TL; DR
nolimit-agent ke sephutheloana sa npm seo liphetolelo tsa sona tse phatlalalitsoeng — 1.0.299 ho fihlela 1.0.307, e lokollotsoe matsatsi a mane ho tloha ka la 2026-06-26 ho isa ho la 2026-06-29 — e 'ngoe le e 'ngoe e na le moralo o felletseng oa phishing le oa ho romella mangolo ka bongata ka hare ho bukana e patiloeng, e patiloeng ka botlalo. Phetolelong e 'ngoe le e 'ngoe, keno e kholo e ikemisetsa ho .ad/x0.js, e 'ngoe ea lifaele tse ~86 tse foldareng e bitsoang dotfile e nang le li-blob tse ka bang 4,200 tsa javascript-obfuscator string-array; sebopeho sa ho kenya le sebopeho sa ho kena li tšoana ho pholletsa le mola.
Ka morao ho sephiri ho lutse Phallo ea khoutu ea sesebelisoa sa Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) hore, hang ha khoutu e amohetsoe, e bala lebokose la inbox la Outlook la mohlaseluoa mme e romelle lintho ka Microsoft Graph API; enjene e kholo ea ho romella SMTP le SMS e tsamaisoang ke manane a baamoheli ba fanoeng ke opereishene; litempele tsa melaetsa ea boiketsetso ba lets'oao; kaho ea lihokelo tse bulehileng; le ho hlahloba khoutu ea DNS-over-HTTPS, WHOIS, le GitHub. Li-beacon tsa sephethephethe tsa nako ea ts'ebetso ho meralo ea motheo ea opereishene ho api[.]nolimitent[.]xyz:4100.
Ho ameha: mang kapa mang ea kenyang mofuta ofe kapa ofe oa sephutheloana, le mang kapa mang Lebokose la poso la Microsoft 365 eo mong'a eona a amohelang khoutu ea sesebelisoa e hlahisitsoeng ka eona. Mofuta oa morao-rao, 1.0.307, ke tag ya moraorao mme e na le bokgoni bo tshwanang ba lebokose la poso la khoutu ya sesebediswa — khoutu e kotsi ha e felle feela ho mofuta o le mong wa morao.
Boima: ho bohlokoaTikoloho e amehileng: npm. Letšoao le le leng leo u lokelang ho le batla pele: moamoheli api[.]nolimitent[.]xyz.
Tlhaselo: hore na e sebetsa joang
Khetla e se nang kotsi holim'a mojaro o patiloeng
Sephutheloana se hlahisa bokaholimo bo tloaelehileng. sejana.json e phatlalatsa kamora ho kenya sekhoka –
text
postinstall: node scripts/postinstall.js
— le tlhahlobong di-script/postinstall.js ha e na kotsi: e kenya shim ea taelo ea Windows ebe ea tsoa. Hook ha se moo boitšoaro bo lulang teng. ka sehloohong 'me na masimo ka bobeli a supa ho .ad/, bukana eo ntlha ea eona e etellang pele e e bolokang e sa sebelisoe kamehla ls tlhahiso, le eo dikahare tsa yona di sireleditsweng ka mokgwa o tshwanang ka mochini. Sekenara se sa fetoheng se balwa ho feta ~4,293 e nang le melapo e payload e hoketsweng ho pholletsa le .ad/ sete ea mojule; javascript-obfuscator ke ho itshetleha ho phatlaladitsweng ha ntshetsopele, ho tsamaellanang le sebopeho sa potoloho ya khoele-lethathamo la difaele tse kopantsweng.
Karohano ke lets'oao la pele le lokelang ho rehoa lebitso: khokahano ea ho kenya eo mohlahlobi a ka e hlahlobang e hloekile, ha khoutu ea ts'ebetso e lutse bukeng e le 'ngoe ea li-directory, e patiloe ebile e patiloe, e fihlelleha feela ha ntlha ea ho kena ea sephutheloana e sebetsa.
Phihlello ea lebokose la poso la khoutu ea sesebelisoa sa Microsoft 365
Mojule oa module .ad/x12.js e na le bokgoni bo bohlokwa ka ho fetisisa ba moralo. E kganna thuso ya tumello ya sesebediswa sa Microsoft 365 OAuth 2.0:
text
POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode
Thuso ea khoutu ea sesebelisoa ke phallo ea molao ea Microsoft e etselitsoeng lisebelisoa tse nang le lithibelo tsa ho kenya: tšebeletso e kopa khoutu, mosebelisi o e ngola ho microsoft.com/devicelogin` sesebelisoa sa bobeli 'me ea se amohela, 'me tšebeletso e kopang e amohela li-tokens. Ha tšebeletso e kopang e le ea motho e mong ntle le mong'a lebokose la poso, tumello e fa motho eo oa boraro tokens. Hang ha tokens e fumanoe, .ad/x12.js` e bala lebokose la poso ka ho toba ka Microsoft Graph:
text
GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from
GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients
The $khetha diponelopele di hula diaterese tsa moromelli ho tsoa ho inbox le diaterese tsa moamoheli ho tsoa dinthong tse rometsweng — thepa e tala ya ho etsa mmapa wa bangodi ba mohlasetswa. Ena ke phihlello ya mohanyetsi bohareng (AiTM) ka tumello ho ena le ka ho hapa phasewete: ha ho na bopaki ba phish ka kutlwisiso ya kgale, ke khoutu feela e amohetsweng.
Enjene ea mangolo a mangata le ea SMS e nang le litempele tsa boiketsetso
Ho potoloha phihlello ea lebokose la poso ho lutse motho ea romelang mangolo. Sephutheloana se romela lifaele tsa data tse ka hlophisoang ke opereishene — manane a baromeli (ba romelang.txt, smtps.txt) le faele ea template (mesebetsi.txt) — eo diaterese tsa hae tsa sebaka di balwang e le leqephe la ho etsa eka ke motho ya iketsang: security@apple.com, login-netefatso, tšebeletso ea OAuth, ho lefisa, le baromeli ba tsebiso ea ak'haonte khahlanong le homedomain.com moo opereishene e emang e nkela sebaka. Lehlakore la SMS le na le mohalaebook le tlhophiso ea heke. Moemeli oa poso o pheta-pheta manane a baamoheli ba fuoang ke opereishene mme o romela ka li-relay tsa SMTP tse hlophisitsoeng.
Ho etsa hore lihokelo li lule fatše, .ad/xu.js 'me .ad/xq.js haha li-URL tse sebelisang ho se hlaka ha URL le ho latela lintlha ka ho tobetsa. Mekhoa ea bosholu e kenya bolaoli bo shebahalang bo tšepahala pele ho @ kahoo sehlongwapele se bonahalang se fapana le moamoheli wa nnete:
text
https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@
https://redirect[.]example[.]com/ https://track[.]example[.]com/click?
Moralo ona o boetse o nka di-favicon ho bareki ba ka sehloohong le enterprise bafani ba mangolo — mokhoa o tloaelehileng oa ho fana ka tlhahiso e kholisang ea lebitso la mofani kapa leqephe la ho fihla.
Tlhahlobo ea sepheo le meralo ea motheo
Li-module tse 'maloa li bokella moelelo pele li romelloa. .ad/x0.js e rarolla mabitso ka DNS-over-HTTPS (dns[.]google/resolve), .ad/xa.js lipotso WHOIS (api[.]whois[.]vu), Le .ad/x9.js e sebelisa patlo ea khoutu ea GitHub (api[.]github[.]com/search/code?q=) — paterone e tsamaellanang le ho sibolla tlhophiso e pepeneneng ya seva ya poso le mangolo a SMTP ho fepa lenane la di-relay. .ad/xs.js e botsa ka index ea CDX ea Wayback Machine.
Taelo le taolo
Ho pholletsa le sete e patehileng, .ad/x4.js litšupiso tsa ntlha ea ho qetela ea opereishene:
text
http://api[.]nolimitent[.]xyz:4100
Moamoheli o arolelana ea hae ho se be le moeli letshwao le nang le lebitso la mohatisi ka boeena, le : 4100 koung ke kanale ea ho letsetsa lapeng ea foreimi. Ena ke sesupo se tšoarellang ka ho fetisisa bakeng sa batšireli: sephutheloana, sebaka sa mosebetsi sa moqapi, kapa moemeli oa kaho ea fihlang api[.]nolimitent[.]xyz e sebelisitse khoutu ena.
Matšoao a ho sekisetsa
Matšoao a ka tlase ke ao mosireletsi a ka a sebelisang - ho kenya faele ea ho koala, ho thibela moamoheli, kapa ho batla proxy le li-log tsa DNS. Li-endpoint tsa Microsoft li hlaha hobane moralo oa tsona o li sebelisa hampe; ha li kotsi 'me ha lia lokela ho thibeloa.
Li-hashe tsa lifaele tse hapuoeng nakong ea triage:
- sephutheloana/.ad/x0.js — sha256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- sephutheloana/sephutheloana.json — sha256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Letšoao la mohiri la Microsoft 365 le lokelang ho tsoma ntle le sephutheloana sena: ho kena ka khoutu ea sesebelisoa ka katleho ho lateloa hang-hang ke Graph e baloa ka Lifoldara tsa poso/inbox 'me Lifoldara tsa poso/lintho tse amang maikutlo, haholo-holo ho tsoa thutong eo mosebelisi a sa e tsebeng.
Boitšoaro le tlhaloso ea litšobotsi tse bonoang
Se bonahalang se dula se arohane le hore na ke mang ya se entseng.
Lintlha tse bonahalang: sephutheloana se phatlalalitsoe tlas'a letsoho moemeli oa nolimit ka aterese ea Gmail e sa netefatsoang 'me ha ho na polokelo ea mohloli e hokahaneng; ke sejana.json e hlalosa e le "moromelli oa lengolo-tsoibila ea tsoetseng pele" 'me e e tšoaea ka sehlopha se sefubelu lentsoe la bohlokoa; khoutu ea nako ea ho sebetsa e tsepamisitsoe ka har'a patiloe, e patiloeng .ad/ bukana eo ketane ea lisebelisoa tsa eona (javascript-obfuscator) ke boitšetleho bo phatlalalitsoeng; 'me moamoheli oa mohala oa lapeng api[.]nolimitent[.]xyz e sebelisa hape ho se be le moeli letshwao. Ena ke sephutheloana se le seng se nang le letshwao le le leng la meralo ya motheo le laolwang ke basebedisi — ha se sehlopha sa diphuthelwana tse ngata, mme ha ho na ho kopana le letsholo le neng le boletswe pele ho ile ha hlwauwa.
The sehlopha se sefubelu lentsoe la sehlooho ha le fetole sehlopha. Lisebelisoa tsa ts'ireletso ea tlhaselo tse molaong tse romellang bokhoni ba tšebeliso e habeli li etsa joalo ka ho hlaka: mohloli o baloang, lipheo tse fanoang ke mosebelisi, 'me ha ho na mohala o patiloeng lapeng. Sephutheloana sena se fetola thepa ka 'ngoe ea tsona - khoutu ea eona ea ts'ebetso e patiloe ebile e patiloe, 'me e bonesa meralo ea motheo ea mosebelisi e tsitsitseng ho fapana le sepheo seo mosebelisi a se fanang ka sona. Boitšoaro, eseng leiboleng, bo laola kahlolo, e leng kotsi.
Sepheo ha sea totobatsoa mona. Poso e hlalosa seo khoutu e se etsang - kopa khoutu ea sesebelisoa, bala lebokose la poso ka Graph, romela mangolo a mangata ka li-relay tse hlophisitsoeng, beacon ho moamoheli ea tsitsitseng - 'me e siea sepheo se sa boleloa.
Tšusumetso, mekhoa le tataiso ea basireletsi
Litlamorao tse peli tsa nako ea ho kenya lia bohlokoa. Taba ea pele, moqapi ofe kapa ofe kapa moemeli oa CI ea kenyang moemeli oa nolimit e tlisa moralo ho moamoheli eo mme e theha lehae la mohala ho api[.]nolimitent[.]xyz. Ea bobeli, bokhoni ba khoutu ea sesebelisoa bo atoloha ho feta moamoheli oa ho kenya: lebokose la poso la Microsoft 365 leo mong'a lona a susumetsoang ho amohela khoutu e hlahisitsoeng le baloa ka ho toba ka Graph, 'me ha ho na phasewete e kileng ea tšela terata.
Mokhoa o pharaletseng ke oo ho lokelang ho kenngoa ka hare ho oona. Phishing ea khoutu ea sesebelisoa (AiTM) e fetohile ho tloha meralong ea motheo ea phishing e ikemetseng ho ea sephutheloana se ngolisoang phatlalatsa - kabo ke npm kenya ho ena le ho sebedisa sehokelo se rometsweng ka imeile. Ho paka kit ka tsela ena ho fapanyetsana bothata ba ho amohela le ho fana ka dihokelo ba mosebelisi wa phishing bakeng sa phishing phishing phishing phishing phihlello ya yona, mme ho pata khoutu ya tshebetso ka mora hook e hlwekileng ya ho kenya le directory e nang le lebitso la dotfile e sa bonahaleng e hlolang skim e potlakileng ya letsoho.
Bakeng sa basireletsi:
- Tlhahlobo ea ngoliso le boitšetleho. Tšoara sephutheloana seo ka sehloohong/na e rarolla ka har'a bukana e patiloeng (e nang le matheba a pele) ea khoutu ea mokha oa pele e patiloeng ka mokhoa o ts'oanang e le kotsi e kholo sebopehong feela, ho sa tsotelehe hore na hook ea ho kenya e shebahala e hloekile. Minification ha se ho patoa - heke ho saena ea decoder ea string-array, eseng bolelele ba mola.
- Ho thatafatsa Microsoft 365. Thibela phallo ea tumello ea khoutu ea sesebelisoa ka Phihlello e nang le Maemo moo e sa hlokeheng ka ts'ebetso; lithuso tsa khoutu ea sesebelisoa ke vector e tsebahalang ea AiTM 'me ha li hlokehe hangata ke basebelisi ba sebelisanang. Hlahloba ho kena ha khoutu ea sesebelisoa ho lateloe ke lenane la poso la Graph hang-hang.
- Ho lemoha marang-rang. Thibela 'me u lemose api[.]nolimitent[.]xyzBatla DNS e tswang le di-proxy bakeng sa yona ho pholletsa le meralo ya motheo ya moqapi le ya kaho.
- Ho lemoha tsela ea poso. The mosebelisi@moamoheli Mefuta ea li-URL tse qhekellang (ea tšepahalang[.]com@…) lia bonoa hekeng ea poso le proxy; lihokelo tsa lifolakha tseo karolo ea tsona ea matla e tlang pele ho @.
Sephutheloana se ne se le teng ka npm nakong ea tlhahlobo. Hobane moralo o patiloeng o akaretsa mola oohle oa mofuta o hatisitsoeng le oa hajoale morao-rao tag (1.0.307) e na le bokgoni ba khoutu ya sesebediswa, ho tloswa ha registry ho lokela ho akaretsa mofuta o mong le o mong, eseng mofuta o le mong feela wa morao.
