TL; AMA
O se tasi lomitusi npm, deadcode09284814, ua fa'atinoina se tauiviga fa'a-typosquat fa'asaga i le fa'amasinoga tonu axios ma chalk-template afifi talu mai le ogatotonu o Me 2026.
Na amata le tauvaga o se gaoi masani o tusipasi ma atotupe, e ala i le faʻasalalauina o faʻamatalaga i se Alavai Serveo HTTPS.
On 2026-05-17, faatasi ai ma axois-utils:1.0.9, na sui atoa e le tagata fa'aoga le uta: e tutusa le scaffold install-hook e tolu, e tutusa le fa'asalalauga, e tutusa le igoa o le afifi.
Ae o le tusitusiga faʻapipiʻi ua avea nei ma se faʻafaigaluegaina o botnet DDoS faʻavae i luga o fausaga.
E tautala le uta i se localhost.run alavai ma talia poloaiga lologa, ma liua ai siosiomaga ua a'afia i se vaega o se botnet e mafai ona DDoS.
Na lafo atu foʻi e le kamupani telefoni le C2 server binary i totonu o le tarball, o loʻo faʻaalia ai se faʻateleina manino mai le gaoi o faʻamaoniga i le atinaʻe o botnet o loʻo galue.
E lua afifi, e fa lomiga o loʻo faʻagaoioia pea i le resitala, ma le tasi le faʻagaioiga o loʻo faʻagaoioia faʻatasi vaega uma e lua.
Matuā ogaoga: maualuga.
O Le Osofa'iga: Le Auala e Galue ai
O le tauvaga ua fausia i luga o se fausaga fa'atino e le fiafia ai le tilivaina: igoa e lua o afifi typosquat, mata'itusi e tasi e ese mai afifi e selau miliona o la'uina i vaiaso ta'itasi (au, mamanu sioka), ma le fa'apipi'iina fa'atolu hooks e fa'amautinoa ai le fa'atinoina. O le mea e manaia, o le a le fausaga tauaveina — ma le mea moni e faapea na sui e le kamupani avetaavale le uta e aunoa ma le suia o se isi lava mea.
O le fausaga fa'asoa
O lomiga uma o afifi uma e lua ua lomiaina e folafola mai ai le taamilosaga tutusa o le olaga e tolu. hooks in afifi.json:
Lisiina o le uta i lalo o mea uma e tolu hooks ua soona fai - pe a uma ona fa'apipi'i na'o ia lava e tamo'e i se tulaga masani npm tāutaE tāua le filifiliga: npm install –lē amana'ia-tusitusiga e faase'e tusitusiga, ae o le tele o faiga masani (e toe fa'afo'isia e le CI cache le ta'amilosaga toe fa'atino hooks filifili, po'o tagata atia'e e na'o le su'esu'eina pe a uma ona fa'apipi'i) fai se taʻutinoga e faʻatolu ona toe faʻaopoopoina o le peti sili ona saogalemu mo le tagata osofaʻi.
sima-tempalte faʻaopoopoina se faiga lona lua: e faʻalauiloa mai axois-utils:^1.0.7 o se taimi fa'atino faalagolagoFa'apipi'iina o le typosquatted mamanu sioka o lea e tosoina ai fo'i le sibling typosquat, ma e fa'agaoioia uma uta. O afifi e lua o se paga fa'amaopoopo, ae le o ni lisi tuto'atasi.
Vaega A — tagata e gaoi fa'amaoniga / atotupe (2026-05-15 → o lo'o iai nei)
O le Vaega A o le uta muamua lea. O le uta e pu'upu'u postinstall.js lea e faasino i le Serveo HTTPS reverse-tunnel:
O le vaega o le Serveo e fa'ailoa mai ai le IP o le taunu'uga (80.200.28.28) sa'o lava i le igoa o le 'au'aunaga — o se faiga masani e iloagofie mo lena tautua. E fa'afesuia'i e le fa'agaioiga le fa'asologa muamua o le subdomain i le va o lomiga e 'alo'ese ai mai lisi poloka o le domain, ae o le IP autu e le minoi lava. (sima-tempalte:1.0.14 faaaoga 8a3e818ea8f11186-80-200-28-28…; 1.0.16 / 1.0.19 / 1.0.20 fa'aoga f04a273bd84c0622-….)
postinstall.js lima e le mana'o ai phantom.js, o se vaega "aoina" ua fa'apipi'iina i laina e 7,667. phantom.js savali le talimalo mo:
Ki tumaoti a le SSH (~/.ssh/*) |
.npmrc anotusi ma so'o se mea npm_* fa'ailoga o le env |
| Faila o fa'amaoniga a le AWS, GCP, ma le Azure |
GitHub regex fa'ailoga-avanoa-tagata-i-le-tagata (ghp_*, gho_*, ghu_*, ghs_*) |
| Mea totino o le atotupe crypto mo Bitcoin, Exodus, Electrum, Monero, Litecoin, Dogecoin, Zcash, Dash |
O se toe fai .env* savali i totonu ~/projects, ~/dev, ~/code, ~/workspace, ma le fa'apipi'iina o le cwd |
Talafa'asolopito o le Shell ma le atoaga process.env |
Ua lafoina le afifi i le alavai o Serveo i / aoina. E leai se fa'alavelave, leai se manatu fa'asaga i le VM, leai se fa'atulagaga — o le peti a le tagata fa'aoga o le tele ma le saoasaoa.
Vaega B — Fa'afaigaluegaina o le PhantomBot DDoS (2026-05-17, axois-utils:1.0.9 lava)
O le Vaega B e suia ai le phantom.js + postinstall.js i se faila e tasi e igoa ia distrube.js (o le typo e a le operator). O le triple-hook scaffold i le package.json e le suia; o le afifi e tumau pea le igoa, lautele, ma le mamanu o le version-bump. Mai fafo, o le axois-utils:1.0.9 e foliga mai o se isi vaega e sosoo ai ma le 1.0.6. I totonu, o se aiga malware ese.
distrube.js e amata i se poloka fa'atulagaina e fa'aigoaina ai le fa'ailoga a le tagata fa'agaoioia lava ia:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
O faʻamatalaga o loʻo tuʻuina atu i se isi tagata faʻagaoioia o loʻo faʻagaoioia le pusa meafaigaluega ( "Faʻaaoga lau localhost.run HTTPS URL"). O lena mea, faʻatasi ai ma mea o loʻo lafoina i tafatafa o le bot client, o le faʻailoga lea e le naʻo se uta a le tagata ua aʻafia - ae o le pusa meafaigaluega.
O le tafega:
- Tumau e fa'agaoioi muamua. E fa'apipi'i e le tusitusiga ia lava i ni auala se tolu eseese mo le OS (resitala) momoʻe + Faila amata + schtasks i luga o le Windows; crontab + tautua phantom-bot iunite fa'atulagaina + .bashrc/.zshrc fa'aopoopo + /etc/rc.local i luga o le Linux; LaunchAgent com.phantom.bot.plist i luga o le macOS). O le igoa o le tautua fa'atumauina ma le fa'ailoga LaunchAgent e tutusa uma. phantom-bot / com.phantom.bot, o le mea fo'i lea e sau mai ai le igoa o le tauvaga.
- Fa'amatalaga fa'apitoa o le polokalama E fa'atino fa'atasi — o le tasi lava le taimi e fa'amau ai le tamatamailima POST i le b94b6bcfa27554.lhr.life:443/collect e tauaveina ai le igoa o le hostname, platform, arch, username, CPU/RAM, network interfaces, process.env, cwd, homedir, node version, ma le public IP. E matua itiiti lava le saua o lenei mea nai lo le Vaega A: leai se SSH, leai ni atotupe, leai se .env recursion. O le galuega a le bot o le lesitala, ae le o le gaoi.
- Ta'amilosaga o le tata o le fatu e tatala se HTTPS POST i le 30 sekone i le b94b6bcfa27554.lhr.life:443/. O le User-Agent o le PhantomBot/1.0. Ua fa'agata fa'apitoa le fa'amaoniga o le TLS (rejectUnauthorized: false). O le tali C2 e fa'avasegaina o le JSON o le fomu {type, target, port, duration, threads, method} ma lafoina.
- Auupega mo lologa ua feso'ota'i i poloaiga e ono:
| Ituaiga Poloaiga | Module | Faamatalaga |
|---|---|---|
| ping | Tali olaola | Fa'ailoa e le Bot ia lava |
| http | HTTP lologa | Talosaga lologa o le Layer-7 |
| https | Lologa HTTPS | E tutusa ma le http, ua afifiina i le TLS |
| tcp | Lologa o le TCP | 65 KB spam uta-fa'afuase'i |
| udp | Lologa UDP | 65,507-byte UDP packets |
| vave | Toe setiina vave o le HTTP/2 DoS | O le metotia 2023 CVE-2023-44487 |
O vaega uma e lima o lologa e manaʻomia se taulaʻi, tāulaga, umi, ma filo finauga — o le bot o se fa'alavelave masani e totogi mo le fa'afaigaluegaina, e le fa'atatau i se tagata ua a'afia faapitoa. O le lisi o tagata ua a'afia a le kamupani e tu i luga o le C2, ae le o totonu o le afifi.
O le ā le Mea Fou iinei — le C2 binary ua lafoina
O le Vaega A o se foliga masani: gaoia o fa'amaoniga, fa'apipi'i o le matau, C2 ua fa'apipi'iina i le tunneled a le vendor. O le Vaega B o foʻi o se foliga masani — o botnet DDoS ua avea ma se vaega o afifi npm leaga mo le tele o tausaga. O le mea e le masani ai, o le auina atu lea e le kamupani telefoni le itu server o le pusa meafaigaluega i totonu o le npm tarball:
- c2 — o se fa'asologa fa'alua Go ELF ua tu'ufa'atasia e 4-megabyte
- c2.go — le punaoa Go e 426-laina mo lena binary
E leai se faila e vala'auina e so'o se install hook. E le o se vaega o le victim payload. O lo'o i totonu o le package directory e pei ona faia e se faila pepa. O le faitauga sili ona talafeagai o le tuleia lea e le operator o lana development working tree i le npm e aunoa ma le fa'atulagaina o le lisi o faila - o se OpSec slip moni - ma o le mea na lafoina o le kit atoa e lua itu: o le client e fa'agaoioia e le victim, ma le server e fa'agaoioia e le operator.
O le vaega lea o le tala e faʻamaonia ai le faʻatulagaina o le "turnkey botnet kit". Soʻo se tasi na sii maia axois-utils:1.0.9 a'o le'i aveeseina e le gata ina iai se fa'ata'ita'iga o le tagata ua a'afia - ae o lo'o iai fo'i la latou 'au'aunaga C2 o lo'o galue.
O le pivot, i le fuaiupu e tasi
E tutusa le fa'asalalauga, igoa o afifi e tutusa, fausaga e tolu-matau, fa'ailoga "phantom" e tasi - ae na suia e le uta le faʻataʻitaʻiga o tupe maua i le po e tasimai le “mea lilo o le seleselega e mafai ona ou toe faʻatau atu” i le “avanoa e mafai ona lisiina mo le lologa”. O TTP i le taimi e faʻapipiʻi ai e tatau i le au puipuia ona mataʻituina e toetoe lava tutusa i vaega uma e lua; puipuiga e faʻavae i luga o le saini e faʻamautu i laina o le auala o le atotupe a le Vaega A poʻo le phantom.jsSemanu e misia atoa e le tagata e aoina laina e 7,667 a le kamupani le Vaega B.
| Aso (UTC) | mea na Tutupu |
|---|---|
| 2026-05-15 | Uluai lomiga: axois-utils:1.0.4 (Fausiaina o le suega LAN, masini atina'e i 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 lomia — Ua sui le Vaega A C2 i 80.200.28.28 e ala i le alavai o Serveo; le fa'amatalaga mai le puna // Change to '80.200.28.28' for public fa'amaonia le fesuia'iga o le dev→prod |
| 2026-05-16 | chalk-tempalte:1.0.14 ma 1.0.16 lomia — o loʻo faʻalauiloa mai e le loader ua fusifusia axois-utils:^1.0.7 o se fa'alagolago i le taimi e fa'agaoioi ai; ua fa'ata'amilomiloina le vaega o le Serveo |
| 2026-05-16 | Vaega A o le tauvaga na maua i le taimi o le suʻesuʻega masani o le npm; ua faʻaaogaina faʻasalaga ua faʻamaonia le leaga |
| 2026-05-17 | axois-utils:1.0.9 lomia — payload pivot: PhantomBot DDoS recruit e ala i le localhost.run tunnel; operator-side c2 binary ma c2.go puna na lafoina i le tarball |
| 2026-05-17 | chalk-tempalte:1.0.19 ma 1.0.20 lomia — o loʻo iai pea le Vaega A (gaoi); o loʻo faʻagaoioia nei e le faʻagaoioia ia vaega uma e lua i le taimi e tasi |
| 2026-05-17 | Mauaina o le Vaega B i le taimi o le suʻesuʻega masani; faʻaiʻuga e faʻaaogaina i vaega uma 2026-05-17 lomiga |
| (faifai pea) | O loʻo faʻatali lipoti o le aveeseina; o afifi uma e fa ua lolomiina o loʻo avanoa pea i luga o le resitala i le taimi na tusia ai lenei mea |
Fa'ailoga o le Fete'ena'iga
afifi
| Ecosystem | afī | lomiga |
|---|---|---|
| npm | axois-utils (fa'aliliuga sese o axios) | 1.0.4, 1.0.6, 1.0.9 |
| npm | chalk-tempalte (typosquat o le chalk-template) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
Faasinomaga o le tusitala
| laufanua | tāua |
|---|---|
| lomitusi npm | deadcode09284814 |
| Imeli a le lomitusi | phantomdeadcode@tutamail.com |
| SCM faʻamausalīga | leai se isi |
Poloaiga-ma-pulea
| Vaega | Faaiuga | feʻaveaʻi |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | Alavai Serveo HTTPS |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | Tunnel Serveo HTTPS (lomiga muamua) |
| A | 80.200.28.28:443/collect | Fa'ai'uga autū o le VPS |
| B | b94b6bcfa27554.lhr.life:443/ | localhost.run HTTPS reverse-tunnel |
Fa'amatalaga o faila (SHA-256)
| faila | SHA-256 | Faamatalaga |
|---|---|---|
c2 (Alu ELF, 4 MB) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | 'Au'aunaga C2 i le itu a le tagata fa'agaoioia, lafoina i totonu axois-utils:1.0.9 |
c2.go (426 laina) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | Alu i le punaoa mo le binary C2 |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | Tagata fa'aoga bot Vaega B |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | Vaega A o lo'o aoina tusipasi / atotupe |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | Vaega A e aoina (1.0.20 fesuiaiga) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | Loader Vaega A, tutusa le byte i lomiga uma e lua |
Fa'asinomaga ma le Uuna'iga
Matou te siakiina lenei tauvaga e pei ona PhantomBot, ave le fa'ailoga a le tagata fa'agaoioia lava ia mai le Sui Fa'aoga: PhantomBot/1.0 ulutala o le tata o le fatu, le tautua phantom-bot iunite fa'atulagaina, le com.phantom.bot Fa'ailoga LaunchAgent, ma le numera o le oti fa'amata'u@ 'au'au imeli. E tutusa le fa'agaioiga e uiga i lenei igoa i le itiiti ifo ma le fa mea faitino.
Lisi o fa'ailoilo
- tagata lomitusi - numera oti09284814 i luga o le npm. Teugatupe e tasi le pule, imeli e le fa'aaogaina e Tutamail, leai SCM fa'amaoniga. Leai se tala'aga muamua o lomiga e sili atu nai lo lenei tauvaga.
- Toe fa'aaogaina o fa'ailoga — o le “phantom” o loʻo aliali mai i le imeli a le lomitusi, i le igoa faila a le Vaega A o le aoina (phantom.js), i le igoa o le auaunaga tumau o le Vaega B (tautua phantom-bot), i totonu o le fa'ailoga LaunchAgent (com.phantom.bot), ma i totonu o le bot User-Agent (PhantomBot/1.0).
- Atinae Eseese — O le VPS e tasi i 80.200.28.28 pito i luma Vaega A e ala i le Serveo subdomain rotation; Vaega B e siitia i se localhost.run alavai fa'asolo i tua (b94b6bcfa27554.lhr.life). E leai se totogi o auaunaga uma e lua a le kamupani fa'atau ma e na'o le SSH e alu atu i fafo e mana'omia mai le itu a le kamupani fa'agaoioia, e tusa ai ma fa'atulagaga taugofie ma OpSec maualalo.
- Sitaili tulafono — JavaScript faigofie i le atoaga; leai se fa'alilolilo, leai se fa'ailoga o manoa, leai ni siaki fa'asaga i le VM. O igoa o fesuia'iga e fa'amatalaina (gaoiFa'amatalaga Fa'avae, fa'atino Poloaiga, httpLolo). Fa'amatalaga i totonu distrube.js fa'afeso'ota'i sa'o se isi tagata fa'aoga i le lumana'i ("Fa'aaoga lau localhost.run HTTPS URL"), ma fa'apea mai o le faila na fa'amoemoe e toe tufatufa atu o se pusa meafaigaluega, ae le fa'aaogaina e se tagata osofa'i e to'atasi.
- Pepa fa'amaonia o le OpSec — O le Phase B tarball e lafoina uma le bot client ma le operator-side C2 server (c2 ELF + c2.go puna). E ogatasi lea ma se tagata fa'agaoioia na tuleia lana la'au galue i le npm e aunoa ma le siakiina o le lisi o faila. Pe leai se poto masani o le tagata fa'agaoioia, pe leai foi le pusa meafaigaluega. lona uiga e tufatufa atu i tagata lautele ma o le C2 binary o se vaega o le oloa.
- Fa'amaoniga o oe lava - axois-utils:1.0.4 o lo'o i ai le fa'amatalaga puna // Suia i le '80.200.28.28' mo tagata lautele i luga o le laina 12, e faʻamaonia ai le alualu i luma o le atinaʻe / faʻatulagaina / gaosiga e masani ona teena e le au faʻatautaia.
Motugaafa
O le uta o le Vaega A o se gaoi tau tupe tuusaʻo lava: o faʻamaoniga, ki ao, GitHub tokens, ma atotupe crypto e iai uma maketi toe faʻatau atu. O le Vaega B e tau tupe foʻi, ae e le tuusaʻo: o auaunaga DDoS-for-hire ("booter") e faʻaalu le tele o le gafatia i minute taʻitasi, ma o bots e pei o le tasi e lafo iinei o le lisi o oloa o loʻo faʻagaoioia ai na auaunaga. O le tata o le fatu i le 30-sekone, o le generic taulaʻi/tāulaga/umi fa'atulagaga o poloaiga, ma le auupega lologa e lima-protocol o le standard oloa a se tagata fa'agaoioia booter.
Fa'agaoioia fa'atasi vaega uma e lua — sima-tempalte:1.0.19 ma 1.0.20 faaauau pea ona lafo le gaoi a'o axois-utils:1.0.9 lafo le bot — o loʻo faʻaalia ai o loʻo puipuia e le kamupani auala o tupe maua nai lo le tuʻua o le Vaega A. O le pivot o se faʻaopoopoga, e le o se suitulaga.
O le mea matou te le o fai mai ai
Matou te leʻi mafai ona faʻamaonia se faasinomaga moni i tua atu o le numera oti09284814 taulimaina, ma matou te le fa'atatauina lenei tauvaga i so'o se tagata fa'amata'u ua faaigoaina, vaega, po'o se atunu'u. O le fa'ailoga "phantom" e lava lona tutusa i mea totino e fa'ailoa mai ai se tasi le tagata fa'agaoioia, ae o le lafoina o le C2 binary e pei o le kit e tu'uina atu ai le avanoa e toe fa'aaogaina ai e afifi i le lumana'i mai taulimaina e le feso'ota'i le code lava e tasi.
A'afiaga, Aga Masani & Mea e Tatau Ona Fai e le Au Puipuia
aafiaga
O sini fa'atulafonoina mo le squat au ma mamanu sioka e faʻalagolago tele i ai i le faiga faʻavae o le JavaScript; au na o ia lava o loʻo i totonu o afifi npm e tolusefulu sili ona tele na sii mai. O igoa typosquat e tasi le mamao ese mai igoa moni (axois ↔ au, tempalte ↔ mamanu), ma o ni sipelaga sese uma ia e lua e talafeagai i le gagana.
Matou te leʻi mafai ona maua ni fuainumera faatuatuaina o le download mo lomiga leaga aʻo leʻi aveeseina — e le teuina e le npm le aofaʻi o download i lomiga taʻitasi pe a uma ona le lolomiina se afifi, ma npms.io-style proxies e pisapisao i lenei fua. Soʻo se faʻalapotopotoga e iai lana lockfile e foia i se afifi e igoa ia axois-utils or sima-tempalte mai le lomitusi numera oti09284814 e tatau ona taulimaina o se mea ua faaleagaina: sui uma fa'amaoniga o lo'o iai i totonu process.env i luga o le 'au talimalo ua a'afia, siaki vectors persistence i le OS ta'itasi (tagai "O le a le mea e tatau ona fai e le au puipuiga" i lalo), ma aveese le fa'alagolago.
Fa'asologa fa'asolosolo
O lenei tauvaga o loʻo faʻataʻitaʻiina ai se suiga ua tatou vaʻaia i ni nai faʻalavelave npm talu ai nei: o le fa'amau fa'apipi'i o le aseta tumau lea; e mafai ona fesuia'i le uta. O le lomitusi lava lea e tasi, o le afifi lava lea e tasi, o le mea lava lea e tasi mua'i fa'apipi'i / faʻapipiʻi / pe a uma ona fa'apipi'i fa'atolu, ma e o'o lava i le version-bump cadence tutusa - na'o le pau lea o le mea na suia i le va axois-utils:1.0.6 ma axois-utils:1.0.9 o le faila ea le hooks tamo'e. O le iloa e fa'avae i luga o le saini e fa'amauina i le uta o le Vaega A (manoa o le ala o le atotupe, phantom.js's 7,667-line collector, le Serveo C2 host) semanu e fa'ailoa mai ulua'i lomiga e tolu ma misia atoa ai le Vaega B.
O le mamanu lava lea e tasi e vaaia i isi tauvaga o le 2026 na matou siakiina: o se tagata e toatasi e iai se fausaga mautu, fesuiaʻi i le va o le gaoi o tusipasi, tagata faʻatau e pepelo i suega, Telegram-bot exfil, ma le taimi nei o le faʻafaigaluegaina o le DDoS. O le au puipuia e faʻalagolago i saini o uta o le a faiaina pea i le taamilosaga lona lua o tauvaga taʻitasi.
O le taunuuga o lena mea O TTP i le taimi e fa'apipi'i ai o le fa'ailo sili lea. Fa'alauiloaga fa'atolu o le install-hook, fa'amaumauga fa'apipi'i e fa'aulufale mai https or child_process, fa'apipi'i ni tusitusiga e tusi i faila e amata ai e tagata fa'aoga, ma fa'apipi'i ni tusitusiga e fo'ia ai igoa o 'au'aunaga i luga o auaunaga e leai se totogi o le reverse-tunnel (Serveo, localhost.run, ngrok, cloudflared) e seasea maua i afifi aloaia ma e taatele i afifi leaga.
O le a le mea e tatau ona fai e le au puipuia
- Su'esu'ega o le faila loka. Saili i vaega ta'itasi package-lock.json / loka filo / pnpm-lock.yaml i lau faʻalapotopotoga mo laina tonu axois-utils ma sima-tempalteIa taulima so'o se tauvaga o se maliliega.
- Fa'ata'amilo mea lilo i luga o ē talimalo ua aʻafia. Vaega A o fa'amaumauga o le SSH, cloud, GitHub, npm, ma le atotupe ua seleseleina tele. Fa'apea o fa'amaoniga uma lava o lo'o iai i totonu process.env, ~ / .ssh, ~/.aws, ~/.npmrc, ~ / .config, poʻo seisi .env* ua fa'aalia le faila i luga o le 'au'aunaga ua a'afia.
- Aveese le fa'aauau pea (Vaega B). I luga o le Windows, tape HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SystemUpdate, aveʻese %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\system-update.bat, ma schtasks /delete /tn SystemUpdate /f. I luga o le Linux, crontab -e ma aveese @reboot node …, systemctl –fa'agata le tagata fa'aoga –nei phantom-bot.service aveese loa ~/.config/systemd/user/phantom-bot.service, olo .bashrc / .zshrc / /etc/rc.localI luga o le macOS, launchctl la'u ese ~/Library/LaunchAgents/com.phantom.bot.plist ona tape lea o le plist.
- Poloka le 'au talimalo C2. Fa'aopoopo vaega e fa o le C2 i le laulau IOC i lau lisi poloka e alu ese ai. *.serveousercontent.com ma *.lhr.ola e mafai ona poloka fa'apitoa pe afai e leai se fa'aaogaina talafeagai o lau si'osi'omaga mo auaunaga o le reverse-tunnel.
- Sailiga e tusa ai ma le taimi e fa'apipi'i ai le TTP, ae le o le uta. Fa'amaumauga o le faila loka o lo'o iai afifi.json tautino mua'i fa'apipi'i, faʻapipiʻi, ma pe a uma ona fa'apipi'i o loʻo faʻasino uma i le tusitusiga e tasi. Siaki faʻatasi le matua o le afifi ma le tulaga faʻamaonia o le faʻasalalauga. E seasea ona tupu lenei mamanu i afifi faʻatulafonoina ma o le faʻailoga sili ona faʻatuatuaina lea e toe faʻaaogaina e PhantomBot.
- Su'esu'ega mo le binary C2. So'o se tasi na sii maia axois-utils:1.0.9 o lo'o i ai le 'au'aunaga C2 a le tagata fa'agaoioia (c2 ELF, sha256 165fa92d…) i luga o le tisiketi. Siaki le caches ma le CI artifact stores. O le binary e moe na o ia, ae o lona i ai i luga o se workstation o se faʻamaoniga manino lea na faʻapipiʻiina le afifi.
Laina tapuni
E mafai e le tagata fa'agaoioia lava e tasi, le afifi lava e tasi, ma le matau fa'apipi'i lava e tasi ona tu'uina atu ni taufa'amata'u eseese i totonu o le 48 itula. Va'ai le fausaga, ae le o le uta.
