ХИБ; DR
nolimit-agent як бастаи npm аст, ки версияҳои нашршудаи он — 1.0.299 то 1.0.307, дар тӯли чор рӯз аз 26-06-2026 то 29-06-2026 бароварда шуд — ҳар кадоме дорои чаҳорчӯбаи пурраи фишинг ва почтаи оммавӣ дар дохили як феҳристи пинҳон ва пурра печида. Дар ҳар як версия вуруди асосӣ ҳал мешавад .ad/x0.js, яке аз ~86 файл дар ҷузвдони бо номи dotfile, ки тақрибан 4,200 блокҳои javascript-obfuscator string-array-ро дар бар мегирад; қалмоқи насб ва тарҳбандии вуруд дар тамоми сатр якхелаанд.
Дар паси нофаҳмӣ як Ҷараёни рамзи дастгоҳи Microsoft 365 OAuth (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) ки пас аз тасдиқи рамз, паёмдони Outlook-и ҷабрдидаро мехонад ва ашёро тавассути Microsoft Graph API мефиристад; муҳаррики интиқоли SMTP ва SMS, ки аз ҷониби рӯйхати гирандагони оператор идора мешавад; шаблонҳои паёмҳои тақлид ба бренд; сохтани пайванди равонакунии кушода; ва ҷустуҷӯи рамзи DNS-бар HTTPS, WHOIS ва GitHub. Маякҳои трафики вақти корӣ ба инфрасохтори оператор дар api[.]nolimitent[.]xyz:4100.
Таъсирёфта: ҳар касе, ки ягон версияи бастаро насб мекунад ва ҳар гуна Қуттии почтаи электронии Microsoft 365 ки соҳиби он рамзи дастгоҳеро, ки тавассути он пешниҳод шудааст, тасдиқ мекунад. Нусхаи охирин, 1.0.307, теги охирини ҷорӣ аст ва дорои ҳамон қобилияти қуттии почтаи рамзи дастгоҳ аст - рамзи зараровар танҳо ба як версияи қаблӣ маҳдуд намешавад.
Ҷиддият: муҳимтарЭкосистемаи таъсиррасон: дандЯк нишондиҳандае, ки аввал бояд ҷустуҷӯ кард: мизбон api[.]nolimitent[.]xyz.
Ҳамла: чӣ гуна кор мекунад
Як қабати безарар дар болои бори пинҳоншуда
Баста сатҳи муқаррарӣ дорад. бастаи.json эълон мекунад пас аз насб кардан қалмоқ -
text postinstall: node scripts/postinstall.js — ва ҳангоми санҷиш скриптҳо/постинстал.js безарар аст: он як шими фармони Windows-ро насб мекунад ва аз он мебарояд. Қалмоқ ҷое нест, ки рафтор дар он зиндагӣ мекунад. асосӣ ва ҳазор майдонҳо ҳарду ба он ишора мекунанд .ad/, феҳристе, ки нуқтаи пешбари он онро аз тасодуфӣ дур нигоҳ медорад ls баромад ва мундариҷаи он ба таври яксон аз ҷониби мошин печида шудааст. Сканери статикӣ тақрибан 4,293 сарбории рамзгузоришударо дар саросари ҷаҳон ҳисоб кард. .ad/ маҷмӯи модулҳо; javascript-obfuscator вобастагии эълоншудаи рушд аст, ки ба шакли гардиши сатр-массиви файлҳои басташуда мувофиқат мекунад.
Тақсимкунӣ аввалин сигналест, ки номгузорӣ кардан лозим аст: қалмоқи насбкунӣ, ки баррасикунанда онро тафтиш мекунад, тоза аст, дар ҳоле ки рамзи амалиётӣ як директория дуртар ҷойгир аст, пинҳон ва печида буда, танҳо вақте дастрас мешавад, ки нуқтаи вуруди содиршудаи баста кор мекунад.
Дастрасӣ ба қуттии почтаи рамзи дастгоҳи Microsoft 365
Модул .ad/x12.js дорои қобилияти муҳимтарини чаҳорчӯба мебошад. Он иҷозати иҷозати дастгоҳи Microsoft 365 OAuth 2.0-ро пеш мебарад:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode Имтиёзи рамзи дастгоҳ ҷараёни қонунии Microsoft аст, ки барои дастгоҳҳои дорои вуруди маҳдуд тарҳрезӣ шудааст: хидмат рамзро дархост мекунад, корбар он рамзро ба он ворид мекунад microsoft.com/devicelogin` дар дастгоҳи дуюм тасдиқ мекунад ва хидмати дархосткунанда токенҳоро мегирад. Вақте ки хидмати дархосткунанда ба каси дигаре ғайр аз соҳиби қуттии почта тааллуқ дорад, тасдиқ ба он шахси сеюм токен медиҳад. Пас аз гирифтани токен, .ad/x12.js` қуттии почтаро мустақиман тавассути Microsoft Graph мехонад:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients Дар $интихоб кунед пешгӯиҳо суроғаҳои фиристандаро аз паёмдони паёмҳо ва суроғаҳои гирандаро аз ашёҳои фиристодашуда мегиранд — маводи хом барои харитасозии мукотибони ҷабрдида. Ин дастрасии душман дар миёна (AiTM) бо розигӣ аст, на бо роҳи забти парол: дар маънои классикӣ барои фишинг ягон эътимоднома вуҷуд надорад, танҳо рамзе барои тасдиқ вуҷуд дорад.
Муҳаррики почтаи электронӣ ва SMS-и оммавӣ бо шаблонҳои тақлидӣ
Дар атрофи қуттии почта як почтафиристанда ҷойгир аст. Баста файлҳои маълумотии таҳриршавандаи операторро мефиристад - рӯйхати фиристандагон (фиристодагон.txt, smtps.txt) ва файли шаблон (функсияҳо.txt) — суроғаҳои ҷойнишинаш ҳамчун варақаи рехтагарӣ барои тақлид хонда мешаванд: security@apple.com, login-фиристандагони огоҳиномаҳои тасдиқ, хидматрасонии OAuth, ҳисобнома-фактура ва ҳисобнома-фактура бар зидди yourdomain.com оператори дар ҳолати интизорӣ иваз мекунад. Тарафи SMS телефон дорадebook ва конфигуратсияи дарвоза. Почтафиристанда рӯйхати гирандагони аз ҷониби оператор пешниҳодшударо такрор мекунад ва тавассути релеҳои SMTP-и танзимшуда мефиристад.
Барои сохтани пайвандҳо, .ad/xu.js ва .ad/xq.js URL-ҳоеро эҷод кунед, ки аз номуайянии таҳлили URL ва пайгирии кликҳо истифода мебаранд. Намунаҳои қалбакӣ пеш аз он як мақоми боэътимодро ҷойгир мекунанд. @ пас префикси намоён аз хостгоҳи воқеӣ фарқ мекунад:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? Ин чаҳорчӯба инчунин фавиконҳоро аз истеъмолкунандагони асосӣ мегирад ва enterprise провайдерҳои почта - як усули муқаррарӣ барои пешниҳоди дархост ё саҳифаи фуруд бо бренди провайдери боварибахш.
Равшансозии ҳадаф ва инфрасохтор
Якчанд модулҳо пеш аз фиристодан контекст ҷамъ мекунанд. .ad/x0.js номҳоро аз болои DNS бар HTTPS ҳал мекунад (dns[.]google/resolve), .ad/xa.js пурсишҳои WHOIS (api[.]whois[.]vuВа) .ad/x9.js ҷустуҷӯи рамзи GitHub-ро иҷро мекунад (api[.]github[.]com/search/code?q=) — намунае, ки бо кашфи конфигуратсияи сервери почтаи фошшуда ва эътимодномаҳои SMTP барои фиристодани рӯйхати реле мувофиқ аст. .ad/xs.js индекси CDX-и Wayback Machine-ро пурсиш мекунад.
Фармондеҳӣ ва назорат
Дар саросари маҷмӯи норавшан, .ad/x4.js ба нуқтаи ниҳоии оператор ишора мекунад:
text http://api[.]nolimitent[.]xyz:4100 Мизбон онро мубодила мекунад нолимитент бренд бо номи худи ношир ва : 4100 порт канали занги хонагии чаҳорчӯба аст. Ин ягона нишондиҳандаи устувортарин барои ҳимоятгарон аст: баста, истгоҳи кории таҳиягар ё агенти сохтмонӣ, ки ба он дастрасӣ дорад. api[.]nolimitent[.]xyz ин рамзро иҷро кардааст.
Нишондиҳандаҳои созиш
Нишондиҳандаҳои зер нишондиҳандаҳое мебошанд, ки ҳимоятгар метавонад бо онҳо амал кунад — grep a lockfile, масдуд кардани хост ё ҷустуҷӯи прокси ва гузоришҳои DNS. Нуқтаҳои ниҳоии Microsoft пайдо мешаванд, зеро чаҳорчӯба онҳоро сӯиистифода мекунад; онҳо худашон зараровар нестанд ва набояд масдуд карда шаванд.
Хэшҳои файл, ки ҳангоми ҷудокунӣ сабт шудаанд:
- баста/.ad/x0.js — ша256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- баста/package.json — ша256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
Сигнали иҷорагири Microsoft 365, ки сарфи назар аз ин баста арзанда аст: воридшавии муваффақонаи рамзи дастгоҳ ва пас аз он фавран Граф хонда мешавад Папкаҳои почта/қуттии паёмдон ва Папкаҳои почта/фиристодашуда, махсусан аз сессияе, ки корбар онро намешиносад.
Атрибутсия ва рафтори мушоҳидашуда
Он чизе, ки мушоҳида мешавад, аз он ки кӣ дар паси он аст, ҷудо мемонад.
Далелҳои мушоҳидашаванда: баста дар зери даста нашр карда мешавад агенти нолимит бо суроғаи тасдиқнашудаи Gmail ва бе анбори манбаъи пайвандшуда; он бастаи.json онро ҳамчун "фиристандаи пешрафтаи почтаи электронӣ" тавсиф мекунад ва онро бо ... қайд мекунад дастаи сурх калимаи калидӣ; рамзи вақти иҷро дар як пинҳон ва печида мутамарказ шудааст .ad/ феҳристе, ки занҷири абзорҳояш (javascript-obfuscator) вобастагии эълоншуда аст; ва мизбони занги хонагӣ api[.]nolimitent[.]xyz аз нав истифода мебарад нолимитент бренд. Ин як бастаи ягона бо як нишонаи инфрасохтории аз ҷониби оператор идорашаванда аст - на кластери бисёрбаста ва ҳеҷ гуна такрори он бо маъракаи қаблан номбаршуда муайян нашудааст.
Дар дастаи сурх Калимаи калидӣ таснифотро тағйир намедиҳад. Воситаҳои қонунии амнияти ҳамла, ки қобилияти дуҷонибаро пешниҳод мекунанд, ин корро шаффофона анҷом медиҳанд: манбаи хондашаванда, ҳадафҳои аз ҷониби оператор пешниҳодшуда ва набудани занги пинҳонӣ. Ин баста ҳар яки ин хусусиятҳоро баръакс мекунад - рамзи амалиётии он печида ва пинҳон аст ва он ба инфрасохтори собити оператор, на ба ҳадафе, ки корбар пешниҳод мекунад, ишора мекунад. Рафтор, на нишона, ҳукмро идора мекунад, ки зараровар аст.
Дар ин ҷо ният изҳор нашудааст. Дар ин паём тавсиф карда мешавад, ки рамз чӣ кор мекунад - дархости рамзи дастгоҳ, хондани қуттии почта тавассути Graph, фиристодани почтаи оммавӣ тавассути релеҳои танзимшуда, маяк ба хости собит - ва ангезаро бе зикр мегузорад.
Таъсир, тамоюлҳо ва роҳнамоии ҳимоятгарон
Ду таъсири вақти насб муҳиманд. Аввалан, ҳар як таҳиягар ё агенти CI, ки насб мекунад агенти нолимит чаҳорчӯбаро ба он мизбон меорад ва занги хонаро барои он муқаррар мекунад api[.]nolimitent[.]xyzДуюм, қобилияти рамзи дастгоҳ фаротар аз мизбони насбкунанда фаротар меравад: қуттии почтаи Microsoft 365, ки соҳибаш маҷбур аст рамзи пешниҳодшударо тасдиқ кунад, мустақиман тавассути Graph хонда мешавад ва ҳеҷ гоҳ парол аз сим убур намекунад.
Тамоюли васеътар ин аст, ки ба таври дохилӣ истифода шавад. Фишинги рамзи дастгоҳ (AiTM) аз инфрасохтори фишинги мустақил ба бастае дар феҳристи давлатӣ табдил ёфтааст — паҳнкунӣ аз ҷониби насб на тавассути истиноди почтаи электронӣ. Бастабандии ин маҷмӯа мушкилоти хостинг ва интиқоли истиноди оператори фишингро барои дастрасии феҳрист иваз мекунад ва рамзи амалиётиро дар паси қалмоқи насби тоза ва директорияи норавшан бо номи dotfile пинҳон мекунад, ки як скимми зуди дастӣ-ро мағлуб мекунад.
Барои ҳимоятгарон:
- Баррасии регистр ва вобастагӣ. Ба бастае муносибат кунед, ки асосӣ/ҳазор ба феҳристи пинҳон (пешфарзшудаи нуқта)-и рамзи яксон печидашудаи тарафи аввал ҳамчун хатари баланд танҳо дар сохтор ҳал мешавад, новобаста аз он ки қалмоқи насбкунӣ тоза ба назар мерасад. Минификатсия печида нест - дарвоза дар имзои декодери сатр-массив, на дар дарозии сатр.
- Сахтшавии Microsoft 365. Ҷараёни иҷозатномаи рамзи дастгоҳро бо Дастрасии Шартӣ маҳдуд кунед, дар ҷойҳое, ки он аз ҷиҳати амалиётӣ талаб карда намешавад; грантҳои рамзи дастгоҳ як вектори маъруфи AiTM мебошанд ва ба корбарони интерактивӣ хеле кам лозим мешаванд. Аудити воридшавӣ ба рамзи дастгоҳ ва баъдан рақамгузории фаврии қуттии почтаи электронии Graph.
- Ошкоркунии шабака. Блок ва огоҳӣ фаъол аст api[.]nolimitent[.]xyzБарои он дар тамоми таҳиягарон ва инфрасохтори сохташуда, сабтҳои DNS ва проксиҳои содиротиро ҷустуҷӯ кунед.
- Муайянкунии роҳи почта. Дар корбар@мизбон Формулаҳои сохтаи URL (боэътимод[.]com@…) дар дарвозаи почта ва прокси ошкор карда мешаванд; пайвандҳои парчамӣ, ки ҷузъи ваколати онҳо пеш аз ... аст. @.
Дар вақти таҳлил баста дар npm фаъол буд. Зеро чаҳорчӯбаи пинҳон тамоми сатри версияи нашршуда ва версияи ҷориро фаро мегирад. охирин теги (1.0.307) қобилияти рамзи дастгоҳро дорад, нест кардани феҳрист бояд ҳар як версияро фаро гирад, на танҳо як версияи қаблӣ.
