TL; AMA
nolimit-agent o se afifi npm o ana lomiga ua lolomiina — 1.0.299 e oʻo atu ile 1.0.307, fa'asalalauina i aso e fa mai le 2026-06-26 i le 2026-06-29 — e tofu ma se fa'avae atoatoa o le phishing ma le tele-meli i totonu o se fa'asinomaga natia ma ua matua fa'alilolilo. I lomiga uma lava, o le fa'amatalaga autu e fa'ai'u i le .ad/x0.js, o se tasi o faila e ~86 i totonu o se faila e faaigoa i le dotfile o loʻo i ai pe tusa ma le 4,200 javascript-obfuscator string-array blobs; o le faʻatulagaga o le install hook ma le entry e tutusa uma lava i le laina.
I tua atu o le mea lilo o loo i ai se Fa'asologa o le fa'ailoga o masini a le Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) o le taimi lava e fa'amaonia ai se code, e faitau le pusa meli a le tagata ua a'afia i le Outlook ma auina atu mea e ala i le Microsoft Graph API; o se afi tele o le SMTP ma le SMS e fa'agaoioia e lisi o tagata e mauaina e le kamupani; fa'ata'ita'iga o savali fa'ata'ita'i; fausiaina o so'otaga tatala-redirect; ma le su'esu'eina o le DNS-over-HTTPS, WHOIS, ma le su'esu'ega code a le GitHub. Fa'ailoga feoa'iga taimi fa'atino i le atina'e o le kamupani i api[.]nolimitent[.]xyz:4100.
Ua a'afia: so'o se tasi e fa'apipi'i so'o se fa'aliliuga o le afifi, ma so'o se tasi Pusa meli a le Microsoft 365 o lē e ana le masini e faamaonia se numera o le masini o loʻo tuʻuina atu i ai. O le lomiga aupito lata mai, 1.0.307, o le pine aupito lata mai lea ma e tutusa le gafatia o le pusameli e fa'aaoga ai le code o le masini — e le gata i le tasi le lomiga tuai o le code leaga.
Mamafa: taua. O le siosiomaga ua a'afia: npm. O le tasi fa'ailoga e su'e muamua: le 'au talimalo api[.]nolimitent[.]xyz.
O le osofaʻiga: le auala e galue ai
O se atigi lelei i luga o se uta natia
O lo'o iai se foliga masani i le afifi. afifi.json folafola atu se pe a uma ona fa'apipi'i matau –
text postinstall: node scripts/postinstall.js — ma i le asiasiga tusitusiga/postinstall.js e le afaina: e faʻapipiʻi se poloaiga a le Windows ma alu ese. O le matau e le o le mea e nofo ai le amioga. O le tele ma te o fanua uma e lua e faasino i totonu .ad/, o se fa'asinomaga e taofia ai e le togi pito i luma mai le fa'asamasamanoa ls galuega faatino, ma o ana anotusi e tutusa lava le faanenefuina e masini. Na faitauina e le scanner tumau le ~4,293 encoded-payload e aofia ai le .ad/ seti o le module; javascript-obfuscator o se faʻalagolago i atinaʻe ua folafolaina, lea e fetaui ma le foliga o le string-array-rotation o faila ua faʻaputuina.
O le vaeluaga o le faailoilo muamua lea e tatau ona faaigoaina: o le matau faapipii o le a iloilo e se tagata iloilo e mama, ae o le code faagaoioiga e tasi le faila, natia ma faanenefuina, e na o le taimi lava e faagaoioi ai le nofoaga ulufale o le afifi ua auina atu i fafo.
Avanoa i le pusa meli a le Microsoft 365 masini-code
O le module .ad/x12.js o lo'o tauaveina le gafatia sili ona taua o le fa'avae. E fa'atinoina ai le tu'uina atu o le fa'atagaga masini a le Microsoft 365 OAuth 2.0:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode O le tu'uina atu o le code o le masini o se fa'agasologa fa'atulafonoina a Microsoft ua mamanuina mo masini e fa'atapula'aina le ulufale: e talosagaina e se tautua se code, e lolomi e le tagata fa'aoga lena code i totonu microsoft.com/masinilogin` i luga o se masini lona lua ma faamaonia, ma maua e le auaunaga o loʻo talosaga ni faʻailoga. Afai o le auaunaga o loʻo talosaga e anaina e se isi tagata e ese mai le pule o le pusa meli, e tuʻuina atu e le faamaoniga i lena vaega lona tolu se faʻailoga. A maua loa se faʻailoga, E faitau sa'o e le .ad/x12.js` le pusa meli e ala i le Microsoft Graph:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients le $filifili E tosoina mai e fa'aaliga ia tuatusi o le tagata na auina mai mai le pusa meli ma tuatusi o le tagata e mauaina mai mea na lafoina — o mea mata e fa'afanua ai tusitala a se tagata ua a'afia. O le avanoa lea a le fili-i-le-ogatotonu (AiTM) e ala i le maliega nai lo le pu'eina o upu fa'alilolilo: e leai se fa'amaoniga e fa'aaoga ai le phish i le uiga masani, na'o se code e fa'amaonia ai.
O se afi meli ma SMS tele faatasi ai ma mamanu fa'ata'ita'i
I tafatafa o le pusa meli o loʻo i ai se meli. E lafoina e le afifi faila faʻamaumauga e mafai ona faʻasaʻoina e le tagata faʻaoga — lisi a le tagata na auina mai (senders.txt, smtps.txt) ma se faila fa'ata'ita'i (galuega faatino.txt) — o ana tuatusi e fai ma sui e faitauina o se pepa fa'a'ole'ole mo le fa'atagā: security@apple.com, login-fa'amaoniga, tautua OAuth, pili, ma fa'asilasilaga o teugatupe e fa'asaga i se yourdomain.com sui le tagata e tu i totonu. O le itu SMS e feaveaʻi ai se telefoniebook ma le fa'atulagaina o le gateway. E toe fa'aluaina e le mailer ia lisi o tagata e mauaina na tu'uina atu e le operator ma lafo atu e ala i SMTP relays ua fa'atulagaina.
Ina ia tulaueleele sootaga, .ad/xu.js ma .ad/xq.js fausia ni URL e faʻaaogaina ai le le mautonu o le suʻesuʻeina o le URL ma le siakiina o kiliki. O mamanu pepelo e faʻapipiʻi ai se pulega foliga faʻatuatuaina aʻo leʻi oʻo i se @ o lea la e ese le muai fa'ailoga vaaia mai le 'au'aunaga moni:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? E pu'eina fo'i e le fa'avae ni favicons mai tagata fa'atau tetele ma enterprise tautua meli — o se metotia masani mo le tuʻuina atu o se faʻamatalaga faʻamaonia poʻo se itulau tulaueleele e faʻamaonia e le tautua.
Su'esu'ega o le sini ma le atina'e
E tele vaega e aoina mai le anotusi a'o le'i lafoina. .ad/x0.js fo'ia igoa e ala i le DNS-over-HTTPS (dns[.]google/resolve), .ad/xa.js fesili WHOIS (api[.]whois[.]vu), Ma .ad/x9.js fa'atino le sailiga o code a le GitHub (api[.]github[.]com/search/code?q=) — o se mamanu e ogatasi ma le mauaina o le fa'atulagaga o le 'au'aunaga meli ua fa'aalia ma fa'amaoniga SMTP e fafaga ai le lisi o le relay. .ad/xs.js e fesiligia le fa'asinomaga CDX a le Wayback Machine.
Poloaʻiga ma le faʻatonutonu
I le isi itu o le seti faanenefu, .ad/x4.js e faasino i le pito i tua o le operator:
text http://api[.]nolimitent[.]xyz:4100 E fa'asoa atu e le talimalo lana leai se tapulaa fa'ailoga fa'atasi ai ma le igoa a le fa'asalalau, ma le : 4100 O le port o le auala autu lea e vala'au ai le fa'avae. O le fa'ailoga sili lea ona tumau mo tagata puipuia: o se afifi, o se nofoaga faigaluega a le atina'e, po'o se sui fausia e o'o atu i api[.]nolimitent[.]xyz ua fa'agaoioia lenei code.
Fa'ailoga o le fetu'una'iga
O fa'ailoga o lo'o i lalo o mea ia e mafai ona faia e se tagata puipuia - pu'e se faila loka, poloka se 'au talimalo, pe su'e se sui ma fa'amaumauga DNS. E aliali mai fa'ai'uga a Microsoft ona o lo'o fa'aaogaina sese e le fa'avae; e le o ni mea leaga ma e le tatau ona poloka.
Fa'amaumauga o faila na pu'eina i le triage:
- afifi/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- afifi/afifi.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
O se fa'ailo a le tagata mautotogi a le Microsoft 365 e tatau ona sailia e tuto'atasi mai lenei afifi: saini manuia i totonu o le code o masini sosoo ai ma le faitauina o le Graph o Fa'ailoga meli/pusa meli ma Fa'ailoga meli/mea fa'apitoa, aemaise lava mai se sauniga e le iloa e le tagata faʻaoga.
Fa'asinomaga ma amioga ua matauina
E eseese mea e mafai ona matauina mai po o ai o loo i tua atu.
Mea moni e matauina: o le afifi ua lolomiina i lalo o le igoa sui-nolimit fa'atasi ai ma se tuatusi Gmail e le'i fa'amaonia ma leai se nofoaga e teu ai punaoa ua feso'ota'i; o lona afifi.json faʻamatalaina o se "tagata lafo imeli alualu i luma" ma faʻailogaina i le 'au mumu upu autu; o le code runtime ua fa'aputuina i se mea lilo ma fa'anenefuina .ad/ faila o lana meafaigaluega (javascript-obfuscator) o se fa'alagolago ua fa'alauiloa; ma le 'au talimalo i le fale vala'au api[.]nolimitent[.]xyz toe fa'aaogaina le leai se tapulaa ituaiga. O se afifi e tasi lea ma se tasi fa'ailoga taua o le atina'e e pulea e le kamupani fa'agaoioia — e le o se fa'aputuga tele-afifi, ma e leai se feso'ota'iga ma se tauvaga na ta'ua muamua.
le 'au mumu E le suia e le upu autu le fa'avasegaga. O meafaigaluega saogalemu fa'atulafonoina e auina atu ai le gafatia fa'alua-fa'aoga e faia ma le manino: punaoa e mafai ona faitauina, sini e tu'uina atu e le tagata fa'agaoioia, ma leai se telefoni natia. O lenei afifi e fa'aliliuina na meatotino ta'itasi - o lana tulafono fa'agaoioia e fa'apogisaina ma natia, ma e fa'ailoa atu i le atina'e tumau a le tagata fa'agaoioia nai lo se sini e tu'uina atu e le tagata fa'aoga. O amioga, ae le o le fa'ailoga, e pulea ai le fa'ai'uga, lea e leaga.
E le o fa'amaonia mai le fa'amoemoega iinei. O lo'o fa'amatalaina i le pou le mea e fai e le code — talosagaina se code o le masini, faitau se pusa meli i luga o le Graph, auina atu meli tetele e ala i relays ua fa'atulagaina, beacon i se host tumau — ma tu'u ai le fa'amoemoega e le'i ta'ua.
A'afiaga, aga masani & ta'iala a le au puipui
E taua tele aafiaga e lua i le taimi e faʻapipiʻi ai. Muamua, soʻo se tagata atiaʻe poʻo se sui CI e faʻapipiʻi sui-nolimit aumaia le fa'avae i luga o lena 'au'aunaga ma fa'atuina le telefoni-i-le-aiga i api[.]nolimitent[.]xyzLua, o le gafatia o le code o le masini e faʻalautele atu i tua atu o le 'au faʻapipiʻi: o se pusa meli Microsoft 365 e faʻamalosia lona pule e faʻamaonia se code ua tuʻuina atu e faitauina saʻo e ala i le Graph, e aunoa ma se upu faʻalilolilo e sopoia le uaea.
O le aga lautele o le mea lea e faʻatinoina i totonu. Ua siitia le phishing o le Device-code (AiTM) mai le atinaʻe phishing tutoʻatasi i totonu o se afifi i luga o se resitala lautele — tufatufaina e npm tāuta nai lo le imeli i le so'otaga. O le afifiina o le pusa meafaigaluega i lenei auala e fesuia'i ai le fa'afitauli o le talimalo ma le tu'uina atu o so'otaga a le kamupani phishing mo le o'o atu o se resitala, ma nanaina le code fa'atino i tua o se matau fa'apipi'i mama ma se fa'asinomaga fa'alilolilo e igoa i le dotfile e fa'ato'ilaloina ai se va'aiga vave fa'atino.
Mo ē puipuia:
- Iloiloga o le resitala ma le fa'alagolago. Togafitia se afifi e tele/te e foia i totonu o se faila natia (dot-prefixed) o le code muamua-pati ua tutusa le faanenefuina e pei o se tulaga lamatia tele i luga o le fausaga na o ia, e tusa lava pe foliga mama le matau fa'apipi'i. O le fa'aitiitia e le o se fa'anenefuina - faitoto'a i luga o le saini o le decoder string-array, ae le o luga o le umi o le laina.
- Fa'ama'a'aina o le Microsoft 365. Fa'atapula'a le tafega o le fa'atagaga o le code-masini i le Conditional Access pe a le mana'omia fa'atino; o le tu'uina atu o le code-masini o se vector AiTM ua iloa ma e seasea ona mana'omia e tagata fa'aoga fegalegaleai. Siaki mo le saini i totonu o le code-masini ona sosoo ai lea ma le fa'amaumauga vave o le pusa meli Graph.
- Iloa o feso'ota'iga. Poloka ma fa'ailoilo i luga api[.]nolimitent[.]xyzSaili le DNS e alu ese atu ma fa'amaumauga o sui mo ia i totonu o atina'e ma atina'e tetele.
- Iloa le ala o meli. le tagata fa'aoga@talimalo O fomu URL-spoof (faatuatuaina[.]com@…) e mafai ona iloa i le faitoto'a meli ma le sui; o so'otaga fu'a o lo'o muamua atu le vaega pule o lo'o i ai se @.
Sa ola le afifi i luga o le npm i le taimi o le suʻesuʻega. Auā o le faʻavae natia e aofia ai le laina atoa o le lomiga ua lolomiina ma le lomiga o loʻo iai nei pito fou O le tag (1.0.307) e iai le gafatia e fa'ailoga ai le masini, e tatau ona aofia ai le aveeseina o le resitala i lomiga uma, ae le na'o le tasi le lomiga tuai.
