ХИБ; DR
Бастаи PyPI бо номи назорати gcli як абзори пурраи дастрасии дурдасти Windows-ро фиристодааст: сабти тугмаҳои клавиатура, сабти веб-камера ва микрофон, назорати буфер, дастрасии эътимоднома ба браузер, идоракунии экран, истодагарӣ, баланд бардоштани имтиёзҳо ва "140+ фармонҳо"-и худтаърифшуда. Он пинҳон накард, ки ин чӣ аст: хулосаи PyPI-и худи баста онро ҳамчун "Абзори дастрасии дурдаст тавассути" тавсиф кардааст. npoint.io".
Ҷузъиёти қобили таваққуф дар ин ибора аст "тавассути npoint.io." Ба ҷои он ки ба сервери махсус занг занед, имплант истифода шуд npoint[.]io (хидмати ройгон ва қонунӣ барои ҷойгиркунии ҳуҷҷатҳои хурди JSON) ҳамчун релеи фармон ва идоракунӣ. Оператор фармонҳоро ба қуттии JSON менависад; имплантатсия натиҷаҳоро пурсиш мекунад, иҷро мекунад ва бармегардонад. Ягон домени марбут ба ҳамлагар барои масдуд кардан нест, IP-и нав барои қайд кардан нест: трафик ба хидмате меравад, ки таҳиягарон ҳар рӯз истифода мебаранд.
Шаш версия тақрибан дар давоми сездаҳ соату ним нашр шуданд, ки ҳар кадоме аз версияҳои қаблӣ пурқувваттар буданд. Ба ҳар яки онҳо баҳогузорӣ карда шуд. ml_пешгӯӣ_бехатар аз ҷониби таснифгари автоматӣ пеш аз баррасии дастӣ оиларо ҳамчун зараровар аз нав тасниф кард.
Анатомияи ҳамла
назорати gcli бастаи воридотро насб мекунад gcli, пойгоҳи рамзи Python-и 35-модулӣ. Вақти насбкунӣ вуҷуд надорад. hooks — дар давоми он ҳеҷ чиз кор намекунад pip насб кунедИн қобилият дар худи модулҳо мавҷуд аст, ки пас аз ба кор андохтани асбоб фаъол мешавад ва тарҳбандии модул мисли варақаи мушаххасоти маҳсулот хонда мешавад:
Канали фармон қисми ҷолиб аст. Аксари абзорҳои дастрасии дурдаст ба сервере, ки оператор онро идора мекунад, мерасанд - IP, домен, провайдери хостинг, ки метавонад гузориш дода шавад ва офлайн гирифта шавад. назорати gcli ба ҷои ин, а-ро табобат мекунад хидмати ройгони JSON-bin ҳамчун як нуқтаи беохир. Дар нуқта модул ҳуҷҷатҳои хурди JSON-ро мехонад ва менависад npoint[.]io тавассути HTTPS-и муқаррарӣ; crypto/шифргузори Модулҳо борҳои мубодилашударо печонда мегиранд, то мундариҷаи бин фармонҳои матни оддӣ набошанд. Таъсир релеи миёнаравӣ ва рамзгузоришуда аст:
- Оператор дастури (рамзгузорӣшуда)-ро ба қуттии JSON мепартояд.
- Имплант, ки дар хости ҷабрдида кор мекунад, маълумоти бинро пурсиш мекунад, рамзкушоӣ мекунад, яке аз коркардкунандагони фармонро иҷро мекунад ва натиҷаи (рамзгузорӣшударо) бармегардонад.
- Барои монитори шабака, ҷабрдида танҳо бо ӯ сӯҳбат мекунад npoint[.]io — хидмате, ки сабаби қонунии пайдо шудан дар трафики таҳиягар дорад.
Дар ин ҷо зеркашии марҳилаи дуюм ва боркунаки норавшан вуҷуд надорад: қобилият пурра, дар Python-и хондашаванда фиристода мешавад ва ягона "пинҳон" интихоби реле ва рамзгузории борҳои релешуда мебошад.
Чаро drop-и JSON-bin аз ҷиҳати амалиётӣ ҷолиб аст, шарҳ додан арзанда аст, зеро он мефаҳмонад, ки чаро мо интизорем, ки ин намунаро дубора бубинем:
- Нуқтаи ниҳоии оператор вуҷуд надорад. Барои сабти ном домени C2, барои иҷора гирифтани VPS ва барои ҳимоятгар ё бақайдгиранда чизе нест, ки мусодира кунад. Маҷмӯъ ба канал даст намерасонад; аз байн бурдани он канал маънои онро дорад, ки аз SaaS-и умумӣ хоҳиш кардан лозим аст, ки як ҳуҷҷатро аз байни миллионҳо назорат кунад.
- Шустушӯи обрӯ. HTTPS-и содиротӣ ба хидмати маъруфи таҳиягар ҳеҷ яке аз ҷазоҳои обрӯиро барои домени нав ё IP-и хом дар бар намегирад. Бисёре аз танзимоти филтркунии баромад ба таври ноаён ба он имкон медиҳанд.
- Асинхронӣ ва раднопазирӣ. Модели пурсиш — имплант ҳуҷҷатро дар фосилаи муайян мегирад, на дар як сокети кушода — трафикеро ба вуҷуд меорад, ки ба пурсиши даврии API монанд аст, на ба як сеанси интерактивӣ. Рамзгузории мундариҷаи ҳуҷҷат маънои онро дорад, ки ҳатто таҳлилгаре, ки қуттии сабадро меёбад, матни рамзгузориро мебинад, на рӯйхати фармонҳо.
- Гардиши тривиалӣГузариш ба қуттии партовҳои дигар ё хидмати пурраи қайдҳо/часбондан, тағир додани конфигуратсияи яксатра барои оператор аст. Ҳар гуна рӯйхати блокшуда, ки ба релеи мушаххас пайваст аст, аз лаҳзаи интиқол кӯҳна мешавад.
Мубодилае, ки оператор қабул мекунад, ин гузарандагӣ ва таъхир аст: релеи бепарто нисбат ба пайвасти мустақим сусттар ва паҳнои банд пасттар аст. Барои импланти назорат ва идоракунӣ, ки асосан фармонҳои кӯтоҳ медиҳад ва натиҷаҳоро бо мурури замон ҷамъ мекунад, ин мубодила осон аст.
Давомнокӣ
Оила зуд авҷ гирифт. Мӯҳрҳои вақти эҷоди чипта барои версияҳои қайдшуда тамоми камони мушоҳидашударо тақрибан дар давоми сездаҳ соат ва ним ҷойгир мекунанд ва шумораи далелҳои худи сканер дар баробари рамз афзоиш ёфт - аз якчанд сайтҳои қайдшуда дар версияи аввал то чордаҳ дар версияи охирин.
Рақамҳои версияҳо бо тартиби қатъӣ нашр нашудаанд, аммо самт равшан аст: аввал як буриши хурд, сипас такрори босуръат ба сӯи версияи пурраи 0.7.1. Ин шакли лоиҳаест, ки дар ҳоли таҳияи фаъол қарор дорад ва бо афзоиши он ба феҳристи давлатӣ интиқол дода мешавад, на якбора.
Нишондиҳандаҳои созиш
Ҳамаи нишондиҳандаҳои дар поён овардашуда дар муқоиса бо мундариҷаи бастаи дар диск ва сканкунии нишондиҳандаи детерминистии версияи 0.7.1 тасдиқ карда шуданд; ҳеҷ яке аз онҳо тахминӣ нестанд.
Эзоҳи ҳимоятгар: Сигнали пойдортарини қавитарин на домен аст (хости реле ба таври ночиз чарх мезанад), балки шакл: бастаи ягонае, ки се ё зиёда примитивҳои гуногуни назорати мизбонро муттаҳид мекунад ва ҳалқаи фармон/ҷавобро тавассути хидмати хостинги мундариҷаи оммавӣ равона мекунад. npoint[.]io outright барои аксари мағозаҳо ғайриимкон аст; огоҳӣ дар бораи раванди ғайричашмдошт, ки ҳам дастгоҳҳои вурудро сабт мекунад ва ҳам бо хидмати JSON-bin сӯҳбат мекунад, хеле мустаҳкамтар аст.
Рафтор ва чаҳорчӯбаи мушоҳидашуда
Ду чиз ин намунаро ғайриоддӣ мегардонад ва ҳарду далелҳои мушоҳидашаванда мебошанд, на хулосаҳо дар бораи ангезаҳо.
Худро таблиғ кард. Хулосаи бастаҳо, ки дар PyPI паҳн шудааст, имкониятҳоро бо забони оддӣ номбар кардааст - дастрасии дурдаст, идоракунии мизи корӣ, идоракунии корбар, веб-камера, аудио, keylogger, истодагарӣ, маълумоти браузер, WiFi, феҳрист, "140+ фармонҳо". Ҳеҷ кӯшише барои интиқоли рамз ҳамчун ёвари сохтмон, печонидани CLI ё утилитаи агенти AI, ки маъмултарин ниқобест, ки мо дар феҳристҳои оммавӣ мебинем, сурат нагирифт. Оё ин ошкороӣ воситаи дастаи сурхро, ки бидуни назорати дастрасӣ нашр шудааст, инъикос мекунад ё чизи дигаре, ин саволест, ки мундариҷаи баста танҳо ҳал намекунад; он чизе ки аниқ аст, ин аст, ки як маҷмӯаи асбобҳои дастрасии дурдаст ва назоратии корӣ аз ҷониби ҳар касе, ки бо... насб карда мешуд. Фишка.
Он ба эътимод ба хидмати хайрхоҳона такя мекард. Бо истифода аз npoint[.]io зеро реле усули муайянкунанда аст. Ин як мисоли як намунаи васеътар аст - роҳнамоии C2 тавассути SaaS-и қонунӣ (сайтҳои часбондан, JSON бинҳо, веб-чат)hooks, ҳуҷҷатҳои абрӣ), то ки трафики зараровар ба фаъолияти муқаррарии таҳиягар омехта шавад ва нуқтаи ниҳоии оператор барои забт кардан вуҷуд надошта бошад. Борҳои муфид дар реле рамзгузорӣ шуда буданд, аз ин рӯ мундариҷаи бин барои нозири тасодуфӣ ҳамчун фармон хонда намешавад.
Сигналҳои ношир лоғар ва умумӣ мебошанд. Баста эълон шуд муаллиф аз "ҳиссагузорони gcli" ва иҷозатномаи MIT ва майдонҳои саҳифаи асосӣ ва анбори онро нишон дод github [.]com/gcli-control/gcliҲеҷ яке аз инҳо тасдиқ нест: сатри муаллиф матни ройгон аст, сарлавҳаи иҷозатномаи MIT бепул аст ва URL-и анбор дар метамаълумоти баста як даъво аст, на далели пайдоиш. Намуна - номи нав, муаллифи умумии коллективӣ ва як созмони худмаблағгузорӣ, ки дар атрофи баста сохта шудааст - он чизест, ки лоиҳа вақте ба назар мерасад, ки он махсус барои интиқоли рамз сохта шудааст, на асбоби муқарраршуда, ки тасодуфан хусусияти идоракунии дурдастро парвариш кардааст. Мо инҳоро ҳамчун мушоҳидаҳо қайд мекунем; онҳо бо тақсимоти мақсаднок мувофиқанд, аммо худ аз худ онро муқаррар намекунанд.
Мо ин ихтироъро аз рӯи қобилият ва интиқол ҳамчун зараровар тавсиф мекунем: як импланти пурра ва қобили иҷро ва дастрасии дурдаст ва назоратӣ, ки дар индекси бастаҳои оммавӣ бо релеи пинҳонӣ паҳн карда мешавад. Мо ҳадаф ё ангезаеро нисбат намедиҳем.
Таъсир, тамоюлҳо ва он чизе, ки ҳимоятгарон метавонанд анҷом диҳанд
Нуқтаи нобино барои триажи ба ниқоб нигаронидашуда. Калидҳои хеле автоматии ҷудокунии бастаҳо дар пӯшида нест сигналхои нармафзори маъмулии зараровари реестр барои барномаҳои маъмулии сабти ном — доғҳои норавшан, вақти насб hooks, яксатри ҷамъоварии эътимодномаҳо. Бастае, ки танҳо ошкоро як RAT, бо рамзи хондашавандаи тоза ва бидуни қалмоқи насб, ҳеҷ яке аз ин гуфтаҳоро пешниҳод намекунад ва метавонад аз эвристикае, ки пинҳонкориро интизоранд, гузарад. Сигналҳое, ки ин синфро боэътимод мегиранд, сохторӣ мебошанд, на ба пинҳонкорӣ: барӯйхатгирии қобилиятҳо (чанд примитивҳои гуногуни назорати мизбон дар як баста якҷоя мавҷуданд) ва таҳлили шакли C2 (ҳалқаи фармон/ҷавоб, ки тавассути хидмати хостинги мундариҷаи мақсадноки умумӣ равона карда мешавад). Ин санҷишҳо новобаста аз он ки то чӣ андоза ростқавл ё норавшан бастабандӣ аст.
Тамоюли SaaS-as-C2. Сӯиистифода аз хидмати қонунии хостинг ҳамчун як роҳи беохир чизи нав нест, аммо он кор мекунад, зеро арзиши дифоъии бастани хидмат баланд аст ва арзиши ҳамлаи иваз кардани хидматҳо қариб ба сифр баробар аст. Аз ин бештар интизор шавед. Дифоъҳои шабакавӣ, ки ба доменҳои бади мушаххас асос ёфтаанд, фавран кӯҳна мешаванд; қоидаҳои рафторӣ ("ин раванд буфер ва веб-камера мехонад ва сипас бо API-и хостинги нотаҳо сӯҳбат мекунад") чунин нестанд.
Эскизи ошкоркунии бетон. Қоидаи пойдор ном намебарад npoint[.]io умуман. Он ду мушоҳидаеро муттаҳид мекунад, ки алоҳида маъмуланд, аммо дар як таҳиягари муқаррарӣ ё мизбони CI якҷоя камёбанд:
огоҳӣ ҳангоми як раванд, дар давоми як сессия, ҳарду:
(A) ба дастгоҳи ибтидоии назорати мизбон дастрасӣ пайдо мекунад — дастгоҳи вуруд (қалмоқчаи клавиатура/муш), камера, микрофон, сабти экран, даври хондани буфер ё мағозаи эътимодномаи браузер ("Login "Маълумот" / "Ҳолати маҳаллӣ" / DPAPI); ВА
(B) дархостҳои содиротиро ба хидмати оммавии мундариҷа-мизбонӣ / часбондан / JSON-bin / чат-вебҳук мефиристад ва сипас новобаста аз хидмати мушаххас дар (B), барои баррасӣ бармегардонад.
Ҳеҷ яке аз онҳо танҳо шубҳанок нестанд: аксҳои зиёди абзорҳои қонунӣ ва бисёр чизҳои дигар JSON-ро ба API-и хостинг нашр мекунанд. Конъюнксияи дохили як раванди кӯтоҳмуддат сигнал аст ва он аз ҳар гуна гардиши реле зинда мемонад.
Қадамҳои амалӣ барои гурӯҳҳо:
- Насбҳои бастаҳои оммавиро дар хостҳои таҳиягар ва CI ҳамчун сарҳади иҷро баррасӣ кунед, на ҳамчун қулайӣ - RAT дар агенти созанда RAT бо асрори шумост.
- Оинаҳои дохилии иҷозатдодашударо афзалтар донед; бастае, ки ба маънои аслӣ барои идоракунии дурдаст номгузорӣ шудааст ва клавиатураро тавсиф мекунад, ҳеҷ гоҳ набояд дар индекси корпоративӣ ҳал шавад.
- Огоҳӣ дар бораи комбинатсияи — сабти дастгоҳи вуруд ё экран ва трафики содиротӣ ба хидмати мундариҷа/часбондан/JSON-bin — на дар ягон ибтидоии ягона, ки дар алоҳидагӣ истифодаи безарар дорад.
- Барои бастаҳое, ки қобилияти васеи дастрасии хост доранд, ба холҳои автоматии "бехатар" ҳамчун ҳукми ниҳоӣ такя накунед; онҳоро барои баррасии инсонӣ равона кунед.
Оилаи бастаҳо зараровар тасниф карда шуда, барои нест кардани регистр фиристода шудааст. Азбаски C2-и асоси реле ягон мизбони операторро дар сӯрох намегузорад, арзиши мудофиавии пойдор дар изи ангушти рафтории дар боло зикршуда аст, на дар ягон вуруди ягонаи рӯйхати блокҳо.
