TL, DR
Inta u dhaxaysa Abriil 1 iyo Maajo 3, 2026, hal daabace npm ah, user0001, oo lagu diiwaan geliyay cinwaanka Gmail-ka ee aan la xaqiijin tanvisoul9@gmail.com, si aamusnaan ah ayay u riixeen lix xirmo oo leh magacyo si ula kac ah u qallafsan, oo ka mid ah kuwa kaabayaasha dhaqaalaha u dhawaaqaya: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, Iyo node-env-resolve.
Labadii nooc ee ugu dambeeyay ee node-env-resolve, 1.0.7 iyo 1.0.8, waxaa calaamadeeyay nidaamka Xygeni's Malware Early Warning (MEW) bishii Maajo 2 waxaana la xaqiijiyay inay tahay wax laga xumaado Maajo 3.
Qalabka lagu tallaalay waa wax aan caadi ahayn waxa uusan ahayn: ma jiraan bots Telegram ah, dib u soo celin OAST ah, ma jiraan daboolid, iyo isku day la'aan in la qabto aqoonsiga AWS wakhtiga rakibidda. Taa beddelkeeda, postinstall.js beero gelitaan ku-joogsasho Windows ah, iyadoo la adeegsanayo furaha HKCU Run oo bilaaba wscript.exe ka dhanka ah VBS stub. Kadib waxay soo saartaa wakiil Node.js ah oo gooni ah kaas oo isku xira modules-yada qabashada makarafoonka, xatooyada taariikhda biraawsarka, sawir qaadista shaashadda, iyo jilitaanka jiirka/kiiboodhka.
Waxaan ugu yeereynaa kooxdan kooxdan DevTap, ka dib qalabka, wuxuu ku baxayaa mashiinka horumariyaha.
Lixda xirmooyinba waxay si toos ah ugu jireen npm xilligii qoraalkan la qorayay. Waxaan u gudbinay kanaalka xadgudubka diiwaanka. Difaacayaashu waa inay ka soo saaraan rakibaad kasta daabacaha inta laga saarayo.
Kooxda: Lix Xirmo, Hal Daabace
Akoonka daabacaha user0001 lama xaqiijin. Ma laha SCM xaqiijin, ma jiro iimayl ku xiran domain-ka, iyo taariikh hore oo aan jirin. Gacanta Gmail-ka tanvisoul9 kama muuqato diiwaan kale oo daabacaha npm ah oo aan ka heli karno.
Lixda xirmo oo dhan waxay taxaan isla ilaaliye, waxaa laga soo daabacay isla akoon, waxayna wadaagaan isla isla sidaas. package.json saxanka kululeeyaha. Ma jiro repository, maya homepage, iyo maya description ka dheer hal sadar.
Istaraatiijiyadda magac-bixinta waa qaybta xiisaha leh. Si ka duwan ololaha ku-tiirsanaanta-jahawareerka caadiga ah ama ololaha khaladka qoraalka, mid ka mid ah magacyadan ma bartilmaameedsado maktabad gaar ah oo kor u socota. Taa beddelkeeda, waxaa loo habeeyey inay ku baaba'aan meel dhab ah. package.json or npm ls wax soo saarka.
| Xidhmada | Marka hore waxaa la daabacay | Nooca ugu dambeeya | versions | Doorka Kooxda |
|---|---|---|---|---|
| dhexe-ogeeye | 2026-04-01 12:46 UTC | 1.0.9 | 5, laga bilaabo 1.0.5 ilaa 1.0.9 | Daboolka "adeegga diiwaangelinta" ee kooxda; daabacaadda ugu horreysa |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Daboolka caawiye-ka-caawinta DOM ee guud |
| node-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Qoyska Mimics node-fetch |
| isku xiraha-wakiilka | 2026-04-25 05:12 UTC | 1.0.0 | 1 | Magaca guud ee "wakiil" |
| waqtiga socodka-gyp-ka | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Qalabka dhismaha ee Mimics ee asalka ah |
| xalli xudunta-env | 2026-04-25 05:21 UTC | 1.0.9 | 10, laga bilaabo 1.0.0 ilaa 1.0.9 | Dhibcaha firfircoon; qalabka lagu tallaalo oo buuxa |
Magacyada sida centralogger, node-fetch-lite, Iyo node-gyp-runtime waxaa loogu talagalay inay u ekaadaan kuwo aan muran ka taagnayn dib u eegista koodhka. Waxay u egyihiin waxyaabo horey ugu jiri lahaa geedka ku tiirsanaanta mashruuca.
Marka lagu daro daabace cusub oo aan la xaqiijin iyo xiriiro kayd ah oo maqan, waxay sameeyaan qaab la aqoonsan karo: jilaa oo magacyada is khilaafsan ku beeraya diiwaanka, ka dibna si dhakhso ah ugu celcelinaya midka muhiimka ah. Xaaladdan, node-env-resolve waxay heshay toban nooc siddeed maalmood gudahood.
Maxaa ku soo dhacaya Sanduuqa Horumarinta Windows
Silsiladda xaasidnimada leh ee ku taal node-env-resolve:1.0.8 waa mid gaaban, toos ah, oo aan caadi ahayn oo leh astaamo hodan ku ah npm RAT.
Kadib rakibidda: Joogteyn iyo Wakiil Go'an
package.json waxay ku dhawaaqeysaa hal jillaab rakibid ah:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js saddex shay ayuu u kala horreeyaa.
Marka hore, waxay u gudubtaa tusaha rakibidda meel ka baxsan geedka npm. Waddada waxaa lagu xisaabiyaa wakhtiga socodsiinta qoraalka sida INSTALL_DIRDabadeed waxay ku shaqeysaa gudaha execSync('npm install --production --silent ...') gudaha si loo jiido ku-tiirsanaanta waqtiga shaqada ee qalabka gelinta. Tani waxay wakiilka ku dhejisaa disk meel buug-gacmeed ah node_modules hubinta ma heli doonto.
Marka labaad, waxay qortaa VBS Launcher waxayna u diiwaangelisaa adkeysiga boot-ka:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe waa Windows Script Host, oo ah Microsoft binary oo saxiixan oo shaqeeya .vbs faylasha aan lahayn daaqad konsole ah. Taasi waa horecisSababta ugu badan ee loo isticmaalo autorun stubs.
Waxaa sidoo kale jira isbarbardhig reg delete waddo gudaha ah src/index.js, taasoo soo jeedinaysa in qalabka lagu tallaalay loogu talagalay in si nadiif ah looga saari karo amarka hawlwadeenka.
Saddexaad, waxay dhalisaa hab-dhaqan ilmo gooni ah:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })Laba faahfaahin ayaa muhiim ah halkan.
SERVER_URL waxaa laga akhriyaa deegaanka. Natiijo ahaan, dhammaadka C2 waa la habeyn karaa halkii la geyn lahaa mana lagu dubin baakadka. Doorashadaas yar laakiin ula kac ah ayaa ka adkaatay inta badan wareegyada taagan-IOC.
Sidoo kale, ilmaha dhashay wuxuu dhaxlaa deegaanka waalidka oo dhan. Sidaa darteed, wax kasta oo NPM_TOKEN, AWS_*, GITHUB_TOKEN, ama godka wakiilka SSH ee ku jira qolofka horumariyaha waqtiga rakibidda ayaa u socdaala xusuusta wakiilka ee cimriga dheer jiray.
Waxa Wakiilku la socdo
Xiran src/ Geedku wuxuu ka kooban yahay saddex qaybood oo magacyadoodu kaligood sheegaan sheekada: audioCapture.js, browserHistory.js, Iyo systemInfo.js.
Liiska ku tiirsanaanta waqtiga socodsiinta, oo la xalliyay intii lagu jiray marxaladda la dejiyay npm install, ayaa xaqiijinaya.
Habkani wuxuu isu beddelaa dhacdo fowdo ah jawaab celin la xakameeyey.
Halkii ay si indho la'aan ah uga falcelin lahaayeen, kooxuhu waxay la shaqeeyaan Mudnaan cad iyo hagaajin degdeg ah.
| Ku tiirsanaanta | Maxay u Tahay Macnaha Guud |
|---|---|
| shaashad-shaashadda | Qabashada shaashadda xilliyeedka ah |
| @ fargeeto-geed-lowska/lowska-js | Jilidda jiirka iyo kiiboodhka / jilitaanka gelinta |
| better-sqlite3 | Akhrinta tooska ah ee Chrome, Edge, iyo Firefox History SQLite databases |
| adm-zip | Ururinta walxaha qadiimiga ah ka hor inta aan la sifeynin |
| fiiqan | Dib-u-habaynta/isku-soo-ururinta shaashadaha iyo sawirada farshaxanka leh |
| macmiilka socket.io | Kanaalka C2 ee laba-jiho leh oo joogto ah |
| lambarka aqoonsiga mashiinka-noodhka | Farta faraha ee deggan ee martigeliyaha kasta si loogu raad raaco dhibbanaha |
systemInfo.js wicitaanada os.networkInterfaces() si loo helo faraha dheeraadka ah ka hor calaamadda koowaad.
Sababta Qabashada Codku u tahay Calaamadda Ugu Muhiimsan
Inta badan RAT-yada npm ee aan kala soocno MEW waxay joogsadaan xatooyada qarsoodiga ah ee waqtiga rakibidda. Waxay akhriyaan ~/.npmrc, akhri ~/.aws/credentials, xoq process.env, Ku dheji shabakad, oo ka bax. Taasi waxay ku habboon tahay qaab dhaqaale oo la jabsado. Shahaadooyinka aqoonsiga waxay leeyihiin cimri gaaban oo nus ah, weeraryahankuna wuxuu u baahan yahay inuu si dhakhso ah lacag u helo.
node-env-resolve qaab ahaan way ka duwan tahay.
Adkeysiga waxaa loo dejiyay si uu uga badbaado dib-u-bilaabidda. Wakiilku wuu go'doonsan yahay oo muddo dheer ayuu ku noolaa. wscript.exeQalabka ay siddo waa in lagu joogo mashiinka horumariyaha, ee maaha in lagu qabto oo laga tago: duube makarafoon, darawal kiiboodhka/mouse ah, qaadashada taariikhda biraawsarka oo dhammaystiran, qabashada shaashadda, iyo kanaalka Socket.IO ee is-dhexgalka ah oo dib ugu noqda C2 la habeyn karo.
Qabashada makarafoonka gaar ahaan waa xariiqda ololahan uu ka gudbo inta badan malware-ka npm uusan ka gudbin.
Goobta shaqada ee horumariyayaasha ayaa ah, si isa soo taraysa, goobta shaqada ee horumariyayaashu ay ka qaataan goobaha shaqada, wicitaanada macaamiisha, wadahadallada naqshadeynta, iyo buundooyinka wicitaanka. Qalabka lagu dhejiyo makarafoonka ma aha mid ka dambeeya calaamadda npm ee horumariyaha. Waa wax ka dambeeya waxa horumariyaha uu ku yiraahdo laptop-ka hortiisa.
Awooddaas oo la dejiyay, oo ay weheliso la'aanta qarqaryo iyo maqnaanshaha wax sifeyn ah oo waqti-rakibid ah, waxay u muuqataa inay tahay meelayn hore oo loogu talagalay marin u helidda bartilmaameedka halkii laga xayuubin lahaa xatooyada aqoonsiga fursad-raadinta.
Kuma sheeganayno sumcad tan oo keliya. Waxaan xusaynaa astaanta hawlgalka.
Bandhigga sideedda maalmood ah oo socda node-env-resolve waa faahfaahinta ugu hawlgelinta badan ee jadwalka.
Kani maaha dhibic dab-iyo-ilaawo ah. Daabacaha ayaa si firfircoon u ilaalinaya dhibicda, taas oo badanaa macnaheedu yahay mid ka mid ah laba shay. Ama waxay ku hagaajinayaan jawiyada tijaabada ka hor inta aan la gelin meel ballaaran, ama waxay horey u haysteen telemetry rakiban oo dib u soo laabanaya oo ka jawaabaya.
Shanta xirmo ee kale si wax ku ool ah uma aysan helin wax isbeddel ah ka dib daabacaaddoodii ugu horreysay. Taasi waxay ku habboon tahay qaab "marxalad mar, magac loogu magac daray" oo loogu talagalay kooxda taageerada halka dadaalka injineernimada uu diiradda saarayo xirmada shaqada qabata.
Tilmaamaha: Tilmaamo Yaryar, Xukun Adag Ma Jirto
Dadweynaha OSINT Calaamaduhu waa khafiif, mana fidin doonno. Waxa la arki karo:
Gacanta Gmail-ka tanvisoul9 qayb ahaan waxay u egtahay magac la bixiyay oo Koonfurta Aasiya ah, "Tanvi." Tani waa calaamad daciif ah. Gacanta Gmail ma aha aqoonsi, iyo raad-raaca dambe. soul9 waa mid guud. Ma aha ammaan in juqraafi laga soo qaato emaylka qaybta maxalliga ah oo keliya.
Qaabka koodhka waa mid aan la rumaysan karin Node.js: standard wicitaanada maktabadda sida os, child_process, spawn, Iyo reg addMa jiro wax qarinaya, ma jiro wareeg xadhig ah, mana jiro wax macquul ah oo ka dhan ah khaladka. Qoraagu wuu ku raaxaystaa aasaaska diiwaanka Windows iyo habaynta habka goonida ah ee carruurta, laakiin uma muuqdo inuu gaarayo ganacsi qarsoodi ah oo ay si macquul ah u isticmaali karaan.
Ku tiirsanaantu gebi ahaanba waa mid aan la garanayn waana la yaqaan: screenshot-desktop, nut-js, better-sqlite3, Iyo socket.io-clientMa jiro hab-maamuus gaar ah, ma jiro xidhmo C2 ah oo xoqan laga duubay, mana jiro khidad adkeysi cusub oo ka baxsan buug-gacmeedka Furaha Run HKCUKani waa isku-dhajiye karti leh, maaha qoraa qalab.
Ma aanan helin xarfo aan Ingiriisi ahayn, faallooyin ku dhex jira, xogta deegaanka, ama faraha waqtiga-soo-saarka ee ku jira walxaha la daabacay.
Waxaan hubinay inay isku soo urureen koodhadhkii ololihii hore ee aan hore u raadraacnay, oo ay ku jiraan Shay Hulud, Owlibiyoon, Buildkite, iyo heibai-gii ugu dambeeyay / claude-code-best Qoyska isku-dhafka ah ee Anthropic-CLI. Ma aanan helin midna: qaabab C2 oo la wadaago ma jirin, qaabab faylal oo la wadaago ma jirin, iyo hadallo la wadaago ma jirin.
Waxa aynaan dhihi lahayn: in kani yahay jilaa dowladeed, koox la yaqaan, ama juqraafi ahaan ku xiran waddan gaar ah.
Qaab-dhismeedka hawlgalku wuxuu la jaan qaadayaa koox yar oo xirfad leh oo sameeya kormeerka goobaha shaqada ee horumariyaha. Waxay u badan tahay inay dhaqaale ahaan ku saleysan tahay isticmaalka marin-u-helka, laakiin sidoo kale waxaa suurtogal ah inay sahamin u noqoto adeeg ahaan iibsade gaar ah.
Laba qodob oo aan toos ahayn ayaa taageeraya kuwa akhrinaya: ka fogaanshaha farsamooyinka soo jiidashada leh ee si dhakhso ah u gubi lahaa kooxda, sida bots-ka Telegram, oastify.com, ama canarytokens, iyo magacyada xirmooyinka si ula kac ah u jilicsan, kuwaas oo doorbida rakibidda dabada dheer ee aamusan muddo gaaban oo mug weyn leh.
Tilmaamayaasha Tanaasulka iyo Ogaanshaha
| Xirmooyinka iyo Daabacaha | |
|---|---|
| Field | Qiimaha |
| daabacaha npm | user0001 |
| Iimaylka Daabacaha | tanvisole9@gmail.com, lama xaqiijin |
| Baakado | centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, node-env-resolve |
| La xaqiijiyay in si xun loo sameeyay | node-env-resolve@1.0.7, node-env-resolve@1.0.8 |
| Maqaayadaha Martigelinta | |
|---|---|
| nooca | Qiimaha |
| Furaha joogtada ah | HKCU\Software\Microsoft\Windows\CurrentVersion\Run |
| Qiimaha joogtaynta | Magaca doorsoomaha ah; xogta foomka wscript.exe " \\ ".vbs" |
| Ku rakib jillaab | postinstall: node postinstall.js ee ku jira muujinta xirmada |
| Qaybaha gelinta | src/audioCapture.js, src/browserHistory.js, src/systemInfo.js |
| Tusmada diyaarinta | INSTALL_DIR waxaa lagu xalliyay meel ka baxsan modules-ka node-ka mashruuca; goobta waxaa dejiyay postinstall.js wakhtiga rakibidda |
| Network | |
|---|---|
| nooca | Qiimaha |
| Gaadiidka C2 | socket.io-macmiilka, kanaal laba-jiho ah oo joogto ah |
| C2 dhamaadka barta | Waxaa la siiyaa wakiilka iyada oo loo marayo doorsoomaha deegaanka ee SERVER_URL; laguma darin waxyaabo la daabacay |
Qoraallada Ogaanshaha
Laba sharci ayaa qabanaya qoyskan iyagoon u baahnayn dhammaadka C2.
Marka hore, calaamadee qoraallada postinstall-ka ee sameeya gudaha npm install waddo ka baxsan buugga u gaarka ah ee xirmada. Soo dejiye kasta oo hore loo dhisay oo sharci ah, sida node-gyp dib u dhiska ama soo dejiyeyaasha binary-ka ee hore loo dhisay, ku qor gudaha xirmada ama madal-standard Waddooyinka kaydka oo leh haash la xaqiijiyay. Kuma qorna meel cusub oo la sameeyay INSTALL_DIR meel kale oo disk ah.
Marka labaad, calaamadee qoraallada postinstall-ka ee soo baxa reg add HKCU\…\Run la wscript.exe sida soo saaraha. Tani asal ahaan waligood sharci kama aha xirmada npm. Calaamadee oo karantiil.
Heuristic saddexaad ayaa waxtar u leh in la ogaado xirmada walaalaha ee xigta ka hor inta aan la xaqiijin: daabace npm cusub oo aan lahayn maya SCM xaqiijin, iimayl Gmail ah, maya repository goobta, iyo magacyo badan oo gaagaaban, guud ahaan, oo u muuqda kaabayaasha dhaqaalaha oo la daabacay maalmo gudahood midba midka kale, ayaa ku filan in dib u eegis gacanta ah lagu sameeyo.
Waxaa loo soo sheegay diiwaanka npm. Qoraalkan waan cusbooneysiin doonnaa marka akoonka daabacaha laga saaro.
