ХИБ; DR
Як ношири ягонаи npm ҳашт бастаи хурдро фиристод, ки номҳояшон ба монанди блокҳои сохтмонии ҳаррӯза барои таҳияи блокчейн ва ҳамён хонда мешаванд. base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpersва crypto-validate-libҲар яки онҳо дорои утилитаи корӣ мебошанд. Аммо, пас аз ин утилит блоки рамзи худкор даъватшаванда замима карда мешавад, ки ҳангоми ворид кардани модул кор мекунад.
Тақрибан 37 сония пас аз воридот, ин блок бореро, ки дар дохили баста ҳамчун дастгоҳи санҷишӣ фиристода мешавад, рамзкушоӣ мекунад, онро ба файли пинҳоншуда дар зери директорияи хонагии корбар менависад ва худро барои аз нав оғоз кардан дар ҳар як сабт мекунад. login дар тамоми Windows, macOS ва Linux кор мекунад ва скрипти рамзкушодашударо ҳамчун раванди ҷудогона ба кор медарорад. Дар ин ҷо ҳангоми насби npm ҳеҷ чиз кор намекунад; он интизори ворид кардани рамз ва иҷро шудан аст, ки ин нисбат ба насбкунӣ як лаҳзаи оромтар аст.
Бори муфид ношаффоф нест. Он ҳамчун base64-и оддӣ фиристода мешавад, аз ин рӯ рамзкушоии "фишурдаи санҷишӣ" марҳилаи дуюмро пурра барқарор мекунад: ҳамёни крипто ва дузди сирр ки интизори бекор истодани мошин аст, калидҳои махфӣ ва ибораҳои ибтидоиро ҷамъоварӣ мекунад, ҳар як ёфтаро бо калиди RSA-4096-и сахт рамзгузорӣшуда рамзгузорӣ мекунад ва онро бо пин кардани он ба анбори IPFS-и ҷамъиятӣ ва ҳар 12 соат бармегардонад.
Мо кластерро чунин пайгирӣ мекунем ФантомСинкҲар ҳашт баста дар вақти таҳлил дар феҳристи npm фаъол буданд ва таҳти як ҳисоб нашр шуда буданд.
| Экосистема | данд |
| бастаҳои | base58-utils, abi-encode, eth-dev, arb-kit, layer2-sdk, solana-key-utils, eth-wallet-helpers, crypto-validate-lib |
| Платформаҳои мақсаднок | Windows, macOS, Linux |
| Рафтори асосӣ | Дорандаи таъхирёфтаи вақти воридот ҳамчун дастгоҳи санҷишӣ пинҳон карда шудааст; устувории байниплатформавиро насб мекунад |
| Пардохт | Ҳамёни криптовалюта ва дузди сирр, рамзгузории RSA-4096, эксфилтратсия тавассути пиннинги оммавии IPFS |
Анатомияи ҳамла
Ҳар як баста дар хониши аввал беназир ба назар мерасад. base58-utilsмасалан, якчанд килобайт рамзи ёрирасони Base58 / Bitcoin-WIF-и вобастагии сифрӣ аст — маҳз ҳамон чизест, ки ном ваъда медиҳад. Рамзи дахлдор ҷойгир аст баъд аз модули модул.содирот, ки дар он хонандае, ки болои файлро аз назар мегузаронад, эҳтимол надорад, ки онро бубинад: функсияи худкор фаъолшаванда, ки худро бо таймер ба нақша мегирад.
Занҷираи амалиётҳо, ки аз манбаи бастаҳо барқарор карда шудаанд, чунин кор мекунад:
1. Package is required() by the host project
2. A self-invoking function schedules a callback ~37,000 ms later (setTimeout)
3. On fire, the callback reads test/fixtures/keypairs.dat (a base64 blob)
4. It base64-decodes that blob into a Node.js script
5. It writes the script to ~/.cache-db/.node-sync/syncd.js (mode 0o700)
6. It installs login-persistence for that script (see below)
7. It spawns "node syncd.js" as a detached processДу интихоби тарроҳӣ ба таври аҷиб фарқ мекунанд.
Қувваи барқ ҳамчун воситаи озмоишӣ ҳаракат мекунад. Марҳилаи дуюм ҳамчун рамзи возеҳ навишта нашудааст. Он дар он зиндагӣ мекунад. озмоиш/таҷҳизот/тугмачаҳои калидӣ.dat, файли base64, ки номаш ба бастае омехта мешавад, ки иддао дорад ҷуфтҳои калидиро идора мекунад. Барои инсоне, ки tarball-ро аз назар мегузаронад, он ба маълумоти намуна монанд аст; барои рамзи замимашуда, он скрипте аст, ки барои рамзкушоӣ ва иҷро кардан лозим аст. Худи дроппер суроғаи шабакавӣ надорад - онҳо дар марҳилаи дуюм зиндагӣ мекунанд - аммо ягон нофаҳмии иловагӣ вуҷуд надорад: фиксатсия як қабати base64 аст, аз ин рӯ рамзкушоӣ кардани он (base64 -d) пурра барқарор мекунад syncd.js ва рафтори шабакавии он. Дар бахши оянда он чизе, ки марҳилаи барқароршуда анҷом медиҳад, дида мешавад.
Таркиш ба таъхир афтодааст ва ба воридот, на ба насб алоқаманд аст. Азбаски триггер аст талаб мекунад() илова бар ин, таймери ~37-сония ба ҷои қалмоқи насбкунӣ, рафтор санҷишҳоро канор мегузорад, ки танҳо онро тамошо мекунанд насб қадам ва таъхир аз бисёр корҳое, ки дар қуттии рег ва CI кӯтоҳмуддат анҷом меёбанд, зиёдтар давом мекунад. Вақте ки ягон чиз иҷро мешавад, насбе, ки бастаро кашидааст, аллакай ба анҷом расидааст.
Пас аз он ки скрипти рамзкушодашуда дар диск ҷойгир аст ~/.cache-db/.node-sync/syncd.js — масире, ки барои хондан мисли феҳристи муқаррарии кэш интихоб шудааст — дроппер онро ҳангоми аз нав оғоз кардан дар ҳар се платформаи асосӣ зинда мегузорад:
- Linux: вуруди cron, ки скриптро аз нав оғоз мекунад. Вуруд тавассути филтр кардани crontab-и мавҷуда тавассути насб карда мешавад. grep -v ҳамоҳанг карда шудааст, ки таъсири манфии хориҷ кардани вуруди нав аз рӯйхати оддӣ, ки барои ҳамон ном greps мекунад, дорад.
- Windows: вазифаи ба нақша гирифташуда бо номи WinNodeSync, барои аз нав иҷро кардан дар фосилаи 12 дақиқа танзим карда шудааст.
- macOS: вазифаи launchd бо нишонгузорӣ com.apple.syncd, дар якчанд бастаҳо мавҷуд аст — тамғае, ки хидмати қонунии системаи Apple-ро тақлид мекунад.
Сипас, скрипт фавран ҳамчун раванди ҷудогона оғоз мешавад, аз ин рӯ, он пас аз баромадани барномаи воридотӣ ба кор идома медиҳад.
Марҳилаи дуюм чӣ кор мекунад
Азбаски асбоб як қабати ягонаи base64 аст, марҳилаи дуюм ба таври тоза рамзкушоӣ мекунад ва онро пурра хондан мумкин аст. Ҳамаи ҳашт баста яке аз се варианти ҳамон скриптро дар бар мегиранд, ки худро дар шарҳи сарлавҳа ҳамчун муайян мекунад. phantom syncd v3 - topo durmiente ("хоби хол"). Вазифаи он дуздидани маводҳои ҳамёни криптовалюта ва асрори таҳиягарон ва фиристодани онҳо аз дастгоҳ аст. Он бо ин қадамҳо кор мекунад:
- 1. То он даме, ки дастгоҳ бекор бошад, интизор шавед. Пеш аз он ки коре кунед, syncd.js тафтиш мекунад, ки корбар чӣ қадар вақт ғайрифаъол буд ва танҳо аз ҳадди муайян (тақрибан 15 дақиқа) гузаштааст — xprintide дар Linux, иорег HIDIdleTime дар macOS ва дархости вақти бекории PowerShell дар Windows. Аз ин рӯ, ҷамъоварӣ одатан вақте рух медиҳад, ки касе дар назди клавиатура нест.
- 2. Калиди фаъолсозии аз фосила идорашавандаро гиредСкрипт пеш аз амал кардан конфигуратсияи хурдро аз нуқтаи хомӯшӣ мегирад. Манбаи асосӣ URL-и хоми GitHub gist аст (gist.githubusercontent.com/juang55/…/cfg.txt); скрипт танҳо дар сурате фаъол мешавад, ки ин конфигуратсия хонда шавад фаъол=1Агар gist дастрас набошад, он ба се идентификаторҳои мундариҷаи IPFS, ки тавассути дарвозаҳои умумӣ гирифта мешаванд, бармегардад. gateway.pinata.cloud, ipfs.ioва cloudflare-ipfs.comИн ба оператор имкони идоракунии пас аз амалиёти дастӣ/беяроқкунӣ ва бозгашти тобовар ба партофтанро медиҳад. (Хурдтарин вариант, ки дар ... фиристода шудааст.) крипто-валидат-китоб, ёварони ҳамёни ethва утилитҳои калиди солана, қабати gist-ро хориҷ кардааст ва танҳо ба идентификаторҳои IPFS такя мекунад.)
- 3. Мавод ва асрори ҳамёнро ҷамъ кунед. Скрипт директорияи хонагии корбарро идора мекунад — ~/.config/solana, ~/.ethereum/калидстор, ~/.рехтагарӣ, ~/.хардхат, ~ / .sshва Мизи/Ҳуҷҷатҳои/Боргириҳо (аз ҷумла номҳои папкаҳо бо забони испанӣ), илова бар ин ~/.env ва файлҳои shell rc ва муодили онҳо AppData маконҳо дар Windows. Он калидҳои махфии Ethereum, калидҳои WIF Bitcoin, ибораҳои тухмии BIP-39, ҷуфтҳои калидии Solana, JSON нигоҳдории калидҳои Ethereum, калидҳои SSH ва тағирёбандаҳои муҳити махфиро ҳадаф қарор медиҳад. Варианти калонтар (дар abi-encode, base58-utils, eth-dev) луғати пурраи BIP-39-ро бо 2048 калима дар бар мегирад ва аз ибораҳои муқаррарӣ истифода мебарад усораи калидҳои инфиродӣ ва ибораҳои тухмии тасдиқшуда аз ҳама гуна матне, ки он мехонад; ду варианти хурдтар ба ҷои ин файлҳоро бо калимаи калидӣ мувофиқ мекунанд (тухм, мнемикӣ, ҳамён, metamask, phantom, идоракунанда, Дунёи иқтисод, …) ва тамоми файлҳоро бор кунед.
- 4. Тавассути хидмати пиннинги оммавӣ рамзгузорӣ ва филтратсия кунед. Ҳар як ёфта бо изи ангушти соҳиб пайваст карда шудааст (номи корбарӣ @ мизбон, платформа, мӯҳри вақт) ва бо калиди оммавии RSA-4096, ки дар скрипт ҷойгир карда шудааст, рамзгузорӣ шудааст. Сипас сабти рамзгузорӣшуда тавассути пин кардан ба IPFS бор карда мешавад. api.pinata.cloud/pinning/pinJSONToIPFS, бо эътимодномаҳои Pinata API-и рамзгузоришуда тасдиқ карда шудааст. Сервери фармоишии C2 барои мусодира вуҷуд надорад: маълумоти дуздидашуда дар нигаҳдории ғайримарказии умумӣ ҷойгир карда мешавад, ки оператор онро бо истифода аз хэшҳои мундариҷаи ҳосилшуда барқарор карда метавонад. Боргузориҳо бо чанд сонияи ларзиши тасодуфӣ ва сабти маҳаллии он фосила мегиранд. мӯҳри вақт | навъи калид | ҳэши баргардонидашуда нигоҳ дошта мешавад ~/.cache-db/.node-sync/.sl.
- 5. Дар як давраи 12-соата истодагарӣ кунед ва ба он такя кунед. Марҳилаи дуюм устувории худро аз нав барқарор мекунад - вуруди cron дар Linux, com.apple.syncd вазифаи launchd дар macOS ва вазифаи ба нақша гирифташуда бо номи WindowsNodeSync дар Windows — барои ҳар 12 соат аз нав иҷро кардан танзим карда шудааст. Дар хотир доред, ки ин як аст гуногун Номи вазифаи Windows аз оне, ки дроппер насб мекунад (WinNodeSync); ҳарду сазовори ҷустуҷӯ ҳастанд.
Давомнокӣ
Ҳашт баста бо тиражҳои кӯтоҳ дар 2026-07-13 ва 2026-07-14 нашр шуданд. Якчандтои онҳо зиёда аз як версия доранд; дроппер дар тамоми версияҳо якхела аст ва танҳо фосилаҳои сатр бо тағирёбии андозаи рамзи хидматрасонии бефоида дар болои он тағйир меёбанд.
Дар тӯли тамоми ин ҳодиса, обрӯи феҳристи ношир аз тақрибан бетараф дар аввали кластер ба ба таври манфӣ гузашт, зеро ошкоркуниҳо ҷамъ шуданд - таъсири манфии мушоҳидашавандаи қайд кардани бастаҳо, на хусусияти тарҳрезишуда.
Нишондиҳандаҳои созиш
Ҳамаи нишондиҳандаҳои дар поён овардашуда дар вақти таҳлил мавҷуд буданд - онҳое, ки дар ҷадвалҳои "Марҳилаи дуюм" бо роҳи рамзкушоӣ тасдиқ карда шуданд озмоиш/таҷҳизот/тугмачаҳои калидӣ.dat ва хондани барқароршуда syncd.js.
Файлҳо ва роҳҳо
Инфрасохтори шабакавии марҳилаи дуюм (аз syncd.js барқарор карда шудааст)
Ҳадафҳои ҷамъоварии марҳилаи дуюм (аз syncd.js барқарор карда шудаанд)
Артефактҳои устуворӣ
Рафтор
- Функсияи худҷалбкунанда пас аз он илова карда мешавад модул.содирот, банақшагирии а вақти муқарраршуда аз ~37,000 мс ҳангоми воридот.
- раванди_кӯдак spawn(“гиреҳ”, ) бо маҷмӯи имконоти ҷудошуда.
- Фаъолсозии ғайрифаъол дар марҳилаи дуюм (xprintide / иорег Вақти бекористии HIDIdleTime / PowerShell; остонаи ~15 дақиқа).
- Рамзгузории RSA-4096 барои ҳар як ёфтан, сипас HTTPS POST ба API-и пинкунии IPFS-и оммавӣ.
Бастаҳо ва версияҳо (npm, ношир solbuilder_io)
ношир
- solbuilder_io - angel_lopez89[@]proton[.]me, почтаи электронии тасдиқнашуда, ҳисоби тасдиқшудаи манбаъ-назорат, анбори пайвандшуда вуҷуд надорад.
Атрибутсия ва рафтори мушоҳидашуда
Ҳашт баста як ҳисоби ношир ва як борро муштарак истифода мебаранд. Ҳар яки онҳо як бастаи оддӣ мебошанд — чанд килобайт рамзи воқеии коммуналӣ бо ҳамон дроппер замима карда шудааст — бе анбори пайвандшуда ва дар зери почтаи электронии якдафъаинаи тасдиқнашуда нашр шудааст. Ин якрангӣ, роҳи муштараки партофтан, тамғакоғазҳои муштараки устуворӣ ва муштарак. тугмачаҳои калидӣ.dat Файли staging он чизест, ки кластерро бо ҳам мепайвандад.
Бастаҳо дар бораи рафтори худ ғайриоддӣ самимӣ ҳастанд. утилитҳои калиди солана шарҳҳои дар сатр бударо дар бар мегирад, ки блоки замимашударо бо ибораҳои оддӣ тавсиф мекунанд - яке онро нишон медиҳад ФАНТОМ: устувории ноаён, дигаре (ба забони испанӣ) менависад Topo-ро дар замина хориҷ кунед, “кӯлро дар замина иҷро кунед.” Инҳо шарҳҳои худи рамз дар бораи он чизе, ки он мекунад, мебошанд; номи маърака дар ин паём аз он тамғаи аввал якҷоя бо гиреҳи қалбакии “ҳамоҳангсозии демонӣ” гирифта шудааст (ҳамоҳангшуда) ки механизми истодагарӣ тақлид мекунад.
Мо танҳо он чизеро, ки рамз ба таври мушоҳидашаванда анҷом медиҳад, тавсиф мекунем. Номгузории бастаҳо - ҳама истилоҳоти крипто, ҳамён ва абзорсозии blockchain - нишон медиҳад, ки аудиторияи таҳиягар эҳтимолан онҳоро бо ном ҷалб мекунад; он худ аз худ муайян намекунад, ки ношир кист. Марҳилаи дуюм бо рамзкушоии фишурдаи base64 пурра барқарор карда шуд ва рафтори он дар боло тавсиф шудааст: он калидҳои ҳамён, ибораҳои тухмӣ ва сиррҳоро ҷамъоварӣ мекунад ва онҳоро бо рамзгузории RSA ба анбори IPFS-и оммавӣ тавассути Pinata интиқол медиҳад. Интихоби назарраси тарроҳӣ набудани сервери хусусии C2 аст - конфигуратсия аз gist GitHub ва IPFS меояд ва маълумоти дуздидашуда дар анбори ғайримарказии оммавӣ бо калидҳои хэш бо мундариҷа ҷойгир карда мешавад, ки ҳардуи онҳо нисбат ба як хостгоҳи яктарафаи аз ҷониби ҳамлагар идорашаванда душвортаранд. Дар вақти навиштан ҳеҷ гуна гузориши қаблии оммавӣ, ки бо ин кластер мувофиқат мекард, пайдо нашуд.
Таъсир, тамоюлҳо ва роҳнамоӣ барои ҳимоятгарон
Кӣ фош мешавад. Ҳар касе, ки яке аз ин бастаҳоро ба лоиҳаи Node илова карда, сипас рамзеро иҷро кардааст, ки онро ворид мекунад. Азбаски таркиш вақти воридот аст, на вақти насб, танҳо мавҷуд будани баста кофӣ нест - аммо ҳама гуна истифодаи муқаррарӣ, ки модулро бор мекунад, ба бори фоиданок мерасад. Номҳои васваса таҳиягарони мақсаднокро, ки бар асоси Ethereum, Solana, Arbitrum, Layer-2 ва абзорҳои ҳамён/рамзгузории умумӣ сохта шудаанд, таҳия мекунанд - эҳтимол дорад, ки аҳолӣ маҳз дороиҳоеро дошта бошанд, ки марҳилаи дуюм онҳоро меҷӯяд. Ҳар касе, ки яке аз ин модулҳоро дар мошине иҷро кардааст, ки калидҳои ҳамён, ибораҳои тухмӣ, анборҳои калидҳо, калидҳои SSH ё ... дорад. .env сиррҳо бояд ин эътимодномаҳоро ҳамчун махфиятҳои ошкоршуда баррасӣ кунанд ва онҳоро иваз кунанд.
Ду намунае, ки сазовори омӯхтани дохилӣ ҳастанд. Якум, борбардорӣ ҳамчун фишанг: интиқоли марҳилаи дуюм ҳамчун base64 дар дохили файли додаҳои эҳтимолан номгузорӣшуда (озмоиш/таҷҳизот/тугмачаҳои калидӣ.dat) манбаи намоёни бастаро тоза нигоҳ медорад ва мундариҷаи зарароварро ба файле мефиристад, ки абзорҳоро баррасӣ мекунад ва маълумоти аз ҷониби инсон коркардшуда аксар вақт ҳамчун маълумоти ғайрифаъол қабул карда мешаванд. Дуюм, иҷрои таъхирёфта дар вақти воридот бо истодагарии байниплатформавӣИнтиқоли триггер аз қалмоқи насбкунӣ, илова кардани таймер ва сипас идома додани он дар байни cron, вазифаҳои ба нақша гирифташуда ва launchd як қадами қасдан дур аз усулҳои пурғавғои насби скрипт аст, ки сканкунии автоматии сабти ном онҳоро бодиққат назорат мекунад.
Дастурҳо барои ҳимоятгарон ва нигоҳдорандагон:
- Коди замимашударо баъд аз он коркард кунед модул.содирот ҳамчун афзалияти баррасӣ - мантиқи dropper аксар вақт дар зери сатҳи "воқеӣ"-и модул пинҳон мешавад.
- Фикр накунед, ки файлҳои додаҳо ғайрифаъол ҳастанд. Як blob base64 дар зери озмоиш/таҷҳизот/ ки дар вақти иҷро хонда мешавад ва рамзкушоӣ карда мешавад, иҷрошаванда-ҳамшафат аст; файлҳои фишурдаро, ки ба он ғизо медиҳанд, мехонад, дар вақти иҷро функсия/арзёбӣ/навиштани-пас-spawn занҷир
- Роҳи афтиданро ҷустуҷӯ кунед ~/.cache-db/.node-sync/ ва барои воҳидҳои устуворӣ WinNodeSync (вазифаи ба нақша гирифташуда) ва com.apple.syncd (launchd) дар мошинҳои таҳиякунандае, ки ин номҳоро гирифтаанд.
- Огоҳӣ дар бораи равандҳои Node, ки вурудҳои cron, вазифаҳои ба нақша гирифташуда ё вазифаҳои launchd-ро эҷод мекунанд - китобхонаҳои қонунӣ ин корро кам ҳангоми воридот анҷом медиҳанд.
- Файлҳои қулфшуда ва версияҳои пиншударо афзалтар донед ва фарқияти ҳама гуна вобастагии хурди нави "утилитатсионӣ"-ро, махсусан, аз назар гузаронед. бастаҳои вобастагии сифрӣ нашр шуданд аз ҷониби ҳисобҳои тасдиқнашуда бидуни анбори пайвандшуда.
Барои муҳофизони феҳрист, хулоса дар он аст, ки мониторинги насбкунӣ зарур аст, аммо кофӣ нест: дроппери вақти воридотӣ ва таъхири вақт дар дохили файли додаҳо аз санҷиши танҳо вақти насбкунӣ мегузарад ва қадами устуворӣ аксар вақт баландтарин сигнали мушоҳидашаванда аст, ки барои дастгир кардан боқӣ мемонад.
