TL; AMA
I le va o Aperila 1 ma Me 3, 2026, e tasi le lomitusi npm, user0001, resitalaina i le tuatusi Gmail e le'i fa'amaoniaina tanvisoul9@gmail.com, na tuleia filemu afifi e ono ma igoa e leai se uiga, e foliga mai e pei o ni atinae tetele: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, ma node-env-resolve.
O lomiga lata mai e lua o node-env-resolve, 1.0.7 ma le 1.0.8, na faʻailogaina e le polokalama a Xygeni's Malware Early Warning (MEW) i le aso 2 o Me ma faʻamaonia le leaga i le aso 3 o Me.
E le masani le mea na fa'apipi'i i ai mo le mea e le o iai: e leai ni bots Telegram, leai ni OAST callbacks, leai afaina, ma leai se taumafaiga e pu'e fa'amaoniga a le AWS i le taimi e fa'apipi'i ai. Nai lo lena, postinstall.js totoina se ulufale o le Windows boot-persistence, e faʻaaoga ai se ki HKCU Run e faʻalauiloa ai wscript.exe e faasaga i se VBS stub. Ona fa'atupuina lea o se sui Node.js ua tu'ueseeseina e fa'apipi'i ai modules mo le pu'eina o le maikolofoni, gaoi o talafa'asolopito o le browser, pueina o ata, ma le fa'ata'ita'iga o le isumu/keyboard.
O loʻo matou taʻua lenei vaega DevTap, a maeʻa le kit e tuʻu ai loa e faʻagaoioia i luga o le masini a le tagata atiaʻe.
O afifi uma e ono sa ola i luga o le npm i le taimi na tusia ai lenei mea. Ua matou tuʻuina atu i le auala faʻaleagaina a le resitala. E tatau i le au puipuia ona aveese soʻo se faʻapipiʻiga mai le faʻasalalauga aʻo leʻi aveeseina.
O le Vaega: Ono Afifi, Tasi le Lomitusi
O le tala a le lomitusi user0001 e le'i fa'amaonia. E leai sona SCM fa'amaoniga, leai se imeli e noatia i le domain, ma leai se talafa'asolopito muamua. O le Gmail admin tanvisoul9 e le aliali mai i soʻo se isi faʻamaumauga a le lomitusi npm na mafai ona matou mauaina.
O afifi uma e ono o loʻo lisiina ai le tausimea e tasi, na lolomiina mai le teugatupe e tasi, ma faʻasoa tutusa package.json fa'avae fa'apitoa. E leai se repository, leai homepage, ma leai description e umi atu nai lo le laina e tasi.
O le fuafuaga fa'aigoaina o le vaega manaia lea. E le pei o se fa'alavelave masani o le fenumiai i le fa'alagolago po'o le typosquat, e leai se tasi o nei igoa e fa'atatau i se faletusi fa'apitoa i luga. Nai lo lena, ua fa'atulagaina ina ia mou atu i se mea moni. package.json or npm ls galuega faatino.
| afī | Muamua lomia | fou Version | lomiga | Matafaioi i le Vaega |
|---|---|---|---|---|
| tagata fa'amaufa'ailoga tutotonu | 2026-04-01 12:46 UTC | 1.0.9 | 5, mai le 1.0.5 i le 1.0.9 | Fa'avaa o le "mea faigaluega e teu ai fa'amaumauga" a le Cluster; lomiga muamua |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Ufiufi fesoasoani DOM lautele |
| node-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Fa'ata'ita'i le aiga o le node-fetch |
| sui feso'ota'i | 2026-04-25 05:12 UTC | 1.0.0 | 1 | "Sui" igoa lautele |
| taimi fa'agaoioi o le node-gyp | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Fa'ata'ita'i meafaigaluega fausia o le module moni |
| fofo-le-node-env | 2026-04-25 05:21 UTC | 1.0.9 | 10, mai le 1.0.0 i le 1.0.9 | Fa'a'au'au malosi; fa'apipi'i atoa |
Igoa pei centralogger, node-fetch-lite, ma node-gyp-runtime ua mamanuina ina ia foliga mai e le finauina i le iloiloga o polokalame. E foliga mai o ni mea ia ua uma ona i ai i le laau faalagolago o se galuega faatino.
Fa'atasi ai ma se lomitusi fou e le'i fa'amaonia ma so'otaga o le teuina o fa'amaumauga ua misi, latou te fausia ai se mamanu e iloagofie: o se tagata fai ata e totoina igoa e le faigata ona suia i totonu o le resitala, ona toe faia lea vave i le tasi e taua. I lenei tulaga, node-env-resolve na maua lomiga e sefulu i aso e valu.
O a Mea e Tu i luga o se Pusa Fa'atupu Windows
O le filifili leaga i luga node-env-resolve:1.0.8 e pu'upu'u, tuusa'o, ma e tele naua foliga mo se npm RAT.
Pe a uma ona fa'apipi'i: Fa'aauau ma le Sui Tu'ueseese
package.json folafola mai se matau fa'apipi'i e tasi:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js e fai mea e tolu i le faasologa.
Muamua, e fa'atulaga se fa'asinomaga fa'apipi'i i fafo atu o le la'au npm. O le ala e fa'atatauina i le taimi e fa'agaoioi ai i le tusitusiga e pei ona INSTALL_DIR. Ona fa'agaoioia lea o se fa'atulagaga i totonu execSync('npm install --production --silent ...') i totonu e toso ai faʻalagolago i le taimi e faʻagaoioia ai le implant. O lenei mea e tuʻu ai le sui i luga o le tisiketi i se mea o loʻo i totonu o se tusi lesona node_modules o le a le maua e le su'esu'ega.
Lua, e tusia se VBS launcher ma resitalaina mo le boot persistence:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe o le Windows Script Host, o se binary sainia a le Microsoft e fa'agaoioia .vbs faila e aunoa ma se fa'amalama fa'akomepiuta. O le mea muamua lenacisle mafuaʻaga moni e sili ona fiafia i ai mo autorun stubs.
E iai fo'i se fetaui reg delete ala i totonu src/index.js, o loʻo faʻapea mai o le mea faʻapipiʻi ua mamanuina ina ia mafai ona aveese mama pe a faʻatonuina e le tagata faʻaaoga.
Tolu, e mafua ai se faagasologa o le tamaititi e vavae ese:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })E lua fa'amatalaga taua iinei.
SERVER_URL e faitauina mai le siosiomaga. O le iʻuga, e mafai ona faʻatulagaina le C2 endpoint i taimi uma e faʻatinoina ai ma e le faʻapipiʻiina i totonu o le afifi. O lena filifiliga laʻititi ae faʻamoemoeina e faʻatoʻilaloina ai le tele o static-IOC sweep.
E le gata i lea, o le tamaititi ua fanau mai e mautofi i le siosiomaga atoa o matua. O le mea lea, soʻo se NPM_TOKEN, AWS_*, GITHUB_TOKEN, po'o le SSH-agent socket o lo'o i totonu o le developer shell i le taimi e fa'apipi'i ai le masini i totonu o le manatuaga o le sui ua leva ona ola.
O Mea e Lafo Faatasi ma le Sui
O le fusi src/ e aofia ai i le laau ni vaega se tolu o latou igoa lava e faamatala ai le tala: audioCapture.js, browserHistory.js, ma systemInfo.js.
O le lisi o le faʻalagolago i le taimi e faʻatino ai, ua foia i le taimi o le faʻatulagaina npm install, e fa'amaonia ai.
O lenei auala e liua ai se faʻalavelave faʻafuaseʻi i se tali faʻatonutonu.
Nai lo le tali atu ma le tauaso, e galulue faʻatasi 'au ma fa'amuamua manino ma le vave fa'aleleia.
| Tausiga | O le ā le Fa'amoemoega i Lenei Tulaga |
|---|---|
| ata o le komepiuta | Pu'eina o le lau i lea taimi ma lea taimi |
| @nut-tree-fork/nut-js | Fa'aautomatika o le isumu ma le piano / fa'ata'ita'iga o le ulufale |
| sili atu-sqlite3 | Faitauga sa'o o fa'amaumauga SQLite o le Chrome, Edge, ma le Firefox History |
| adm-zip | Tuufaatasia o meafaitino na aoina a'o le'i aveeseina |
| maai | Toe fa'ateleina / fa'apu'upu'uina o ata ma meafaitino o ata |
| socket.io-client | Auala C2 e lua itu e tumau |
| node-masini-ID | Fa'amautu le tamatamailima mo le tagata e ona le fale mo le su'eina o le tagata ua a'afia |
systemInfo.js Valaau os.networkInterfaces() mo nisi fa'amaumauga o tamatamailima a'o le'i o'o i le fa'ailoga muamua.
Aiseā ua avea ai le Pu'eina o Leo ma Fa'ailo Mata'ina
O le tele o npm RAT matou te vaevaeina i le MEW e taofi i le gaoi faalilolilo i le taimi e faʻapipiʻi ai. Latou te faitau ~/.npmrc, faitau ~/.aws/credentials, valu process.env, POST i se webhook, ma alu ese. E fetaui lelei lea ma se faʻataʻitaʻiga tau tamaoaiga e faigofie ona maua. E puʻupuʻu le afa-ola o faʻamaoniga, ma e manaʻomia e le tagata osofaʻi ona vave maua ni tupe.
node-env-resolve e eseese lona foliga.
Ua fa'atulaga le tumau e ola ai pe a toe amata. E tamo'e le sui ma umi se taimi e ola ai i lalo o le wscript.exe. O le pusa meafaigaluega o loʻo i ai e mo le i ai i luga o le masini a le tagata atiaʻe, ae le mo le puʻeina ma alu ese: o se masini puʻe leo, o se avetaavale o le piano/isumu, le faʻaaogaina atoa o le talafaʻasolopito o le browser, le puʻeina o le lau, ma se auala fesoʻotaʻi Socket.IO e toe foʻi atu i se C2 e mafai ona faʻatulagaina.
Aemaise lava le pu'eina o le maikolofoni o le laina lea e le sopo'ia e lenei tauvaga lea e le tele o polokalame leaga a le npm.
O se nofoaga faigaluega a le au atina'e, ua fa'ateleina pea, o le nofoaga faigaluega lea e faia ai e le au atina'e ni talanoaga tu i luga, ni telefoni a tagata fa'atau, ni talanoaga e uiga i mamanu, ma ni fesoota'iga i luga o le telefoni. O se mea fa'apipi'i e pu'eina ai le maikolofoni e le o mulimuli moni lava i le npm token a le au atina'e. Ae o mulimuli i mea e fai mai ai le au atina'e i luma o le komepiuta feavea'i.
O lena seti o agavaʻa, faʻatasi ai ma le leai o se faʻalavelave ma le leai o se faʻalavelave faʻapitoa i le taimi e faʻapipiʻi ai, e faitauina o se tulaga saʻo mo le avanoa faʻapitoa nai lo le gaoia faʻapitoa o tusipasi.
Matou te lē o fa’amautinoaina na’o lenei mea le fa’amaoniga. O lo’o matou matauina le fa’asologa o galuega.
O le faasologa o le valu aso i luga o node-env-resolve o le fa'amatalaga sili ona taua i le fa'atinoga o galuega i le faasologa o taimi.
E lē o se fa'aputuga lea o le "fire-and-forget dropper". O lo'o tausia pea e le fa'asalalauga le dropper, o lona uiga e lua mea. Pe o lo'o latou fa'afetaui i siosiomaga fa'ata'ita'i a'o le'i fa'atinoina lautele, pe ua uma ona toe fo'i mai le telemetry o le fa'apipi'i ma o lo'o tali atu i ai.
O isi afifi e lima e leai se suiga na vaaia ina ua maeʻa ona lolomiina muamua. E fetaui lelei lea ma le mamanu "o le taimi e tasi, tuʻua le igoa" mo le vaega lagolago aʻo taulaʻi taumafaiga faʻainisinia i le afifi e faia le galuega.
Fa'amatalaga: Fa'ailoga Laiti, Leai se Fa'ai'uga Mausali
Malo OSINT e manifinifi faailoilo, ma matou te le fa'alauteleina. O le a le mea e matauina:
O le 'au'aunaga Gmail tanvisoul9 e foliga tutusa ma se igoa mai Asia i Saute, o le “Tanvi.” O se faailoilo vaivai lea. O fa'ailoga o le Gmail e le o ni fa'asinomaga, ma o le fa'ailoga mulimuli soul9 e lautele. E lē saogalemu le fa'ailoaina o le tulaga fa'afanua mai se imeli i le lotoifale na'o ia.
E le o se mea e ofo ai le faiga o tulafono Node.js: standard telefoni i le faletusi e pei o os, child_process, spawn, ma reg add. E leai se fa'alavelave, leai se fa'asolosolo o manoa, ma leai se fa'ailoga e tete'e ai i le debug. Ua masani le tusitala i fa'avae muamua o le resitala a le Windows ma le fa'atulagaina o fa'agasologa tu'ueseese, ae foliga mai e le o aapa atu i ni tomai fa'alilolilo e mafai ona latou fa'aogaina.
Ua matuā lē toe fa'aaogaina lava mea e fa'alagolago i ai ma ua lauiloa: screenshot-desktop, nut-js, better-sqlite3, ma socket.io-clientE leai se fa'atulagaga fa'apitoa, leai se fa'aputuga C2 e toe fa'afo'i mai le amataga, ma leai se togafiti fou e sili atu nai lo se tusi a'oga. Ki o le HKCU Run. O se tagata e agavaa i le tuufaatasia o mea, ae le o se tusitala o meafaigaluega.
Matou te leʻi mauaina ni faʻasologa e lē o le Igilisi, ni faʻamatalaga ua faʻapipiʻiina, ni faʻamatalaga o le nofoaga, poʻo ni tamatamailima o le sone taimi ua faʻasalalauina e le compiler i totonu o mea na lolomiina.
Na matou siakiina pe iai ni code e fefiloi ma campaign muamua na matou siakiina, e aofia ai Shai Hulud, Olivion, Buildkite, ma le heibai talu ai nei / claude-code-best Aiga o le clone Anthropic-CLI. E leai se mea na matou maua: leai ni mamanu C2 fa'asoa, leai ni fa'atulagaga faila fa'asoa, ma leai ni fa'aupuga fa'asoa.
O le mea matou te lē fai atu ai: o se tagata fai mea a le setete lenei, o se vaega ua iloa, pe ua fesoʻotaʻi faʻale-nofoaga i se atunuʻu patino.
O le fa'atulagaga o galuega e ogatasi ma se 'au to'aitiiti ma agava'a lelei o lo'o faia le mata'ituina o le nofoaga faigaluega a le au atia'e. E foliga mai o lo'o fa'amalosia i tulaga tau tupe e ala i le fa'aaogaina o le avanoa i lalo ifo, ae atonu fo'i o le su'esu'eina o se tautua mo se isi tagata fa'atau.
E lua ni manatu e lē tuusaʻo e lagolagoina ai le faitauina faapea: o le ʻalofia o faiga e tosina mai ai le mafaufau o le tagata e ono vave ona susunuina le vaega, e pei o bots Telegram, oastify.com, po'o canarytokens, ma igoa o afifi e leai se uiga, lea e sili atu ona fiafia i fa'apipi'iga uumi filemu nai lo se fa'aopoopoga pu'upu'u tele.
Fa'ailoga o le Fete'ena'iga ma le Iloa
| Afifi ma le Lomitusi | |
|---|---|
| laufanua | tāua |
| lomitusi npm | user0001 |
| Imeli a le lomitusi | tanvisoul9@gmail.com, e le'i fa'amaoniaina |
| afifi | centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, node-env-resolve |
| Ua fa'amaonia le leaga | node-env-resolve@1.0.7, node-env-resolve@1.0.8 |
| Mea Taua a le Au Talimalo | |
|---|---|
| ituaiga | tāua |
| Ki o le finafinau | HKCU\Software\Microsoft\Windows\CurrentVersion\Run |
| Taua o le tumau | Igoa fesuia'i; fa'amaumauga o le pepa wscript.exe " \\ .vbs" |
| Fa'apipi'i le matau | postinstall: node postinstall.js i le afifi manifest |
| Modula fa'apipi'i | src/audioCapture.js, src/browserHistory.js, src/systemInfo.js |
| Fa'asinomaga o le fa'atulagaina | Ua foia le INSTALL_DIR i fafo atu o le node_modules o le poloketi; ua setiina le nofoaga e le postinstall.js i le taimi e faʻapipiʻi ai |
| Network | |
|---|---|
| ituaiga | tāua |
| Felauaiga C2 | socket.io-client, auala fa'asolosolo e lua itu |
| Fa'ai'uga C2 | Tuuina atu i le sui e ala i le fesuia'iga o le siosiomaga SERVER_URL; e le'i fa'amauina i totonu o mea totino ua lolomiina |
Fa'amatalaga o le Sailiga
E lua tulafono e pu'eina lenei aiga e aunoa ma le mana'omia o le C2 endpoint.
Muamua, fa'ailoga tusitusiga pe a uma ona fa'apipi'i e fa'atino se fa'atulagaga i totonu npm install i totonu o se ala i fafo atu o le faila o le afifi lava ia. So'o se downloader ua uma ona fausia fa'atulafonoina, e pei o node-gyp toe fausia pe ua uma ona fausia-binary downloaders, tusitusi i totonu o le afifi po'o totonu o le platform-standard auala o le cache ma hashes ua fa'amaonia. E le tusia i totonu o se mea fou ua fatuina INSTALL_DIR i se isi mea i luga o le tisiketi.
Lua, fa'ailoga tusitusiga pe a uma ona fa'apipi'i e tu'uina atu reg add HKCU\…\Run i wscript.exe e pei o le launcher. E le o se mea moni lenei mai se afifi npm. Fa'ailoga ma karantina.
O le heuristic lona tolu e aoga mo le vaʻaia o le isi afifi o uso aʻo leʻi faʻamaonia: o se lomitusi fou npm e leai SCM fa'amaoniga, o se imeli Gmail, leai repository fanua, ma le tele o igoa pupuu, lautele, ma foliga mai e pei o afifi o loʻo lolomiina i totonu o ni nai aso le va, ua lava lea e faʻamaonia ai le toe iloiloina e le lima.
Ua lipotia i le resitala npm. Matou te faʻafouina lenei pou pe a aveese le teugatupe a le lomitusi.
