TL, DR
nolimit-agent waa xirmo npm ah oo noocyadeeda la daabacay — 1.0.299 ilaa 1.0.307, oo la sii daayay muddo afar maalmood ah laga bilaabo 2026-06-26 ilaa 2026-06-29 — mid walba wuxuu wataa a qaab-dhismeedka phishing iyo bulk-mail oo dhammaystiran gudaha buug qarsoon oo si buuxda u qarsoon. Nooc kasta oo ka mid ah qoraallada ugu muhiimsan waxay go'aaminayaan inay .ad/x0.js, mid ka mid ah ~86 faylal oo ku jira fayl magaciisu yahay dotfile oo wata qiyaastii 4,200 oo javascript-obfuscator string-array blobs; jillaab rakibid iyo qaab-dhismeedka gelitaanka waa isku mid xariiqda oo dhan.
Gadaasha mugdiga ayaa fadhida Socodka koodhka qalabka Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) in, marka kood la ansixiyo, uu akhriyo sanduuqa Outlook ee dhibbanaha oo uu u diro walxaha iyada oo loo marayo Microsoft Graph API; matoor SMTP iyo SMS badan oo ay wadaan liisaska qaataha ee uu hawlwadeenku bixiyo; qaababka fariimaha ee summadaysan; dhismaha xiriirka dib-u-hagaajinta furan; iyo sahamin ku saabsan raadinta koodhka DNS-ka-badan HTTPS, WHOIS, iyo GitHub. Tilmaamayaasha taraafikada ee waqtiga-socodka ah ee kaabayaasha hawlwadeenka ee api[.]nolimitent[.]xyz:4100.
Saameyn ku yeelatay: qof kasta oo rakiba nooc kasta oo ka mid ah xirmada, iyo wax kasta oo Sanduuqa boostada ee Microsoft 365 oo milkiilihiisu uu ansixiyo koodka qalabka ee lagu soo bandhigay. Nooca ugu dambeeyay, 1.0.307, waa sumadda ugu dambeysay ee hadda jirta waxayna wadataa isla awoodda sanduuqa boostada ee qalabka - koodhka xaasidnimada ah kuma koobna hal nooc oo gadaal ah.
Darnaanta: muhiim ahNidaamka deegaanka ee ay saameysay: shmTilmaamaha kaliya ee la raadinayo marka hore: martida api[.]nolimitent[.]xyz.
Weerarku: sida uu u shaqeeyo
Qolof aan fiicnayn oo dul saaran culays qarsoon
Xirmadu waxay soo bandhigaysaa dusha sare ee caadiga ah. xirmo.json waxay ku dhawaaqeysaa a postinstall jillaab –
text postinstall: node scripts/postinstall.js - iyo kormeerka qoraallada/postinstall.js waa wax aan waxyeello lahayn: waxay rakibtaa amar Windows ah oo ka baxda. Jillaabku ma aha meesha dhaqanku ku nool yahay. ugu weyn ee iyo waxaan ahay beeraha labaduba waxay tilmaamayaan .ad/, buug-yare oo dhibcaha ugu horreeya ka ilaalinaya inay noqdaan kuwo aan caadi ahayn ls wax soo saarka, iyo waxa ku jira oo si isku mid ah u qarsoomay mashiinka. Iskaan-gareeyuhu wuxuu tiriyey ~4,293 culays oo cod-bixineed oo ku fidsan dhammaan .ad/ module-ka; javascript-obfuscator waa ku tiirsanaan horumarineed oo la sheegay, taas oo la jaanqaadaysa qaabka wareegga xarigga ee faylasha la isku daray.
Kala qaybsanaanta waa calaamadda ugu horreysa ee mudan in la magacaabo: jillaab rakibid oo dib u eegistu hubin doonto waa nadiif, halka koodhka hawlgalka uu hal buug u jiro, oo qarsoon oo qarsoon, oo la gaaro oo keliya marka barta gelitaanka ee baakadka la dhoofiyay ay shaqeyso.
Helitaanka sanduuqa boostada ee qalabka Microsoft 365
moduleka .ad/x12.js Waxay wadataa awoodda ugu muhiimsan ee qaab-dhismeedka. Waxay kaxaysaa deeqda oggolaanshaha qalabka Microsoft 365 OAuth 2.0:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode Deeqda koodhka qalabka waa socod sharci ah oo Microsoft ah oo loogu talagalay aaladaha la soo geliyo ee xaddidan: adeeggu wuxuu codsanayaa koodhka, isticmaaluhu wuxuu ku qoraa koodhka. microsoft.com/devicelogin` qalab labaad oo ansixiya, adeegga codsanayana wuxuu helaa calaamadaha. Marka adeegga codsanaya uu leeyahay qof aan ahayn mulkiilaha sanduuqa boostada, oggolaanshaha wuxuu gacanta u gelinayaa dhinaca saddexaad calaamad. Marka calaamad la helo, .ad/x12.js` wuxuu si toos ah u akhriyaa sanduuqa boostada iyada oo loo marayo Microsoft Graph:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients The $dooro saadaasha waxay soo jiidataa cinwaanada diraha sanduuqa boostada iyo cinwaanada qaataha alaabta la diray - agabka cayriin ee loogu talagalay khariidaynta wariyeyaasha dhibbanaha. Tani waa marin u helidda cadawga-dhexe (AiTM) ee ogolaanshaha halkii laga heli lahaa furaha sirta ah: ma jirto aqoonsi lagu sameeyo phish macnaha caadiga ah, kaliya kood ayaa la ansixin karaa.
Matoor boostada badan iyo SMS ah oo leh qaabab iska dhigid ah
Goobta boostada waxaa ku wareegsan boosteejo boostada. Xirmadu waxay soo dirtaa faylasha xogta ee la tafatiri karo ee hawlwadeenka - liisaska diraha (senders.txt, smtps.txt) iyo faylka qaab-dhismeedka (shaqooyinka.txt) — cinwaanada qofka booska haya oo loo akhriyo sidii warqad loogu talagalay in lagu sameeyo qof kale: security@apple.com, login-xaqiijinta, adeegga OAuth, biilasha, iyo dirista ogeysiiska akoonka ee ka dhanka ah yourdomain.com Hawl-wadeenka taagan ayaa beddelaya. Dhinaca SMS-ka wuxuu wataa taleefanebook iyo habaynta albaabka. Boostadu waxay ku celcelisaa liisaska qaataha ee uu hawlwadeenku bixiyo waxayna dirtaa iyada oo loo marayo gudbinta SMTP ee la habeeyey.
Si loo sameeyo xiriiro dhul, .ad/xu.js iyo .ad/xq.js Dhis URL-yada ka faa'iidaysta falanqaynta mugdiga URL-ka iyo raadinta gujinta. Qaababka been abuurka ah waxay ku jiraan awood la aamini karo ka hor @ marka horgalaha la arki karo wuu ka duwan yahay martigeliyaha dhabta ah:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Qaab-dhismeedka ayaa sidoo kale soo jiita favicons-ka macaamiisha waaweyn iyo enterprise Bixiyeyaasha boostada - farsamo caadi ah oo loogu talagalay bixinta jawaab celin sumcad bixiye ama bog degitaan oo lagu qanci karo.
Sahanka bartilmaameedka iyo kaabayaasha dhaqaalaha
Dhowr qaybood ayaa ururiya macnaha guud ka hor inta aan la dirin. .ad/x0.js waxay xallisaa magacyada marka loo eego DNS-over-HTTPS (dns[.]google/xalli), .ad/xa.js weydii WHOIS (api[.]whois[.]vu), Iyo .ad/x9.js waxay ku shaqeysaa raadinta koodhka GitHub (api[.]github[.]com/search/code?q=) - qaab la jaan qaadaya helitaanka habaynta boostada-server-ka ee la soo bandhigay iyo aqoonsiga SMTP si loo quudiyo liiska gudbinta. .ad/xs.js su'aalo ka keenaya tusmada CDX ee Wayback Machine.
Amarka iyo xakameynta
Guud ahaan qalabka la qariyey, .ad/x4.js tixraaca dhammaadka hawlgalka:
text http://api[.]nolimitent[.]xyz:4100 Marti-geliyaha ayaa la wadaagaa aan xadidnayn sumad leh magaca daabacaha, iyo : 4100 dekeddu waa kanaalka guriga loogu yeero qaab-dhismeedka. Kani waa tilmaanta ugu waarta difaacayaasha: xirmo, goob shaqo oo horumariye ah, ama wakiil dhisme oo gaaraya api[.]nolimitent[.]xyz ayaa ku shaqeynayay koodhkan.
Tilmaamayaasha tanaasulka
Tilmaamaha hoose waa kuwa uu difaacu ku dhaqmi karo - grep a lockfile, block a host, ama search proxy iyo DNS logs. Dhammaadka Microsoft waxay soo baxaan sababtoo ah qaab-dhismeedku ma aha kuwo xaasidnimo leh oo aan la xannibin.
Faylasha hash-ka lagu qabtay kala soocidda:
- xirmo/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- xirmo/xirmo.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Calaamad kireystaha Microsoft 365 ah oo u qalanta raadinta iyada oo aan ka madax bannaanayn xirmadan: saxiixyada qalabka-koodka ee guuleysta oo si dhakhso ah loo raaco oo ay ku xigto Graph-ku wuxuu akhriyaa Faylasha boostada/sanduuqa boostada iyo Faylasha boostada/xasaasiyadda, gaar ahaan kalfadhi uusan isticmaaluhu aqoonsanayn.
Dhaqanka la arkay iyo dabeecadda la arkay
Waxa la arki karo waa ka duwan yahay cidda ka dambeysa.
Xaqiiqooyin la arki karo: xirmada waxaa lagu daabacay gacanta hoosteeda wakiil aan xadidnayn oo leh cinwaan Gmail ah oo aan la xaqiijin iyo kayd ilo isku xiran; xirmo.json wuxuu ku tilmaamaa "diraha iimaylka ee horumarsan" wuxuuna ku calaamadeeyaa kooxda cas ereyga muhiimka ah; koodhka waqtiga socodsiinta wuxuu ku urursan yahay meel qarsoon oo qarsoon .ad/ buug-yare oo silsiladdiisa qalabku (javascript-obfuscator) waa ku-tiirsanaan la sheegay; iyo martigeliyaha guriga wicitaanka api[.]nolimitent[.]xyz dib u isticmaalaa aan xadidnayn summad. Kani waa hal xirmo oo leh hal calaamad oo kaabayaasha ah oo ay maamulaan hawlwadeenku - ma aha koox xirmooyin badan leh, mana jirin wax isku-dhafan oo lala yeeshay olole hore loo magacaabay.
The kooxda cas ereyga muhiimka ah ma beddelo kala soocidda. Qalabka sharci ah ee amniga weerarka ee keena awoodda isticmaalka laba-geesoodka ah si cad ayuu u sameeyaa: ilo la akhrin karo, bartilmaameedyo uu bixiyo hawlwadeenka, iyo wicitaan guri oo qarsoon ma jiro. Xirmadani waxay rogrogaysaa mid kasta oo ka mid ah sifooyinkaas - koodkeeda hawlgalka waa la qariyay oo waa la qariyay, waxayna u muuqataa kaabayaasha hawlwadeenka go'an halkii ay ka ahaan lahayd bartilmaameed uu isticmaaluhu bixiyo. Dhaqanka, ee maaha calaamadda, ayaa xukuma xukunka, kaas oo ah mid xaasidnimo ah.
Ujeeddada halkan laguma sheegin. Qoraalku wuxuu qeexayaa waxa uu sameeyo koodku - codso koodka qalabka, akhri sanduuqa boostada oo ka sarreeya Garaafka, dir boostada badan iyada oo loo marayo gudbinta habaysan, tilmaame loo diro martigeliyaha go'an - iyo ujeeddada oo aan la sheegin.
Saamaynta, isbeddellada iyo hagidda difaacaha
Laba saameyn oo waqtiga rakibidda ah ayaa muhiim ah. Marka hore, horumariye kasta ama wakiil CI ah oo rakiba wakiil aan xadidnayn wuxuu qaab-dhismeedka u soo bandhigayaa martidaas wuxuuna dejiyaa wicitaanka guriga api[.]nolimitent[.]xyzMarka labaad, awoodda qalabka-koodka waxay gaarsiisan tahay meel ka baxsan martigeliyaha rakibidda: sanduuqa boostada ee Microsoft 365 oo milkiilihiisu uu ku qasbay inuu ansixiyo koodka la soo bandhigay ayaa si toos ah loogu akhriyaa Garaafka, iyada oo aan la gelin erayga sirta ah ee waligiis ka gudbaya fiilada.
Isbeddelka ballaaran waa kan lagu dhex gelinayo. phishing-ka qalabka (AiTM) wuxuu ka soo wareegay kaabayaasha phishing-ka ee goonida ah una wareegay xirmo ku taal diiwaanka dadweynaha - qaybinta by rakibaadda dharka halkii laga isticmaali lahaa xiriiriye emayl lagu soo diray. Qalabka sidan ayuu u badelaa dhibaatada martigelinta iyo keenista isku xirka ee hawlwadeenka phishing si uu u gaaro diiwaanka, wuxuuna qariyaa koodhka hawlgalka gadaashiisa jillaab rakibid nadiif ah iyo buug-yaraha dotfile-ka ee la qariyey kaas oo ka adkaada farsamo gacanta ah oo degdeg ah.
Difaacayaasha:
- Dib u eegista diiwaangelinta iyo ku tiirsanaanta. Daawee xirmo ay ku jirto ugu weyn ee/waxaan ahay wuxuu xalliyaa tusaha qarsoon (oo leh dhibco-hor-u-fixed) ee koodka dhinaca koowaad ee si isku mid ah loo qariyey oo ah mid khatar sare ku ah qaab-dhismeedka oo keliya, iyada oo aan loo eegin in jillaabku u muuqdo mid nadiif ah. Yareynta ma aha mid qaro weyn - albaabka ku yaal saxiixa decoder-ka xarigga, ee ma aha dhererka xariiqda.
- Adkaynta Microsoft 365. Xaddid socodka oggolaanshaha qalabka-koodka iyadoo la adeegsanayo Helitaanka Shuruudda ah meesha aan loo baahnayn hawlgal ahaan; deeqaha koodhka aaladda waa falanqeeye AiTM ah oo la yaqaan oo dhif ah ayay u baahdaan dadka isticmaala is-dhexgalka. Hubinta saxiixyada koodhka aaladda oo ay ku xigto tirinta sanduuqa boostada ee Garaafka oo degdeg ah.
- Ogaanshaha shabakadda. Jooji oo digniin saar api[.]nolimitent[.]xyzKa raadi DNS-ka dibadda iyo diiwaannada wakiillada ee horumariyaha oo dhis kaabayaasha dhaqaalaha.
- Ogaanshaha waddada boostada. The isticmaale@martigeliyaha Foomamka URL-spoof (lagu kalsoon yahay[.]com@…) ayaa laga ogaan karaa albaabka boostada iyo wakiilka; xiriirada calanka oo qaybtooda awoodda ay ka horreyso @.
Xidhmadu waxay si toos ah u socotay npm xilligii falanqaynta. Sababtoo ah qaab-dhismeedka qarsoon wuxuu daboolayaa dhammaan khadadka nooca la daabacay iyo kan hadda jira. ugu dambeeyey tag (1.0.307) wuxuu leeyahay awoodda qalabka-koodka, ka saarista diiwaanka waa inay daboolaa nooc kasta, ma aha oo kaliya hal nooc oo gadaal ah.
