රියාවලියක් පිළිබඳව අනතුරු ඇඟවීම වඩාත් ශක්තිමත් වේ.
නිරීක්ෂණය කළ හැසිරීම සහ රාමු කිරීම
කරුණු දෙකක් මෙම නියැදිය අසාමාන්ය කරයි, සහ දෙකම චේතනාව පිළිබඳ අනුමානවලට වඩා නිරීක්ෂණය කළ හැකි කරුණු වේ.
එය තමන්වම ප්රචාරය කරගත්තා. PyPI හි බෙදා හරින ලද පැකේජ සාරාංශය සරල භාෂාවෙන් හැකියාවන් ලැයිස්තුගත කළේය - දුරස්ථ ප්රවේශය, ඩෙස්ක්ටොප් පාලනය, පරිශීලක කළමනාකරණය, වෙබ් කැමරාව, ශ්රව්ය, යතුරු ලියනය, නොනැසී පැවතීම, බ්රව්සර් දත්ත, WiFi, රෙජිස්ට්රි, "140+ විධාන". ගොඩනැගීමේ සහායකයෙකු, CLI එතුමක හෝ AI-නියෝජිත උපයෝගීතාවයක් ලෙස කේතය ලබා දීමට කිසිදු උත්සාහයක් නොතිබුණි, එය පොදු ලේඛනවල අප දකින වඩාත් පොදු වෙස්වළා ගැනීමයි. එම විවෘතභාවය ප්රවේශ පාලනයන් නොමැතිව ප්රකාශයට පත් කරන ලද රතු-කණ්ඩායම් මෙවලමක් පිළිබිඹු කරයිද යන්න හෝ වෙනත් දෙයක් පැකේජ අන්තර්ගතයන් පමණක් විසඳන්නේ නැති ප්රශ්නයකි; නිශ්චිත දෙය නම් වැඩ කරන, පොදු කාර්ය දුරස්ථ ප්රවේශ සහ නිරීක්ෂණ මෙවලම් කට්ටලයක් ඕනෑම කෙනෙකුට ස්ථාපනය කළ හැකි වීමයි. එක පිප්ස් එකකට.
එය හිතකර සේවාවක් කෙරෙහි විශ්වාසය මත රඳා පැවතුනි. භාවිතා කරමින් npoint[.]io රිලේ යනු නිර්වචන තාක්ෂණය වන බැවිනි. එය පුළුල් රටාවකට උදාහරණයකි - නීත්යානුකූල SaaS (පේස්ට් අඩවි, JSON බින්, චැට් වෙබ්) හරහා C2 මාර්ගගත කිරීම.hooks, cloud docs) එවිට ද්වේෂසහගත ගමනාගමනය සාමාන්ය සංවර්ධක ක්රියාකාරකම් වලට මිශ්ර වන අතර අල්ලා ගැනීමට ක්රියාකරු සතු අන්ත ලක්ෂ්යයක් නොමැත. රිලේ හි ගෙවීම් සංකේතනය කර ඇත, එබැවින් බින් අන්තර්ගතය අනියම් නිරීක්ෂකයෙකුට විධාන ලෙස කියවිය නොහැක.
ප්රකාශක සංඥා තුනී සහ සාමාන්යයි. පැකේජය ප්රකාශ කළේ කර්තෘ “gcli දායකයින්” සහ MIT බලපත්රයක්, සහ එහි මුල් පිටුව සහ ගබඩාව ක්ෂේත්ර පෙන්වා දුන්නේය github[.]com/gcli-control/gcli. ඒ කිසිවක් සත්යාපනය නොවේ: කර්තෘ නූලක් නොමිලේ පෙළකි, MIT බලපත්ර ශීර්ෂයකට කිසිවක් වැය නොවේ, සහ පැකේජ පාර-දත්තවල ඇති නිධි URL එකක් යනු හිමිකම් පෑමක් මිස සම්භවය පිළිබඳ සාක්ෂියක් නොවේ. රටාව - අලුත්ම නමක්, සාමාන්ය සාමූහික කතුවරයෙක් සහ පැකේජය වටා නිර්මාණය කරන ලද ස්වයං-යොමු සංවිධානයක්/repo එකක් - දුරස්ථ පාලක විශේෂාංගයක් වර්ධනය කර ඇති ස්ථාපිත මෙවලමකට වඩා, කේතය රැගෙන යාමට විශේෂයෙන් නැගී සිටින විට ව්යාපෘතියක් පෙනෙන්නේ එලෙසයි. අපි මේවා නිරීක්ෂණ ලෙස සටහන් කරමු; ඒවා අනුකූල වන නමුත් ඒවා විසින්ම අරමුණ-සාදන ලද බෙදාහැරීමක් ස්ථාපිත නොකරයි.
හැකියාව සහ බෙදා හැරීමේ පදනම මත අපි මෙම විස්ථාපනය ද්වේෂසහගත ලෙස විස්තර කරමු: සම්පූර්ණ, ධාවනය කළ හැකි දුරස්ථ ප්රවේශය සහ නිරීක්ෂණ බද්ධ කිරීමක්, රහසිගත රිලේ එකක් සහිත පොදු පැකේජ දර්ශකයක් මත බෙදා හරිනු ලැබේ. අපි ඉලක්කයක් හෝ චේතනාවක් ආරෝපණය නොකරමු.
බලපෑම, ප්රවණතා සහ ආරක්ෂකයින්ට කළ හැකි දේ
වෙස්වළා ගැනීමට නැඹුරු වූ ත්රිත්ව සඳහා අන්ධ ස්ථානයක්. බොහෝ ස්වයංක්රීය පැකේජ ට්රයිජ් යතුරු මත වෙස් මුහුණු සංඥා සාමාන්ය රෙජිස්ට්රි අනිෂ්ට මෘදුකාංග — අපැහැදිලි බ්ලොබ්, ස්ථාපන කාලය hooks, සහතික-අස්වැන්න නෙළන එක්-ලයිනර්. සරලව ඇති පැකේජයක් විවෘතව RAT එකක්, පිරිසිදු කියවිය හැකි කේතයක් සහ ස්ථාපන කොක්කක් නොමැතිව, එම කථා කිසිවක් ඉදිරිපත් නොකරන අතර සැඟවීම අපේක්ෂා කරන හියුරිස්ටික් පසුකර යා හැක. මෙම පන්තිය විශ්වාසදායක ලෙස අල්ලා ගන්නා සංඥා වෙස්වළා ගැනීම මත පදනම් වූ ඒවා නොව ව්යුහාත්මක ය: හැකියාවන් සංගණනයක් (එක් පැකේජයක සහජීවනයෙන් පවතින වෙනස් සත්කාරක-අධීක්ෂණ ප්රාථමිකයන් කීයක් තිබේද) සහ C2-හැඩ විශ්ලේෂණය (සාමාන්ය-කාර්ය අන්තර්ගත-සත්කාරක සේවාවක් හරහා යොමු කරන ලද විධාන/ප්රතිචාර ලූපයක්). එම පරීක්ෂාවන් කෙතරම් අවංක වුවත් හෝ නොසලකා හරිනු ලැබේ. අපැහැදිලි ඇසුරුම්කරණය යනු.
SaaS-as-C2 ප්රවණතාවය. නීත්යානුකූල සත්කාරක සේවාවක් අක්රිය ලෙස අපයෝජනය කිරීම අලුත් දෙයක් නොවේ, නමුත් සේවාව අවහිර කිරීමේ ආරක්ෂක පිරිවැය ඉහළ මට්ටමක පවතින අතර සේවා මාරු කිරීමේ ප්රහාරාත්මක පිරිවැය ශුන්යයට ආසන්න බැවින් එය දිගටම ක්රියාත්මක වේ. එයින් වැඩි ප්රමාණයක් බලාපොරොත්තු වන්න. නිශ්චිත නරක වසම් වෙත යොමු කරන ලද ජාල ආරක්ෂණ වහාම කල් ඉකුත් වේ; හැසිරීම් නීති (“මෙම ක්රියාවලිය ක්ලිප්බෝඩ් එක සහ වෙබ් කැමරාව කියවා පසුව සටහන්-සත්කාරක API එකකට කතා කරයි”) එසේ නොවේ.
කොන්ක්රීට් හඳුනාගැනීමේ සටහනක්. කල් පවතින රීතිය නම් නොකරයි npoint[.]io කිසිසේත්ම. එය සාමාන්ය සංවර්ධකයෙකු හෝ CI සත්කාරකයෙකු මත තනි තනිව පොදු නමුත් ඒකාබද්ධව දුර්ලභ වන නිරීක්ෂණ දෙකක් ඒකාබද්ධ කරයි:
එක් ක්රියාවලියක්, එක් සැසියක් තුළ, දෙකම ඇති විට අනතුරු ඇඟවීම:
(A) සත්කාරක-අධීක්ෂණ ප්රාථමික — ආදාන උපාංගයක් (යතුරු පුවරුව/මූසික කොක්ක), කැමරාව, මයික්රෆෝනය, තිර ග්රහණය, ක්ලිප්බෝඩ් කියවීමේ-ලූපය, හෝ බ්රවුසර අක්තපත්ර ගබඩාවකට ප්රවේශ වේ ("Login දත්ත" / "දේශීය රාජ්යය" / DPAPI); සහ
(B) පොදු අන්තර්ගත-සත්කාරක / අලවන්න / JSON-bin / chat-webhook සේවාවක් වෙත පිටතට යන ඉල්ලීම් සිදු කරයි, පසුව (B) හි නිශ්චිත සේවාව කුමක් වුවත්, සමාලෝචනය සඳහා මතු කරයි.
අඩක්වත් තනිවම සැක සහිත නොවේ: නීත්යානුකූල මෙවලම් තිර රුව ඕනෑ තරම් තිබේ, සහ සත්කාරක API එකකට JSON පළ කිරීමට ඕනෑ තරම් තිබේ. කෙටි කාලීන ක්රියාවලියක් තුළ ඇති සංයෝජනය සංඥාව වන අතර එය ඕනෑම රිලේ භ්රමණයකින් බේරී පවතී.
කණ්ඩායම් සඳහා ප්රායෝගික පියවර:
- සංවර්ධක සහ CI සත්කාරක මත පොදු පැකේජ ස්ථාපනයන් පහසුවක් ලෙස නොව ක්රියාත්මක කිරීමේ සීමාවක් ලෙස සලකන්න - ගොඩනැගීමේ නියෝජිතයෙකු මත RAT එකක් යනු ඔබේ රහස් සහිත RAT එකකි.
- අවසර ලත් ලැයිස්තුගත අභ්යන්තර දර්පණ වලට වැඩි කැමැත්තක් දක්වන්න; දුරස්ථ පාලකය සඳහා වචනාර්ථයෙන් නම් කර ඇති සහ යතුරු ලියනයක් විස්තර කරන පැකේජයක් කිසි විටෙකත් ආයතනික දර්ශකයක විසඳිය යුතු නොවේ.
- අනතුරු ඇඟවීම සංයෝජනයකි — ආදාන-උපාංගය හෝ තිර ග්රහණය සහ අන්තර්ගතය/පේස්ට්/JSON-බින් සේවාවකට පිටතට යන ගමනාගමනය — හුදකලාව හිතකර භාවිතයන් ඇති ඕනෑම තනි ප්රාථමිකයකට වඩා.
- පුළුල් සත්කාරක-ප්රවේශ හැකියාවක් ඇති පැකේජ සඳහා පර්යන්ත තීන්දුවක් ලෙස ස්වයංක්රීය “ආරක්ෂිත” ලකුණු මත විශ්වාසය නොතබන්න; ඒවා මානව සමාලෝචනයට යොමු කරන්න.
පැකේජ පවුල ද්වේෂසහගත ලෙස වර්ගීකරණය කර ඇති අතර රෙජිස්ට්රි ඉවත් කිරීම සඳහා යොමු කර ඇත. රිලේ-පාදක C2 ක්රියාකරු සතු ධාරකයක් ගිලා බැසීමට ඉඩ නොදෙන බැවින්, කල් පවතින ආරක්ෂක අගය ඉහත හැසිරීම් ඇඟිලි සලකුණෙහි ඇත, කිසිදු තනි අවහිර ලැයිස්තු ඇතුළත් කිරීමක නොවේ.
