ХИБ; DR
Як ношири ягонаи npm, deadcode09284814, маъракаи хатои чопӣ алайҳи қонунӣ роҳандозӣ кардааст axios ва chalk-template бастаҳо аз нимаи моҳи майи соли 2026.
Ин маърака ҳамчун як дуздии эътимодномаҳои анъанавӣ ва ҳамён оғоз ёфт ва маълумотро ба ... Нақби HTTPS Serveo.
On 2026-05-17, бо axois-utils:1.0.9, оператор бори фоиданокро пурра иваз кард: ҳамон як чаҳорчӯбаи насби қалмоқ, ҳамон ношир, ҳамон номи баста.
Аммо скрипти насб ҳоло як ҷалби ботнети DDoS дар платформаҳои гуногун аст.
Бори фоидаовар бо як сухан мегӯяд localhost.run нақбро истифода мебарад ва фармонҳои обхезиро қабул мекунад ва муҳити сироятшударо ба як қисми ботнети қобилияти DDoS табдил медиҳад.
Оператор ҳатто онро интиқол дод Сервери дуӣ C2 дар дохили tarball, ки афзоиши возеҳро аз дуздии эътимоднома то инфрасохтори фаъоли ботнет нишон медиҳад.
Ду баста, чор версия то ҳол дар феҳрист фаъол аст ва як оператор ҳоло ҳарду модулро ба таври мувозӣ иҷро мекунад.
Шиддатӣ: баланд.
Ҳамла: Чӣ тавр он кор мекунад
Ин маърака бар пояи як тахтапушти дилгиркунанда барои интиқол сохта шудааст: ду номи бастаҳои хатои чопӣ, як ҳарф аз бастаҳо бо садҳо миллион зеркашиҳои ҳафтаина (axios, шаблони тахташакл), ва насби сегона hooks ки иҷрои онро кафолат медиҳад. Чизи ҷолиб ин аст, ки чӣ гуна сохтмон анҷом дода мешавад мебардорад — ва он далел, ки оператор борро бе тағир додани чизи дигар иваз кардааст.
Исфанҷи муштарак
Ҳар як версияи нашршудаи ҳарду баста ҳамон се давраи ҳаётиро эълон мекунад hooks in бастаи.json:
Рӯйхати бори фоидаовар дар зери ҳар се hooks аз ҳад зиёд аст — пас аз насб кардан танҳо дар ҳолати пешфарз кор мекунад насбИнтихоб муҳим аст: npm насб –ignore-scripts скриптҳоро аз даст медиҳад, аммо якчанд ҷараёнҳои маъмулии корӣ (кэши CI он давраи ҳаёти дубора иҷрошударо барқарор мекунад) hooks интихобан, ё таҳиягароне, ки танҳо аудит мекунанд пас аз насб кардан) эълони сегонаи такрорӣ, ки барои ҳамлагар бехатартарин шарт аст, анҷом диҳед.
шаблони борик механизми дуюмро илова мекунад: он эълон мекунад axois-utils:^1.0.7 ҳамчун вақти иҷро вобастагӣ дорадНасб кардани typosquatted шаблони тахташакл аз ин рӯ, typosquat-и бародарро низ мекашад ва ҳарду баста кор мекунанд. Ин ду баста як ҷуфти ҳамоҳангшуда мебошанд, на рӯйхати мустақил.
Марҳилаи А — эътимоднома / дуздии ҳамён (2026-05-15 → ҳозира)
Марҳилаи А бори аввалаи муфид аст. Боркунак кӯтоҳ аст postinstall.js ки ба як нақби баръакси HTTPS Serveo ишора мекунад:
Домени зерсохтори Serveo суроғаи IP-и мақсаднокро рамзгузорӣ мекунад (80.200.28.28) мустақиман дар номи мизбон — конвенсияи шинохташаванда барои он хидмат. Оператор префикси зердомени тасодуфиро байни версияҳо иваз мекунад, то аз рӯйхати соддаи блокҳои доменҳо канорагирӣ кунад, аммо IP-и аслӣ ҳеҷ гоҳ ҳаракат намекунад. (teck-tempalte:1.0.14 истифода 8a3e818ea8f11186-80-200-28-28…; 1.0.16 / 1.0.19 / 1.0.20 истифода f04a273bd84c0622-….)
postinstall.js даст ба phantom.js, модули "коллектор"-и бастабандишудаи 7,667 сатр. phantom.js мизбонро барои ин роҳ мебарад:
Калидҳои махфии SSH (~/.ssh/*) |
.npmrc мундариҷа ва ҳар гуна npm_* токенҳои муҳитӣ |
| Файлҳои эътимодномаи AWS, GCP ва Azure |
GitHub Personal-Access-Token regex (ghp_*, gho_*, ghu_*, ghs_*) |
| Артефактҳои ҳамёни криптовалюта барои Bitcoin, Exodus, Electrum, Monero, Litecoin, Dogecoin, Zcash, Dash |
Рекурсивӣ .env* гузаштан ~/projects, ~/dev, ~/code, ~/workspace, ва насби cwd |
Таърихи Shell ва пурра process.env |
Баста ба нақби Сервео дар POST фиристода мешавад /ҷамъоварӣҲеҷ гуна печидагӣ, мантиқи зидди VM, ҳеҷ гуна саҳнасозӣ вуҷуд надорад — шарти оператор ба ҳаҷм ва суръат аст.
Марҳилаи B — Ҷалби PhantomBot DDoS (2026-05-17, танҳо axois-utils: 1.0.9)
Марҳилаи B phantom.js + postinstall.js-ро бо як файл бо номи distrube.js иваз мекунад (хатои чопӣ аз оператор аст). Складкаи сегона-қалмоқ дар package.json бетағйир мондааст; баста ҳамон ном, доираи васеъшавӣ ва намунаи версияи болоравиро нигоҳ медорад. Аз берун, axois-utils:1.0.9 ба як идомаи ночизи 1.0.6 монанд аст. Дар дохили он, он як оилаи нармафзори дигари зараровар аст.
паҳнкунӣ.js бо блоки конфигуратсияе кушода мешавад, ки брендинги худи операторро номбар мекунад:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
Шарҳҳо ба оператори ояндае равона карда шудаанд, ки ин маҷмӯаро иҷро мекунад ("URL-и HTTPS-и localhost.run-и худро истифода баред"). Ин, илова бар он чизе, ки дар паҳлӯи муштарии бот фиристода мешавад, нишон медиҳад, ки ин танҳо як боркунии ҷабрдида нест - ин маҷмӯа аст.
Ҷараён:
- Persistence аввал иҷро мешавад. Скрипт худро бо се роҳи гуногун барои ҳар як системаи амалиётӣ (реестр) насб мекунад. давидан + Папкаи оғозёбӣ + schtasks дар Windows; crontab + хидмати роботи хаёлӣ воҳиди системавӣ + .bashrc/.zshrc замима кардан + /etc/rc.local дар Linux; LaunchAgent com.phantom.bot.plist дар macOS). Номи хидмати устуворӣ ва тамғаи LaunchAgent ҳарду мебошанд. роботи хаёлӣ / com.phantom.bot, ки номи маърака низ аз он ҷост.
- Маълумоти системаро хориҷ кунед як маротиба иҷро мешавад — як маротиба бо POST ба b94b6bcfa27554.lhr.life:443/collect паёми изи ангушт, ки номи мизбон, платформа, arch, корбар, CPU/RAM, интерфейсҳои шабакавӣ, process.env, cwd, homedir, версияи node ва IP-и оммавиро дар бар мегирад. Ин нисбат ба марҳилаи A хеле камтар хашмгин аст: SSH нест, ҳамён нест, рекурсияи .env нест. Вазифаи бот сабти ном кардан аст, на дуздӣ кардан.
- Ҳалқаи тапиши дил ҳар 30 сония ба b94b6bcfa27554.lhr.life:443/ як HTTPS POST мекушояд. Агенти корбар PhantomBot/1.0 аст. Тасдиқи TLS ба таври возеҳ ғайрифаъол аст (rejectUnauthorized: false). Ҷавоби C2 ҳамчун JSON-и шакли {type, target, port, duration, threads, method} таҷзия ва фиристода мешавад.
- Арсенали обхезӣ ба шаш фармон пайваст карда шудааст:
| Навъи фармон | Модули | Заметки |
|---|---|---|
| пинг | Ҷавоби зиндадилӣ | Бот худро муайян мекунад |
| http | HTTP обхезӣ | Обхезии дархости қабати 7 |
| https | Сели HTTPS | Ҳамон тавре ки http, бо TLS печонида шудааст |
| tcp | TCP обхезӣ | Спами боркунии тасодуфии 65 KB |
| пуд | Сели UDP | Бастаҳои UDP-и 65,507 байтӣ |
| зуд | DoS-и аз нав танзимкунии фаврии HTTP/2 | Техникаи CVE-2023-44487 2023 |
Ҳамаи панҷ модули обхезӣ як ҳадаф, бандаргоҳ, давомнокӣва ҷабҳаҳо баҳс — бот як флоудери умумии кироя аст, ки ба ягон қурбонии мушаххас нигаронида нашудааст. Рӯйхати қурбониёни оператор дар C2 ҷойгир аст, на дар баста.
Навигариҳо дар ин ҷо — дуӣ C2 фиристода шудааст
Марҳилаи А шакли шинос аст: дуздии эътимоднома, қалмоқчаи насбкунӣ, C2-и нақббандии фурӯшанда. Марҳилаи B ин аст ҳамчунин шакли шинос — ботнетҳои DDoS солҳо боз як ҷузъи бастаҳои зараровари npm мебошанд. Чизи ғайриоддӣ ин аст, ки оператор онро интиқол додааст тарафи сервер аз маҷмӯа дар дохили tarball npm:
- c2 — файли дуии Go ELF-и 4 мегабайтӣ, ки аз он компилятсия шудааст
- c2.go — манбаи Go-и 426-сатрӣ барои он файли дуӣ
Ҳеҷ яке аз файлҳо аз ҷониби ягон қалмоқи насбкунӣ даъват карда намешаванд. Онҳо қисми боркунии қурбонӣ нестанд. Онҳо дар феҳристи бастаҳо мисли файли ҳуҷҷатгузорӣ ҷойгиранд. Мумкинтарин хониш ин аст, ки оператор дарахти кории таҳияи худро ба npm бе интихоби рӯйхати файлҳо - як слипи воқеии OpSec - тела додааст ва он чизе, ки фиристода шудааст, маҷмӯи пурраи дуҷониба аст: муштарӣ қурбонӣ аст ва сервере, ки оператор иҷро мекунад.
Ин қисмати ҳикояест, ки чаҳорчӯбаи "маҷмӯаи ботнетҳои калидӣ"-ро асоснок мекунад. Ҳар касе, ки зеркашӣ кардааст axois-utils:1.0.9 Пеш аз несткунӣ, онҳо на танҳо намунаи ҷабрдида доранд - онҳо сервери C2-и корӣ доранд.
Нуқтаи асосӣ, дар як ҷумла
Ҳамон ношир, ҳамон номҳои бастаҳо, ҳамон тахтаи сеқабата, ҳамон брендинги "фантомӣ" - аммо бори пардохтӣ модели монетизатсияро якбора тағйир додаз «асрори ҳосили ҷамъоварӣ, ки ман метавонам дубора фурӯшам» то «иқтидори обхезиро, ки ман метавонам ба иҷора гирам». TTP-ҳои вақти насб, ки ҳимоятгарон бояд онҳоро назорат кунанд, дар ҳарду марҳила қариб якхелаанд; ҳимояҳои бар асоси имзо, ки ба сатрҳои роҳи ҳамёни Марҳилаи А ё ба phantom.jsКоллектори 7,667-хаттаи ӯ марҳилаи B-ро комилан аз даст медод.
| Сана (UTC) | ҳодиса |
|---|---|
| 2026-05-15 | Нашри аввал: axois-utils:1.0.4 (Сохтани санҷиши LAN, дастгоҳи таҳиякунанда дар 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 нашр шудааст — Марҳилаи А C2 ба иваз карда шуд 80.200.28.28 тавассути нақби Сервео; шарҳи манбаъ // Change to '80.200.28.28' for public мубодилаи dev→prod-ро тасдиқ мекунад |
| 2026-05-16 | chalk-tempalte:1.0.14 ва 1.0.16 нашр шудааст — эълони боркунаки занҷирӣ axois-utils:^1.0.7 ҳамчун вобастагии иҷро; зердомени Serveo гардонида шудааст |
| 2026-05-16 | Маъракаи марҳилаи А ҳангоми сканкунии муқаррарии npm ошкор карда шуд; ҳукмҳои тасдиқшудаи зараровар татбиқ карда шуданд |
| 2026-05-17 | axois-utils:1.0.9 нашр шудааст — pivot load: ҷалби PhantomBot DDoS тавассути нақби localhost.run; тарафи оператор c2 дуӣ ва c2.go манбаъ дар тарбол фиристода шуд |
| 2026-05-17 | chalk-tempalte:1.0.19 ва 1.0.20 нашр шудааст — ҳоло ҳам Марҳилаи А (дузд); оператор ҳоло ҳарду модулро ба таври мувозӣ иҷро мекунад |
| 2026-05-17 | Кашфи марҳилаи B ҳангоми сканкунии муқаррарӣ; ҳукмҳо дар ҳама соҳаҳо татбиқ мешаванд 2026-05-17 версияҳои |
| (идома дорад) | Гузоришҳои барҳамдиҳӣ дар ҳоли баррасӣ ҳастанд; ҳар чаҳор бастаи нашршуда дар вақти навиштан дар феҳрист дастрас боқӣ мемонанд. |
Нишондиҳандаҳои созиш
бастаҳои
| Экосистема | бастаи | версияҳои |
|---|---|---|
| данд | axois-utils (типоскуат аз аксиос) | 1.0.4, 1.0.6, 1.0.9 |
| данд | chalk-tempalte (typosquat of chalk-template) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
Шахсияти муаллиф
| соҳа | арзиши |
|---|---|
| ношири npm | deadcode09284814 |
| Почтаи электронии ношир | phantomdeadcode@tutamail.com |
| SCM тафтиши | ҳеҷ |
Фармон-дигар
| Марҳила | Endpoint | Нақлиёт |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | Нақби HTTPS Serveo |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | Нақби HTTPS Serveo (нусхаи қаблӣ) |
| A | 80.200.28.28:443/collect | Нуқтаи ниҳоии VPS-и аслӣ |
| B | b94b6bcfa27554.lhr.life:443/ | localhost.run HTTPS нақби баръакс |
Дайҷестҳои файл (SHA-256)
| File | ША-256 | Заметки |
|---|---|---|
c2 (Ба ELF равед, 4 МБ) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | Сервери C2 аз ҷониби оператор, дар дохили он интиқол дода мешавад axois-utils:1.0.9 |
c2.go (426 сатр) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | Барои файли дуӣ C2 ба манбаъ равед |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | Муштарии боти марҳилаи B |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | Марҳилаи А эътимоднома / коллектор-ҳамён |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | Коллектор-марҳилаи А (варианти 1.0.20) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | Боркунаки марҳилаи А, байтҳои якхела дар ҳарду версия |
Иштирок ва ҳавасмандгардонӣ
Мо ин маъракаро ҳамчун PhantomBot, бо назардошти брендинги худи оператор аз Агенти корбар: PhantomBot/1.0 сарлавҳаи тапиши дил, хидмати роботи хаёлӣ воҳиди системавӣ, com.phantom.bot тамғаи LaunchAgent ва рамзи мурдаи фантом@ суроғаи почтаи электронӣ. Оператор дар бораи ин ном дар ҳадди аққал чор артефакт яксон аст.
Каталоги сигналҳо
- ношир - рамзи мӯҳлатнок09284814 дар npm. Ҳисоби якдастӣ, почтаи электронии якдафъаинаи Tutamail, не SCM тасдиқ. Таърихи нашри қаблӣ пас аз ин маърака вуҷуд надорад.
- Истифодаи такрории брендинг — «фантом» дар почтаи электронии ношир, дар номи файли коллектори Phase A пайдо мешавад (phantom.js), дар номи хидмати устувории марҳилаи B (хидмати роботи хаёлӣ), дар тамғаи LaunchAgent (com.phantom.bot), ва дар боти User-Agent (ФантомБот/1.0).
- инфрасохтор — Як VPS дар 80.200.28.28 марҳилаҳо Марҳилаи А тавассути гардиши зердомени Сервео; Марҳилаи Б ба localhost.run нақби баръакс (b94b6bcfa27554.lhr.lifeҲарду хидматҳои фурӯшанда ройгонанд ва танҳо SSH-и содиротиро аз ҷониби оператор талаб мекунанд, ки бо танзимоти камбуҷа ва OpSec-и паст мувофиқ аст.
- Услуби код — JavaScript-и оддӣ дар тамоми он; бе ягон мушкилӣ, бе рамзгузории сатрҳо, бе санҷишҳои зидди VM. Номҳои тағйирёбанда тавсифӣ мебошанд (Маълумоти системаро дуздӣ кунед, executeCommand, httpFlood). Шарҳҳо дар паҳнкунӣ.js мустақиман ба оператори оянда муроҷиат кунед ("URL-и HTTPS-и localhost.run-и худро истифода баред"), ки ин нишон медиҳад, ки файл барои тақсимоти дубора ҳамчун маҷмӯа пешбинӣ шуда буд, на аз ҷониби як ҳамлагар.
- Слипи OpSec — Тӯби tarball Phase B ҳам муштарии бот ва ҳам сервери C2-и тарафи операторро мефиристад (c2 ELF + c2.go (манбаъ). Ин бо операторе мувофиқ аст, ки дарахти кории худро бе аудити рӯйхати файлҳо ба npm тела додааст. Ё оператор бетаҷриба аст, ё маҷмӯа... маънидод кард бояд ба таври оммавӣ паҳн карда шавад ва файли дуӣи C2 қисми маҳсулот аст.
- Худшиносӣ - axois-utils:1.0.4 шарҳи манбаъро дар бар мегирад // Барои оммавӣ ба '80.200.28.28' иваз кунед дар сатри 12, тасдиқи пешрафти таҳия/сатҳбандӣ/истеҳсолот, ки операторҳо одатан рад мекунанд.
Муваффақият
Марҳилаи А дуздии мустақими молиявӣ аст: эътимодномаҳо, калидҳои абрӣ, токенҳои GitHub ва ҳамёнҳои криптовалюта ҳама бозорҳои фурӯши дубораи моеъ доранд. Марҳилаи B низ молиявӣ аст, аммо ғайримустақим: хидматҳои DDoS-for-hire ("booter") иқтидори иҷораро ҳар дақиқа зиёд мекунанд ва ботҳо ба монанди оне, ки дар ин ҷо фиристода шудааст, инвентаризатсияи он хидматҳо мебошанд. Тапиши дили 30-сония, генералӣ ҳадаф/бандаргоҳ/давомнокӣ схемаи фармон ва арсенали панҷ протоколии обхезӣ инҳоянд standard маҳсули оператори booter.
Иҷрои мувозии ҳарду модул — teck-tempalte:1.0.19 ва 1.0.20 дар айни замон интиқоли дуздро идома диҳед axois-utils:1.0.9 ботро мефиристад — нишон медиҳад, ки оператор ба ҷои тарк кардани марҳилаи А, ҷараёнҳои даромадро муҳофизат мекунад. Нуқтаи асосӣ як аст Илова бар ин, ивазкунанда нест.
Он чизе ки мо иддао намекунем
Мо натавонистем шахсияти воқеии ҷаҳониро дар паси он тасдиқ кунем рамзи мӯҳлатнок09284814 дастак ва мо ин маъракаро ба ягон субъекти таҳдид, гурӯҳ ё кишвари номбаршуда нисбат намедиҳем. Брендинги "фантомӣ" дар тамоми артефактҳо ба қадри кофӣ мувофиқ аст, ки як операторро нишон диҳад, аммо интиқоли C2-и дуӣ ба услуби маҷмӯа имкон медиҳад, ки бастаҳои оянда аз дастакҳои бегона ҳамон як рамзро дубора истифода баранд.
Таъсир, тамоюлҳо ва он чизе, ки ҳимоятгарон бояд анҷом диҳанд
Таъсири
Ҳадафҳои қонунии нишасти ғоратгарӣ axios ва шаблони тахташакл дар экосистемаи JavaScript ба таври васеъ вобастаанд; axios танҳо дар байни сӣ бастаи npm-и аз ҳама бештар зеркашӣшуда ҷойгир аст. Номҳои typosquat як тугмаи тугма аз номҳои воқеӣ дуртаранд (аксис ↔ axios, шаблон ↔ Шаблон), ва ҳарду хатогиҳои имлоӣ аз ҷиҳати забонӣ қобили қабуланд.
Мо пеш аз нест кардан натавонистем омори боэътимоди зеркаширо барои версияҳои зараровар ба даст орем — npm пас аз нашр нашудани баста шумораи зеркашиҳои ҳар як версияро нигоҳ намедорад ва npms.ioПроксиҳои -style дар ин миқёс пурғавғо мебошанд. Ҳар як ташкилоте, ки файли қулфкардашуда ба бастае бо номи ҳал мешавад axois-utils or шаблони борик аз ношир рамзи мӯҳлатнок09284814 бояд ҳамчун осебдида баррасӣ карда шавад: ҳар як эътимодномаи мавҷударо гардонед process.env дар мизбони зарардида, векторҳои истодагариро барои ҳар як системаи амалиётӣ тафтиш кунед (нигаред ба "Муҳофизон чӣ кор бояд кунанд" дар зер) ва вобастагиро нест кунед.
Нақшҳои пайдошаванда
Ин маърака тағйиротеро нишон медиҳад, ки мо дар якчанд ҳодисаҳои ахири npm мушоҳида кардем: тахтапушти насбкунӣ дороии устувор аст; бор ивазшаванда астҲамон ношир, ҳамон баста, ҳамон пешакӣ насб кардан / насб кунед / пас аз насб кардан сегона ва ҳатто ҳамон як каденцияи версияи болоравӣ - ягона чизе, ки байни он тағйир ёфт axois-utils:1.0.6 ва axois-utils:1.0.9 файл буд, ки hooks иҷро. Ошкоркунии бар асоси имзо, ки ба сарбории фазаи А пайваст карда шудааст (сатрҳои роҳи ҳамён, phantom.jsколлектори 7,667-сатрӣ, мизбони Serveo C2) се версияи аввалро қайд мекард ва марҳилаи B-ро пурра аз даст медод.
Ҳамин гуна ҳолат дар дигар маъракаҳои соли 2026, ки мо пайгирӣ кардем, низ дида мешавад: як оператор бо пойгоҳи устувор, мубодилаи маълумот байни дуздии эътимодномаҳо, муштариёне, ки имтиҳонҳоро фиреб медиҳанд, хориҷкунии ботҳои Telegram ва ҳоло ҷалби DDoS. Ҳимоятгароне, ки ба имзоҳои пурбор такя мекунанд, дар даври дуюми ҳар як маърака мағлуб мешаванд.
Хулоса ин аст, ки TTP-ҳои вақти насб сигнали беҳтаре мебошандЭъломияҳои сегонаи install-hook, скриптҳои install, ки ворид мекунанд https or раванди_кӯдак, насб кардани скриптҳое, ки ба ҷузвдонҳои оғози корбар менависанд ва насб кардани скриптҳое, ки номҳои мизбонро дар хидматҳои ройгони нақби баръакс ҳал мекунанд (Serveo, localhost.run, ngrok, cloudflared) ҳама дар бастаҳои қонунӣ камёбанд ва дар бастаҳои зараровар маъмуланд.
Ҳимоятгарон бояд чӣ кор кунанд
- Аудити файли қулф. Ҷустуҷӯ дар ҳар package-lock.json / қулфи ришта / pnpm-lock.yaml дар ташкилоти шумо барои сатрҳои дақиқ axois-utils ва шаблони борикБа ҳар гуна мувофиқат ҳамчун як созиш муносибат кунед.
- Асрорҳоро гардонед дар мизбонҳои зарардида. Марҳилаи А, ки SSH, абр, GitHub, npm ва ҳамён эътимодномаҳои ҷамъовардашударо ба таври оммавӣ ҷамъоварӣ мекунад. Фарз кунед, ки ҳар як эътимодномае, ки ҳамеша дар он мавҷуд аст, мавҷуд аст. process.env, ~ / .ssh, ~/.aws, ~/.npmrc, ~/.config, ё ягон .env* Файл дар хости зарардида фош мешавад.
- Устувориро нест кунед (Марҳилаи B). Дар Windows, нест кунед HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SystemUpdate, хориҷ кунед %APPDATA%\Microsoft\Windows\StartMenu\Programs\Startup\system-update.batва schtasks /delete /tn SystemUpdate /fДар Linux, Метавонам ва хориҷ кунед гиреҳи @reboot…, systemctl –корбар ғайрифаъол аст –ҳоло phantom-bot.service пас тоза кунед ~/.config/systemd/user/phantom-bot.service, шӯстан .bashrc / .zshrc / /etc/rc.localДар macOS, launchctl unload ~/Library/LaunchAgents/com.phantom.bot.plist сипас plist-ро нест кунед.
- Хостҳои C2-ро масдуд кунед. Чаҳор нуқтаи ниҳоии C2-ро дар ҷадвали IOC ба рӯйхати блокҳои баромади худ илова кунед. *.serveousercontent.com ва *.lhr.life агар муҳити шумо истифодаи қонунии хидматрасонии нақби баръаксро надошта бошад, метавонад яклухт масдуд карда шавад.
- Шикор аз рӯи TTP-и вақти насб, на бори фоидаовар. Вурудоти файли қулфи инвентарӣ, ки бастаи.json эълон пешакӣ насб кардан, насб кунедва пас аз насб кардан ҳама ба як скрипт ишора мекунанд. Синну соли баста ва ҳолати тасдиқи ноширро муқоиса кунед. Ин намуна дар бастаҳои қонунӣ камёб аст ва ягона сигнали боэътимодтаринест, ки PhantomBot аз он дубора истифода мебарад.
- Аудит барои файли дуӣ C2. Ҳар касе, ки зеркашӣ кардааст axois-utils:1.0.9 сервери C2-и операторро дорад (c2 ELF, sha256 165fa92d…) дар диск. Кэшҳо ва анборҳои артефактҳои CI-ро скан кунед. Файли дуӣ худ аз худ хомӯш аст, аммо мавҷудияти он дар истгоҳи корӣ далели равшани насб кардани баста аст.
Хатти пӯшида
Ҳамон оператор, ҳамон баста ва ҳамон як қалмоқчаи насбкунӣ метавонад таҳдидҳои комилан гуногунро дар давоми 48 соат расонад. Ба сохтори система диққат диҳед, на ба сарборӣ.
