TL؛ ڈاکٹر
ایک PyPI پیکیج کا نام ہے۔ gcli-کنٹرول ایک مکمل ونڈوز ریموٹ ایکسیس ٹول بھیج دیا گیا: کی اسٹروک لاگنگ، ویب کیم اور مائیکروفون کیپچر، کلپ بورڈ مانیٹرنگ، براؤزر کی اسناد تک رسائی، اسکرین کنٹرول، استقامت، استحقاق کی بلندی، اور خود مشتہر کردہ "140+ کمانڈز۔" اس نے یہ نہیں چھپایا کہ یہ کیا تھا: پیکج کی اپنی PyPI سمری نے اسے "ریموٹ ایکسیس ٹول کے ذریعے npoint.io".
جس تفصیل پر توقف کرنا ضروری ہے وہ جملہ ہے۔ "npoint.io کے ذریعے۔" ایک سرشار سرور کو گھر کال کرنے کے بجائے، امپلانٹ استعمال کیا جاتا ہے۔ npoint[.]io (چھوٹی JSON دستاویزات کی میزبانی کے لیے ایک مفت، جائز سروس) بطور کمانڈ اینڈ کنٹرول ریلے۔ آپریٹر JSON بن میں کمانڈ لکھتا ہے۔ امپلانٹ پولز جو بن کر، عمل میں لاتا ہے، اور نتائج واپس لکھتا ہے۔ بلاک کرنے کے لیے کوئی حملہ آور کی ملکیت والا ڈومین نہیں، جھنڈا لگانے کے لیے کوئی تازہ IP نہیں: ٹریفک ڈیولپرز ہر روز استعمال کرنے والی سروس تک جاتی ہے۔
تقریباً ساڑھے تیرہ گھنٹے میں چھ ورژن شائع ہوئے، ہر ایک آخری سے زیادہ قابل۔ ان میں سے ہر ایک کو گول کیا گیا۔ ml_predicted_safe دستی جائزے سے پہلے ایک خودکار درجہ بندی کے ذریعے خاندان کو بدنیتی پر مبنی کے طور پر دوبارہ درجہ بند کیا گیا۔
حملہ اناٹومی
gcli-کنٹرول درآمدی پیکج انسٹال کرتا ہے۔ gcli، ایک 35 ماڈیول Python کوڈ بیس۔ کوئی انسٹال ٹائم نہیں ہے۔ hooks - اس دوران کچھ نہیں چلتا ہے۔ پائپ انسٹال کریں. صلاحیت خود ماڈیولز میں رہتی ہے، ٹول کے چلنے کے بعد اس کی درخواست کی جاتی ہے، اور ماڈیول لے آؤٹ پروڈکٹ اسپیک شیٹ کی طرح پڑھتا ہے:
کمانڈ چینل دلچسپ حصہ ہے۔ زیادہ تر ریموٹ ایکسیس ٹولنگ آپریٹر کے کنٹرول والے سرور تک پہنچتی ہے - ایک IP، ایک ڈومین، ایک ہوسٹنگ فراہم کنندہ جس کی اطلاع دی جا سکتی ہے اور اسے آف لائن لیا جا سکتا ہے۔ gcli-کنٹرول اس کے بجائے علاج کرتا ہے a ڈیڈ ڈراپ کے طور پر مفت JSON-bin سروس. npoint ماڈیول چھوٹے JSON دستاویزات کو پڑھتا اور لکھتا ہے۔ npoint[.]io عام HTTPS سے زیادہ؛ دی کرپٹو/خفیہ ماڈیول ایکسچینجڈ پے لوڈز کو لپیٹ دیتے ہیں تاکہ بن کے مواد سادہ متن کے کمانڈز نہ ہوں۔ اثر ایک ثالثی، خفیہ کردہ ریلے ہے:
- آپریٹر JSON بن میں ایک (انکرپٹڈ) ہدایات ڈالتا ہے۔
- امپلانٹ، شکار کے میزبان پر چل رہا ہے، پول کرتا ہے، ڈکرپٹ کرتا ہے، اپنے کمانڈ ہینڈلرز میں سے ایک کو چلاتا ہے، اور (انکرپٹڈ) نتیجہ واپس لکھتا ہے۔
- نیٹ ورک مانیٹر سے، متاثرہ شخص صرف بات کر رہا ہے۔ npoint[.]io - ڈیولپر ٹریفک میں ظاہر ہونے کی ایک جائز وجہ کے ساتھ ایک خدمت۔
یہاں کوئی دوسرا مرحلہ ڈاؤن لوڈ نہیں ہے اور نہ ہی کوئی مبہم لوڈر ہے: قابل بحری جہاز مکمل طور پر، پڑھنے کے قابل ازگر میں، اور واحد "چھپانے" ریلے کا انتخاب اور ریلے پے لوڈز کی خفیہ کاری ہے۔
کیوں ایک JSON-bin dead-drop عملی طور پر پرکشش ہے اس کی ہجے کرنے کے قابل ہے، کیونکہ یہ بتاتا ہے کہ ہم پیٹرن کو دوبارہ دیکھنے کی توقع کیوں کرتے ہیں:
- کوئی آپریٹر کی ملکیت والا اختتامی نقطہ نہیں ہے۔ رجسٹر کرنے کے لیے کوئی C2 ڈومین نہیں ہے، کرایہ پر لینے کے لیے کوئی VPS نہیں ہے، اور کسی محافظ یا رجسٹرار کو ضبط کرنے کے لیے کچھ نہیں ہے۔ کا اخراج پیکج چینل کو ہاتھ نہیں لگاتا؛ کا اخراج چینل اس کا مطلب ہے کہ عام مقصد کے SaaS کو پولیس سے لاکھوں میں سے ایک دستاویز مانگنا۔
- ساکھ لانڈرنگ۔ معروف ڈویلپر سروس کے لیے آؤٹ باؤنڈ HTTPS میں کوئی بھی ساکھ جرمانہ نہیں ہوتا ہے جو ایک تازہ ڈومین یا خام IP کرے گا۔ بہت سے ایگریس فلٹرنگ سیٹ اپ واضح طور پر اس کی اجازت دیتے ہیں۔
- غیر مطابقت اور تردید۔ پولنگ ماڈل - امپلانٹ ایک کھلی ساکٹ رکھنے کے بجائے وقفہ پر ایک دستاویز لاتا ہے - ٹریفک پیدا کرتا ہے جو متواتر API پولنگ کی طرح لگتا ہے، نہ کہ ایک انٹرایکٹو سیشن۔ دستاویز کے مندرجات کو خفیہ کرنے کا مطلب ہے کہ ایک تجزیہ کار بھی جو بِن کو تلاش کرتا ہے، نہ کہ کمانڈ لسٹ۔
- معمولی گردش. کسی مختلف بن میں منتقل ہونا، یا مکمل طور پر ایک مختلف نوٹ/پیسٹ سروس، آپریٹر کے لیے ایک لائن کی ترتیب میں تبدیلی ہے۔ کسی بھی بلاک لسٹ کو مخصوص ریلے کے ساتھ کلید کیا جاتا ہے اس کے بھیجنے کے لمحے باسی ہے۔
آپریٹر جس ٹریڈ آف کو قبول کرتا ہے وہ تھرو پٹ اور لیٹنسی ہے: ڈیڈ ڈراپ ریلے براہ راست کنکشن کے مقابلے میں سست اور کم بینڈوتھ ہے۔ نگرانی اور کنٹرول امپلانٹ کے لیے جو زیادہ تر مختصر کمانڈ جاری کرتا ہے اور وقت کے ساتھ ساتھ نتائج جمع کرتا ہے، یہ تجارت کرنا آسان ہے۔
ٹائم لائن
خاندان میں تیزی سے اضافہ ہوا۔ جھنڈے والے ورژن کے لیے ٹکٹ بنانے کے ٹائم اسٹیمپ پورے مشاہدہ شدہ آرک کو تقریباً ساڑھے تیرہ گھنٹے کے اندر رکھ دیتے ہیں، اور اسکینر کے اپنے شواہد کی تعداد میں کوڈ کے ساتھ ساتھ اضافہ ہوا - پہلے ورژن میں جھنڈے والی سائٹوں کے ایک جوڑے سے تازہ ترین میں چودہ تک۔
ورژن نمبر سخت ترتیب میں شائع نہیں کیے گئے تھے، لیکن سمت واضح ہے: ایک چھوٹا سا پہلا کٹ، پھر مکمل طور پر نمایاں 0.7.1 کی طرف تیزی سے تکرار۔ یہ فعال ترقی کے تحت ایک پروجیکٹ کی شکل ہے جس کے بڑھتے ہی اسے عوامی رجسٹری میں دھکیل دیا جاتا ہے، نہ کہ ایک شاٹ ڈراپ۔
سمجھوتہ کے اشارے
نیچے دیے گئے تمام انڈیکیٹرز کی تصدیق آن ڈسک پیکج کے مواد اور ورژن 0.7.1 کے ڈیٹرمنسٹک انڈیکیٹر اسکین کے خلاف کی گئی تھی۔ کوئی بھی قیاس آرائی پر مبنی نہیں ہے۔
محافظ نوٹ: سب سے مضبوط پائیدار سگنل ڈومین نہیں ہے (ایک ریلے ہوسٹ معمولی طور پر گھومتا ہے) بلکہ شکل: ایک واحد پیکج جو تین یا اس سے زیادہ الگ الگ میزبان نگرانی کے پرائمیٹوز کو بنڈل کرتا ہے۔ اور عوامی مواد کی میزبانی کی خدمت کے ذریعے کمانڈ/رسپانس لوپ کو روٹ کرتا ہے۔ بلاک کرنا npoint[.]io زیادہ تر دکانوں کے لیے بالکل ناقابل عمل ہے۔ ایک غیر متوقع عمل پر متنبہ کرنا جو دونوں ان پٹ ڈیوائسز کو کیپچر کرتے ہیں اور JSON-bin سروس سے بات کرتے ہیں کہیں زیادہ مضبوط ہے۔
مشاہدہ سلوک اور فریمنگ
دو چیزیں اس نمونے کو غیر معمولی بناتی ہیں، اور دونوں ہی مقصد کے بارے میں قیاس کے بجائے قابل مشاہدہ حقائق ہیں۔
اس نے خود تشہیر کی۔ PyPI پر تقسیم کردہ پیکیج کے خلاصے میں سادہ زبان میں صلاحیتوں کا شمار کیا گیا ہے — ریموٹ ایکسیس، ڈیسک ٹاپ کنٹرول، یوزر مینجمنٹ، ویب کیم، آڈیو، کیلاگر، پرسٹینس، براؤزر ڈیٹا، وائی فائی، رجسٹری، "140+ کمانڈز۔" کوڈ کو بطور بلڈ ہیلپر، ایک CLI ریپر، یا ایک AI-ایجنٹ یوٹیلیٹی کے طور پر پاس کرنے کی کوئی کوشش نہیں کی گئی، جو کہ ہم عوامی رجسٹریوں پر زیادہ عام بھیس دیکھتے ہیں۔ چاہے وہ کھلا پن بغیر کسی رسائی کنٹرول کے شائع کردہ ریڈ ٹیم ٹول کی عکاسی کرتا ہو یا کوئی اور سوال یہ ہے کہ پیکیج کا مواد اکیلے حل نہیں کرتا ہے۔ جو بات یقینی ہے وہ یہ ہے کہ ایک کام کرنے والا، عام مقصد کے لیے دور دراز تک رسائی اور نگرانی کا ٹول کٹ ہر ایک کے ذریعے انسٹال کیا جا سکتا تھا۔ PIP.
یہ ایک بے نظیر خدمت پر بھروسہ کرتا تھا۔ کا استعمال کرتے ہوئے npoint[.]io جیسا کہ ریلے تعریف کرنے والی تکنیک ہے۔ یہ ایک وسیع پیٹرن کی ایک مثال ہے — ایک جائز SaaS (پیسٹ سائٹس، JSON بِنز، چیٹ ویب) کے ذریعے C2 کو روٹ کرناhooks, cloud docs) تاکہ بدنیتی پر مبنی ٹریفک عام ڈویلپر کی سرگرمی میں گھل مل جائے اور ضبط کرنے کے لیے آپریٹر کی ملکیت کا کوئی اینڈ پوائنٹ نہ ہو۔ ریلے پر پے لوڈز کو خفیہ کیا گیا تھا، اس لیے بن کے مشمولات کسی آرام دہ مبصر کو حکم کے طور پر نہیں پڑھیں گے۔
پبلشر سگنل پتلے اور عام ہیں۔ پیکیج کا اعلان کیا گیا ہے۔ مصنف "gcli contributors" اور MIT لائسنس کا، اور اس کے ہوم پیج اور ریپوزٹری فیلڈز کی نشاندہی کی github[.]com/gcli-control/gcli. اس میں سے کوئی بھی تصدیق نہیں ہے: ایک مصنف کی تار مفت متن ہے، ایک MIT لائسنس ہیڈر کی کوئی قیمت نہیں ہے، اور پیکج میٹا ڈیٹا میں ذخیرہ URL ایک دعوی ہے، ثابت ہونے کا ثبوت نہیں۔ پیٹرن — ایک بالکل نیا نام، ایک عام اجتماعی مصنف، اور پیکج کے ارد گرد تخلیق کردہ ایک سیلف ریفرنشل org/repo — یہ ہے کہ جب کوئی پروجیکٹ کوڈ کو لے جانے کے لیے خاص طور پر کھڑا کیا جاتا ہے، بجائے اس کے کہ ایک قائم شدہ ٹول جس میں ریموٹ کنٹرول کی خصوصیت بڑھ گئی ہو۔ ہم ان کو مشاہدات کے طور پر نوٹ کرتے ہیں۔ وہ اس کے ساتھ مطابقت رکھتے ہیں، لیکن خود ایک مقصد سے تیار کردہ تقسیم کو قائم نہیں کرتے ہیں۔
ہم قابلیت اور ترسیل کی بنیاد پر طبیعت کو بدنیتی کے طور پر بیان کرتے ہیں: ایک مکمل، چلنے کے قابل ریموٹ رسائی اور نگرانی کا امپلانٹ، ایک خفیہ ریلے کے ساتھ عوامی پیکیج انڈیکس پر تقسیم کیا جاتا ہے۔ ہم کسی ہدف یا مقصد کو منسوب نہیں کرتے ہیں۔
اثر، رجحانات اور محافظ کیا کر سکتے ہیں۔
بھیس پر مبنی ٹرائیج کے لیے ایک اندھا مقام۔ پر بہت زیادہ خودکار پیکیج ٹریج کیز چھپانا کے سگنل عام رجسٹری میلویئر مبہم بلابز، انسٹال ٹائم hooks, credential-harvesting one-liners. ایک پیکیج جو سادہ ہے۔ کھلے عام ایک RAT, صاف پڑھنے کے قابل کوڈ اور کوئی انسٹال ہک کے ساتھ، ان میں سے کوئی بھی بتاتا نہیں ہے اور ماضی کی تحقیق کو پھسل سکتا ہے جو چھپانے کی توقع کرتا ہے۔ اس طبقے کو قابل اعتماد طریقے سے پکڑنے والے اشارے بھیس پر مبنی ہونے کے بجائے ساختی ہیں: ایک قابلیت کی مردم شماری (ایک پیکج میں کتنے الگ میزبان-سروییلنس پرائمیٹوز ایک ساتھ موجود ہیں) اور C2-شکل تجزیہ (ایک کمانڈ/رسپانس لوپ جو عام مقصد کے مواد کی میزبانی کی خدمت کے ذریعے روٹ کیا جاتا ہے)۔ وہ چیک آگ سے قطع نظر کتنے ایماندار یا چھٹکارا پیکیجنگ ہے.
SaaS-as-C2 رجحان۔ ایک جائز ہوسٹنگ سروس کو ڈیڈ ڈراپ کے طور پر استعمال کرنا کوئی نئی بات نہیں ہے، لیکن یہ کام کرتی رہتی ہے کیونکہ سروس کو بلاک کرنے کی دفاعی لاگت زیادہ ہوتی ہے اور سروسز کو سوئچ کرنے کی جارحانہ لاگت صفر کے قریب ہوتی ہے۔ اس سے مزید توقع کریں۔ مخصوص خراب ڈومینز کے لیے نیٹ ورک کے دفاع فوری طور پر ختم ہو جاتے ہیں۔ طرز عمل کے اصول ("یہ عمل کلپ بورڈ اور ویب کیم کو پڑھتا ہے اور پھر ایک نوٹ ہوسٹنگ API سے بات کرتا ہے") ایسا نہیں کرتے۔
ایک ٹھوس کھوج کا خاکہ۔ پائیدار حکمرانی نام نہیں لیتی npoint[.]io بالکل یہ دو مشاہدات کو یکجا کرتا ہے جو انفرادی طور پر عام ہیں لیکن عام ڈویلپر یا CI میزبان پر مشترکہ طور پر نایاب ہیں:
الرٹ جب ایک ہی عمل، ایک سیشن کے اندر، دونوں:
(A) میزبان کی نگرانی کے پرائمیٹو تک رسائی حاصل کرتا ہے — ان پٹ ڈیوائس (کی بورڈ/ماؤس ہک)، کیمرہ، مائیکروفون، اسکرین کیپچر، کلپ بورڈ ریڈ لوپ، یا براؤزر کریڈینشل اسٹور ("Login ڈیٹا" / "مقامی ریاست" / DPAPI؛ اور
(B) عوامی مواد کی میزبانی / پیسٹ / JSON-bin / chat-webhook سروس سے آؤٹ باؤنڈ درخواستیں کرتا ہے پھر (B) میں مخصوص سروس سے قطع نظر نظرثانی کے لیے اٹھاتا ہے۔
نہ ہی نصف اکیلے مشکوک ہے: کافی جائز ٹولز اسکرین شاٹ، اور کافی مقدار میں JSON کو ایک ہوسٹنگ API میں پوسٹ کریں۔ ایک قلیل المدتی عمل کے اندر کنکشن سگنل ہے، اور یہ کسی بھی ریلے کی گردش سے بچ جاتا ہے۔
ٹیموں کے لیے عملی اقدامات:
- ڈویلپر اور CI میزبانوں پر عوامی پیکیج انسٹال کو ایک ایگزیکیوشن باؤنڈری کے طور پر سمجھیں، نہ کہ سہولت — بلڈ ایجنٹ پر RAT آپ کے راز کے ساتھ RAT ہے۔
- اجازت یافتہ اندرونی آئینے کو ترجیح دیں؛ ایک پیکیج جس کا لفظی طور پر ریموٹ کنٹرول کا نام دیا گیا ہے اور کیلاگر کو بیان کرنا کارپوریٹ انڈیکس پر کبھی حل نہیں ہونا چاہئے۔
- پر الرٹ مجموعہ — ان پٹ ڈیوائس یا اسکرین کیپچر کے علاوہ مواد/پیسٹ/JSON-bin سروس کے لیے آؤٹ باؤنڈ ٹریفک — کسی ایک پرائمٹیو کے بجائے، جس میں تنہائی میں سومی استعمال ہوتا ہے۔
- میزبان تک رسائی کی وسیع صلاحیت والے پیکجوں کے لیے ٹرمینل فیصلے کے طور پر خودکار "محفوظ" سکور پر انحصار نہ کریں۔ انہیں انسانی جائزے کے لیے روٹ کریں۔
پیکیج فیملی کو بدنیتی پر مبنی درجہ بندی کیا گیا ہے اور اسے رجسٹری سے ہٹانے کے لیے بھیجا گیا ہے۔ چونکہ ریلے پر مبنی C2 آپریٹر کی ملکیت والے میزبان کو سنکھول پر نہیں چھوڑتا ہے، اس لیے پائیدار دفاعی قدر اوپر کے طرز عمل کے فنگر پرنٹ میں ہے، کسی ایک بلاک لسٹ اندراج میں نہیں۔
