TP; DR
PyPI paketi nomlandi gcli-nazorat Windows masofaviy kirishning to'liq vositasini taqdim etdi: tugmachalarni bosish jurnalini yuritish, veb-kamera va mikrofonni yozib olish, buferni kuzatish, brauzer ma'lumotlariga kirish, ekranni boshqarish, doimiylik, imtiyozlarni oshirish va o'zini reklama qilgan "140+ buyruqlar". U nima ekanligini yashirmadi: paketning o'z PyPI xulosasida uni "Masofaviy kirish vositasi orqali" deb ta'riflagan. npoint.io".
To'xtashga arziydigan tafsilot - bu ibora "npoint.io orqali." Maxsus serverga qo'ng'iroq qilish o'rniga, implant ishlatilgan npoint[.]io (kichik JSON hujjatlarini joylashtirish uchun bepul, qonuniy xizmat) buyruq va boshqaruv relesi sifatida. Operator buyruqlarni JSON qutisiga yozadi; implantator natijalarni so'rovnoma orqali chiqaradi, bajaradi va qayta yozadi. Bloklash uchun tajovuzkorga tegishli domen yo'q, belgilash uchun yangi IP yo'q: trafik ishlab chiquvchilar har kuni foydalanadigan xizmatga o'tadi.
Taxminan o'n uch yarim soat ichida oltita versiya nashr etildi, ularning har biri avvalgisidan ko'ra samaraliroq edi. Ularning har biri baholandi ml_bashorat qilingan_xavfsiz qo'lda ko'rib chiqishdan oldin avtomatlashtirilgan klassifikator tomonidan oilani zararli deb qayta tasnifladi.
Hujum anatomiyasi
gcli-nazorat import paketini o'rnatadi gcli, 35 modulli Python kod bazasi. O'rnatish vaqti yo'q hooks — hech narsa davomida ishlamaydi pip o'rnatishImkoniyat modullarning o'zida joylashgan bo'lib, vosita ishga tushirilgandan so'ng ishga tushiriladi va modul joylashuvi mahsulot spetsifikatsiyasi varag'i kabi o'qiladi:
Buyruq kanali qiziqarli qismdir. Masofaviy kirish vositalarining aksariyati operator boshqaradigan serverga - IP, domen, xabar berilishi va oflayn rejimga o'tkazilishi mumkin bo'lgan xosting provayderiga yetib boradi. gcli-nazorat buning o'rniga a ni davolashadi bepul JSON-bin xizmati o'lik tomchi sifatida. The nuqta modul kichik JSON hujjatlarini o'qiydi va yozadi npoint[.]io oddiy HTTPS orqali; Kripto/shifrlash Modullar almashinadigan foydali yuklarni shunday qilib o'rab oladiki, bin tarkibi oddiy matn buyruqlari bo'lmaydi. Effekt vositachilik qilingan, shifrlangan o'rni bo'ladi:
- Operator (shifrlangan) ko'rsatmani JSON qutisiga tashlaydi.
- Jabrlanuvchi xostida ishlaydigan implant ushbu bin faylini so'raydi, shifrini ochadi, buyruq ishlov beruvchilaridan birini bajaradi va (shifrlangan) natijani qaytarib yozadi.
- Tarmoq monitori uchun jabrlanuvchi shunchaki gaplashmoqda npoint[.]io — ishlab chiquvchi trafikida paydo bo'lishi uchun qonuniy sababga ega bo'lgan xizmat.
Bu yerda ikkinchi bosqichli yuklab olish va chalkashtirilgan yuklovchi yo'q: imkoniyat to'liq, o'qilishi mumkin bo'lgan Pythonda yetkazib beriladi va yagona "yashirin" narsa - bu o'rni tanlash va o'rni yuklarini shifrlash.
Nima uchun JSON-bin o'lik tomchisi operatsion jihatdan jozibador ekanligini tushuntirishga arziydi, chunki bu biz nima uchun naqshni yana ko'rishni kutayotganimizni tushuntiradi:
- Operatorga tegishli so'nggi nuqta yo'q. Ro'yxatdan o'tish uchun C2 domeni yo'q, ijaraga olish uchun VPS yo'q va himoyachi yoki ro'yxatga oluvchi tomonidan tortib olinadigan hech narsa yo'q. Olib tashlash To'plami kanalga tegmaydi; olib tashlash kanal umumiy maqsadli SaaSdan millionlab hujjatlar orasidan bitta hujjatni tekshirishni so'rash demakdir.
- Obro'ni yuvish. Taniqli ishlab chiquvchi xizmatiga chiquvchi HTTPS yangi domen yoki xom IP uchun obro'ga oid hech qanday jarimaga tortilmaydi. Ko'pgina chiqish filtrlash sozlamalari bunga bilvosita ruxsat beradi.
- Asinxronlik va inkor etilmasligi. So'rovnoma modeli — implant hujjatni ochiq soketni ushlab turish o'rniga ma'lum bir vaqt oralig'ida oladi — interaktiv sessiya emas, balki davriy API so'rovnomasiga o'xshash trafikni ishlab chiqaradi. Hujjat tarkibini shifrlash, hatto axlat qutisini topgan tahlilchi ham buyruqlar ro'yxatini emas, balki shifrlangan matnni ko'rishini anglatadi.
- Trivial aylanishBoshqa axlat qutisiga yoki butunlay boshqa eslatma/joylashtirish xizmatiga o'tish operator uchun bir qatorli konfiguratsiya o'zgarishidir. Muayyan relega biriktirilgan har qanday blok ro'yxati jo'natilgan zahotiyoq eskiradi.
Operator qabul qiladigan murosa - bu o'tkazish qobiliyati va kechikish: o'lik o'rni to'g'ridan-to'g'ri ulanishga qaraganda sekinroq va pastroq o'tkazish qobiliyatiga ega. Asosan qisqa buyruqlar beradigan va vaqt o'tishi bilan natijalarni to'playdigan kuzatuv va boshqarish implantati uchun bunday savdoni amalga oshirish oson.
Timeline
Oila tezda avj oldi. Belgilangan versiyalar uchun chipta yaratish vaqt belgilari butun kuzatilgan yoyni taxminan o'n uch yarim soat ichida joylashtiradi va skanerning o'z dalillari soni kod bilan birga o'sdi - birinchi versiyadagi bir nechta belgilangan saytlardan oxirgi versiyada o'n to'rtgacha.
Versiya raqamlari qat'iy tartibda nashr etilmagan, ammo yo'nalish aniq: avval kichik qisqartirish, keyin to'liq funksiyali 0.7.1 ga tezkor iteratsiya. Bu faol ishlab chiqilayotgan loyihaning bir martalik pasayish emas, balki o'sib borishi bilan ommaviy reyestrga o'tkazilishi shaklidir.
Murosaga kelish ko'rsatkichlari
Quyidagi barcha ko'rsatkichlar diskdagi paket tarkibi va 0.7.1 versiyasining deterministik indikator skanerlashi bilan taqqoslandi; ularning hech biri taxminiy emas.
Himoyachining eslatmasi: eng kuchli bardoshli signal domen emas (rele xosti arzimas aylanadi), balki shakliuch yoki undan ortiq alohida xost-kuzatuv primitivlarini birlashtirgan bitta paket va buyruq/javob tsiklini ommaviy kontent-xosting xizmati orqali yo'naltiradi. Bloklash npoint[.]io outright ko'pgina do'konlar uchun amaliy emas; kirish qurilmalarini ushlaydigan va JSON-bin xizmati bilan bog'lanadigan kutilmagan jarayon haqida ogohlantirish ancha ishonchli.
Kuzatilgan xatti-harakatlar va ramkalash
Ushbu namunani g'ayrioddiy qiladigan ikkita narsa bor va ikkalasi ham motiv haqidagi xulosalar emas, balki kuzatiladigan faktlardir.
O'zini reklama qildi. PyPI’da tarqatilgan paket xulosasida imkoniyatlar oddiy tilda sanab o‘tilgan — masofaviy kirish, ish stolini boshqarish, foydalanuvchilarni boshqarish, veb-kamera, audio, klaviatura yozuvchisi, doimiylik, brauzer ma’lumotlari, WiFi, registr, “140+ buyruqlar”. Kodni build helper, CLI wrapper yoki AI-agent yordamchi dasturi sifatida uzatishga urinish bo‘lmadi, bu biz ommaviy registrlarda ko‘radigan eng keng tarqalgan niqobdir. Bu ochiqlik kirishni boshqarishsiz nashr etilgan qizil jamoa vositasini aks ettiradimi yoki boshqa biror narsami, bu savol paket tarkibining o‘zi hal qilmaydi; aniq narsa shundaki, ishlaydigan, umumiy maqsadli masofaviy kirish va kuzatuv vositalari to‘plamini har kim o‘rnatishi mumkin edi. pip.
Bu xayrixoh xizmatga bo'lgan ishonchga asoslangan edi. foydalanish npoint[.]io chunki relay aniqlovchi texnikadir. Bu kengroq naqshga misol — C2 ni qonuniy SaaS orqali yo'naltirish (joylashtirish saytlari, JSON qutilari, chat veb-sayti)hooks, bulutli hujjatlar) zararli trafik oddiy ishlab chiquvchi faoliyatiga aralashishi va operatorga tegishli so'nggi nuqtani egallashi uchun. Reledagi foydali yuklamalar shifrlangan, shuning uchun axlat qutisi tarkibi tasodifiy kuzatuvchiga buyruq sifatida o'qilmaydi.
Nashriyotchi signallari nozik va umumiydir. Paket e'lon qilindi Muallif “gcli contributors” va MIT litsenziyasidan foydalandi va uning bosh sahifasi va ombor maydonlarini ko'rsatdi github[.]com/gcli-control/gcliBularning hech biri tasdiqlash emas: muallif satri bepul matn, MIT litsenziya sarlavhasi hech narsaga arzimaydi va paket metama'lumotlaridagi ombor URL manzili da'vo, kelib chiqish isboti emas. Paket atrofida yaratilgan yangi nom, umumiy jamoaviy muallif va o'z-o'ziga havola qiluvchi org/repo naqshi - loyiha masofadan boshqarish funksiyasini yaratgan o'rnatilgan vosita o'rniga kodni olib yurish uchun maxsus o'rnatilganda qanday ko'rinishga ega bo'ladi. Biz bularni kuzatish sifatida qayd etamiz; ular maqsadli qurilgan tarqatishga mos keladi, lekin o'z-o'zidan yaratmaydi.
Biz imkoniyat va yetkazib berish asosida zararli deb ta'riflaymiz: to'liq, ishga tushirilishi mumkin bo'lgan masofaviy kirish va kuzatuv implanti, maxfiy rele bilan ommaviy paket indeksida tarqatiladi. Biz nishon yoki sababni ko'rsatmaymiz.
Ta'sir, tendentsiyalar va himoyachilar nima qila olishlari mumkin
Niqoblashga yo'naltirilgan triaj uchun ko'r nuqta. Ko'pgina avtomatlashtirilgan paketlarni saralash kalitlari masxara qilish signallari odatiy ro'yxatga olish kitobi zararli dasturi — chalkash dog'lar, o'rnatish vaqti hooks, ishonch yorliqlarini yig'ish bo'yicha bir qatorli savollar. Shunchaki paket ochiqchasiga RAT, toza o'qiladigan kod va o'rnatish ilgagi yo'q, bu aytuvchilarning hech birini taqdim etmaydi va yashirishni kutadigan evristikadan o'tib keta oladi. Bu sinfni ishonchli tarzda ushlaydigan signallar yashirishga asoslangan emas, balki strukturaviydir: imkoniyatlarni ro'yxatga olish (bitta paketda nechta alohida xost-kuzatuv primitivlari birga mavjud) va C2 shaklidagi tahlil (umumiy maqsadli kontent-xosting xizmati orqali yo'naltirilgan buyruq/javob tsikli). Bu tekshiruvlar qanchalik halol yoki ishonchli bo'lishidan qat'i nazar, olovni tekshiradi. g'azablangan qadoqlash.
SaaS-as-C2 trendi. Qonuniy xosting xizmatidan o'lik nuqta sifatida foydalanish yangilik emas, lekin u ishlamoqda, chunki xizmatni blokirovka qilishning mudofaa qiymati yuqori va xizmatlarni almashtirishning hujumkor qiymati nolga yaqin. Bundan ko'proq narsani kuting. Muayyan yomon domenlarga asoslangan tarmoq himoyasi darhol eskiradi; xulq-atvor qoidalari ("bu jarayon bufer va veb-kamerani o'qiydi va keyin notalarni joylashtirish API bilan bog'lanadi") bunday qilmaydi.
Betonni aniqlash eskizi. Bardoshli qoida nom bermaydi npoint[.]io umuman. Bu oddiy ishlab chiquvchi yoki CI xostida alohida-alohida keng tarqalgan, ammo birgalikda kam uchraydigan ikkita kuzatuvni birlashtiradi:
alert when a single process, within one session, both:
(A) accesses a host-surveillance primitive — input device (keyboard/mouse hook), camera, microphone, screen capture, clipboard read-loop, or a browser credential store ("Login Data" / "Local State" / DPAPI); AND
(B) makes outbound requests to a public content-hosting / paste / JSON-bin / chat-webhook service then raise for review, regardless of the specific service in (B).
Ikkala yarmi ham o'z-o'zidan shubhali emas: ko'plab haqiqiy vositalar skrinshotlari va ko'plab JSONni xosting API-siga joylashtiradi. Qisqa muddatli jarayon ichidagi konyunktura signal bo'lib, u har qanday rele aylanishidan omon qoladi.
Jamoalar uchun amaliy qadamlar:
- Ishlab chiquvchi va CI xostlariga ommaviy paketlarni o'rnatishni qulaylik emas, balki bajarish chegarasi sifatida ko'rib chiqing - build agentidagi RAT sizning sirlaringiz bilan RATdir.
- Ruxsat berilgan ichki oynalarni afzal ko'ring; masofadan boshqarish pulti uchun tom ma'noda nomlangan va keyloggerni tavsiflovchi paket hech qachon korporativ indeksda ko'rsatilmasligi kerak.
- Ogohlantirish Aralashmasi — kirish qurilmasi yoki ekran tasvirini olish va chiquvchi trafikni kontent/joylashtirish/JSON-bin xizmatiga — alohida xavfsiz foydalanishga ega bo'lgan har qanday ibtidoiy xizmatga emas.
- Keng xostga kirish imkoniyatiga ega paketlar uchun avtomatlashtirilgan "xavfsiz" ballni yakuniy qaror sifatida qabul qilmang; ularni inson tomonidan ko'rib chiqishga yo'naltiring.
Paketlar oilasi zararli deb tasniflangan va registrni olib tashlash uchun yuborilgan. Rele asosidagi C2 operatorga tegishli xostni chuqurga qoldirmagani uchun, bardoshli himoya qiymati yuqoridagi xatti-harakatlar izida, bitta blok ro'yxatidagi yozuvda emas.
