טל; דר
nolimit-agent איז אַן npm פּעקל וועמענס פאַרעפֿנטלעכטע ווערסיעס — 1.0.299 דורך 1.0.307, ארויסגעגעבן איבער פיר טעג פון 2026-06-26 ביז 2026-06-29 — יעדער טראגט א פולשטענדיקע פישינג און מאַסן-פּאָסט פריימווערק אינעווייניק פון א באהאלטענע, פולשטענדיג פארדעקטע דירעקטארי. אין יעדער ווערסיע ווערט דער הויפט איינטראג אויסגערופן צו .ad/x0.js, איינע פון ~86 טעקעס אין א דאטפייל-גערופענע טעקע וואס האלט בערך 4,200 דזשאוואסקריפט-אבפוסקאטאר סטרינג-ערעי בלאבס; די אינסטאל קרוק און איינטריט אויסלייג זענען אידענטיש איבער די גאנצע ליניע.
הינטער דער פארשפּאַנונג זיצט אַ מייקראָסאָפֿט 365 OAuth דעווייס-קאָד פֿלוס (login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode) וואָס, אַמאָל אַ קאָד איז באַשטעטיקט, לייענט דעם קרבן'ס אַוטלוק אינבאָקס און געשיקטע זאכן דורך די מייקראָסאָפֿט גראַף אַפּי; אַ מאַסע SMTP און SMS שיקן מאָטאָר געטריבן דורך אָפּעראַטאָר-געשטעלטע באַקומער ליסטעס; בראַנד-ימפּערסאָנאַזש מעסעדזש טעמפּלאַטעס; אָפֿן-רידערעקט לינק קאַנסטראַקשאַן; און רעקאָנאַסאַנס איבער DNS-איבער-HTTPS, WHOIS, און GitHub קאָד זוכן. ראַנטיים טראַפיק בעאַקאַנז צו אָפּעראַטאָר אינפראַסטרוקטור ביי api[.]nolimitent[.]xyz:4100.
אַפעקטירט: ווער עס יז וואָס אינסטאַלירט יעדע ווערסיע פון דעם פּעקל, און יעדע מייקראָסאָפֿט 365 בריווקאַסטן וועמענס אייגענטימער באשטעטיגט א מיטל קאוד וואס ווערט דורכגעגעבן דורך אים. די לעצטע ווערסיע, 1.0.307, איז דער איצטיקער לעצטער טאַג און טראָגט די זעלבע דעווייס-קאָד בריווקאַסטן מעגלעכקייט — דער בייזוויליקער קאָד איז נישט באַגרענעצט צו איין צוריק-ווערסיע.
שטרענגקייַט: קריטישאַפעקטירטע עקאָסיסטעם: npmדער איינציקער אינדיקאַטאָר צו זוכן ערשט: דער באַלעבאָס api[.]nolimitent[.]xyz.
דער אטאקע: ווי אזוי עס ארבעט
א גוטאַרטיקע שאָל איבער אַ באַהאַלטענער פּיילאָוד
די פּאַקעט פּרעזענטירט אַ געוויינטלעכע ייבערפלאַך. package.json דערקלערט א נאָך-אינסטאַלירן קרוק –
text postinstall: node scripts/postinstall.js — און אויף דורכקוק סקריפּטן/פּאָסטאַינסטאַל.דזשעי.עס איז נישט שעדלעך: עס אינסטאלירט א ווינדאָוס קאָמאַנד שים און גייט ארויס. דער הוק איז נישט וואו די אויפפירונג לעבט. די הויפּט און בין פעלדער ווייזן ביידע אריין .אַד/, אַ וועגווייַזער וועמענס ערשטער פּונקט האַלט עס אַוועק פון גלייכגילטיק ls אויסגאַבע, און וועמענס אינהאַלט איז אייניג מאַשינען-פאַרדעקט. דער סטאַטישער סקאַנער האָט געציילט ~4,293 ענקאָודיד-פּיילאָוד שפּאַנס אַריבער די .אַד/ מאָדול סעט; דזשאַוואַסקריפּט-אָבפוסקאַטאָר איז אַ דעקלערירטע אַנטוויקלונג דעפּענדענסי, וואָס שטימט מיט דער סטרינג-אַרעי-ראָטאַציע פֿאָרעם פֿון די באַנדאַלד טעקעס.
די שפּאַלטונג איז דער ערשטער סיגנאַל וואָס איז ווערט צו געבן אַ נאָמען: דער אינסטאַל הוק וואָס אַ רעצענזענט וואָלט דורכגעקוקט איז ריין, בשעת דער אָפּעראַציאָנעלער קאָד זיצט איין דירעקטאָרי אַוועק, באַהאַלטן און פֿאַרנעפּלט, דערגרייכט נאָר ווען דער פּאַקעט'ס עקספּאָרטירטער אַרייַנגאַנג פּונקט לויפט.
מייקראָסאָפֿט 365 דעווייס-קאָד בריווקאַסטן אַקסעס
די מאָדולע .ad/x12.js טראָגט די מערסט וויכטיקע מעגלעכקייטן פון דעם פריימווערק. עס טרייבט די Microsoft 365 OAuth 2.0 דעווייס אויטאָריזאַציע גראַנט:
text POST login[.]microsoftonline[.]com/common/oauth2/v2.0/devicecode דער דעווייס-קאד גרענט איז א לעגיטימער מייקראסאפט פלוס וואס איז געמאכט פאר אינפוט-באגרעניצטע דעווייסעס: א סערוויס בעט א קאוד, דער באנוצער טייפט דעם קאוד אריין. microsoft.com/deviceloginאויף אַ צווייטן מיטל און באַשטעטיקט, און דער בעטנדיקער סערוויס באַקומט טאָקענס. ווען דער בעטנדיקער סערוויס געהערט צו עמעצן אַנדערש ווי דער פּאָסטקאַסטן באַזיצער, גיט באַשטעטיקונג יענעם דריטן פּאַרטיי אַ טאָקען. אַמאָל אַ טאָקען איז באַקומען, .ad/x12.js` לייענט די בריווקאַסטן גלייך דורך מייקראָסאָפֿט גראַף:
text GET graph[.]microsoft[.]com/v1.0/me/mailFolders/inbox/messages?$top=250&$select=from GET graph[.]microsoft[.]com/v1.0/me/mailFolders/sentitems/messages?$top=250&$select=toRecipients די $סעלעקטירן פּראָיעקציעס ציען שיקער אַדרעסן פֿון דער אינבאָקס און באַקומער אַדרעסן פֿון געשיקטע זאַכן — די רוי מאַטעריאַל פֿאַר מאַפּינג אַ קרבן ס קאָרעספּאָנדענטן. דאָס איז אַדווערסערי-אין-די-מיטן (AiTM) צוטריט דורך צושטימונג אלא ווי דורך פּאַראָל כאַפּן: עס איז נישטאָ קיין קרעדענשאַל צו פֿישינג אין דעם קלאַסישן זין, נאָר אַ קאָד צו באַקומען באַשטעטיקונג.
א גרויסע פּאָסט און SMS מאָטאָר מיט אימפּערסאָנאַזש טעמפּלאַטן
אַרום דעם פּאָסטקאַסטן צוטריט זיצט אַ מעילער. דער פּעקל שיקט אָפּעראַטאָר-רעדאַקטירבארע דאַטן טעקעס — שיקער ליסטעס (סענדערס.טקסט, smtps.txt) און אַ טעמפּלאַט טעקע (פונקציעס.טקסט) — וועמענס פלאצהאלטער אדרעסן ווערן געלייענט ווי א קאסטינג בלאט פאר נאכמאכן: זיכערהייט@עפל.קאם, login-וועריפיקאַציע, OAuth-סערוויס, בילינג, און חשבון-נאָטיפיקאַציע שיקער קעגן אַ yourdomain.com דער שטעל-אין דער אָפּעראַטאָר פֿאַרבייט. די SMS זײַט טראָגט אַ טעלעפֿאָןebook און גייטוויי קאנפיגוראציע. דער מעילער איבערחזרט די אפעראטאר-געגעבענע באקומער ליסטעס און שיקט דורך קאנפיגורירטע SMTP רעלייז.
צו מאַכן לינקס לאַנד, .ad/xu.js און .ad/xq.js בויען URLs וואָס נוצן URL פּאַרסינג אַמביגואַטי און קליק טראַקינג. די פּאַראָדישע פּאַטערנז עמבעד אַ טראַסטיד-אויסזעענדיק אויטאָריטעט איידער אַ @ אַזוי דער זעבארער פּרעפיקס איז אַנדערש פֿון דעם עכטן באַלעבאָס:
text https://trusted[.]com@ https://trusted[.]com%40 https://trusted[.]com:80@ https://redirect[.]example[.]com/ https://track[.]example[.]com/click? די פריימווערק כאַפּט אויך פאַוויקאָנס פון גרויסע קאָנסומער און enterprise פּאָסט פּראַוויידערז — אַ רוטינע טעכניק פֿאַר רענדערינג אַן איבערצייגנדיק פּראַוויידער-בראַנדיד פּראָמפּט אָדער לאַנדינג בלאַט.
ציל און אינפראַסטרוקטור אויספארשונג
עטלעכע מאָדולן זאַמלען קאָנטעקסט איידער זיי שיקן. .ad/x0.js לייזט נעמען איבער DNS-איבער-HTTPS (די-ען-עס[.]גוגל/רעזאָלוו), .ad/xa.js פֿראגן WHOIS (אַפּי[.]ווהאָיס[.]וו), און .ad/x9.js לויפט גיטהאב קאוד זוכן (api[.]github[.]com/search/code?q=) — א מוסטער וואס איז קאנסיסטענט מיטן אויפדעקן אויפגעדעקטע מעיל-סערווער קאנפיגוראציע און SMTP קרעדענשעלס צו פיטערן די רעליי ליסטע. .ad/xs.js פרעגט דעם וועיבעק מאשין'ס סי-די-עקס אינדעקס.
באַפֿעל און קאָנטראָל
אריבער דעם פארשטעקטן סעט, .ad/x4.js רעפערענצירט דעם אָפּעראַטאָר ענדפּוינט:
text http://api[.]nolimitent[.]xyz:4100 דער באַלעבאָס טיילט זײַן אומבאַגרענעצט בראַנד מיטן ארויסגעבער'ס אייגענעם נאָמען, און די : קסנומקס פּאָרט איז די פריימווערק'ס רוף-היים קאַנאַל. דאָס איז דער איינציקער מערסט דויערהאפטיקער אינדיקאַטאָר פֿאַר פֿאַרטיידיקער: אַ פּעקל, אַ דעוועלאָפּער וואָרקסטיישאַן, אָדער אַ בילד אַגענט וואָס דערגרייכט api[.]אומבאגרענעצטע[.]xyz האט דורכגעפירט דעם קאוד.
אינדיקאַטאָרן פון קאָמפּראָמיס
די אינדיקאַטאָרן אונטן זענען די אויף וועלכע אַ פֿאַרטיידיקער קען האַנדלען — grep אַ לאָקפֿייל, בלאָקירן אַ האָסט, אָדער זוכן פּראָקסי און DNS לאָגס. מייקראָסאָפֿט ענדפּונקטן דערשייַנען ווײַל די פֿרэйמווערק ניצט זיי מיסברויכן; זיי זענען נישט אַליין בייזוויליק און זאָלן נישט בלאָקירט ווערן.
טעקע העשעס קאַפּטשערד ביי טריאַזש:
- פּעקל/.אַד/x0.js — שא256 e4153bb614ee03ec456e6b5b41926385db6aae0e4f3e771d18e581571ad7ca2a
- פּעקל/פּעקל.דזשאָן — שא256 8618064f1f6146b4a8f0459aff9154dca1847e3936aa44f4d4cd37e127075644
א מייקראָסאָפֿט 365 טענענט סיגנאַל וואָס איז ווערט צו זוכן אומאָפּהענגיק פֿון דעם פּעקל: געראָטענע מיטל-קאָד לאָגין-אינס, גלייך נאָכגעפֿאָלגט דורך גראַף לייענונגען פֿון פּאָסט טעקעס/אינבאַקס און פּאָסט טעקעס/געשיקט זאכן, ספּעציעל פֿון אַ סעסיע וואָס דער באַניצער דערקענט נישט.
צושרייבונג און באאבאכטעטע אויפפירונג
וואָס איז באַאָבאַכטבאַר בלייבט באַזונדער פֿון ווער עס איז הינטער אים.
באמערקבארע פאקטן: דער פעקל איז ארויסגעגעבן אונטערן האנטל נאָלימיט-אַגענט מיט אַן נישט-באַשטעטיקטן דזשימעיל אַדרעס און קיין פֿאַרבונדענע מקור רעפּאָזיטאָרי; זײַן package.json באַשרײַבט עס ווי אַן "אַוואַנסירטן אימעיל שיקער" און באַצייכנט עס מיט די רויט-מאַנשאַפֿט שליסל-וואָרט; דער ראַנטיים קאָד איז קאָנצענטרירט אין אַ באַהאַלטענע, פֿאַרשטעלטע .אַד/ דירעקטאָרי וועמענס טולקיין (דזשאַוואַסקריפּט-אָבפוסקאַטאָר) איז אַ דעקלערירטע דעפּענדענסי; און דער רוף-היים האָסט api[.]אומבאגרענעצטע[.]xyz ניצט ווידער די אומבאַגרענעצט בראַנד. דאָס איז אַן איינציקער פּעקל מיט איין אָפּעראַטאָר-קאָנטראָלירטן אינפראַסטרוקטור לאַנדמאַרק — נישט קיין מולטי-פּעקל קלאַסטער, און קיין אָוווערלאַפּ מיט אַ פריער גערופֿן קאַמפּיין איז נישט אידענטיפיצירט געוואָרן.
די רויט-מאַנשאַפֿט שליסל-ווארט טוישט נישט די קלאסיפיקאציע. לעגיטימע אפענסיווע-זיכערהייט געצייג וואס שיקט צוויי-באנוץ מעגלעכקייט טוט דאס דורכזיכטיק: ליינענע מקור, אפעראטאר-געשטעלטע צילן, און קיין באהאלטענע קאל-היים. דאס פעקל דרייט איבער יעדע פון די אייגנשאפטן - זיין אפעראציאנעלער קאוד איז פארדעקט און באהאלטן, און עס ווייזט צו א פעסטע אפעראטאר אינפראסטרוקטור אנשטאט א ציל וואס דער באנוצער צושטעלט. די אויפפירונג, נישט די לייבל, רעגירט דעם אורטייל, וואס איז בייזוויליג.
דא ווערט נישט קיין כוונה באשטעטיגט. דער תגובה באשרייבט וואס דער קאוד טוט — בעטן א דעווייס קאוד, לייענען א בריווקעסטל איבער גראף, שיקן גרויסע מעיל דורך קאנפיגורירטע רעלייז, בעקאן צו א פעסטן האוסט — און לאזט נישט קיין מאטיוו.
השפּעה, טרענדס און פֿאַרטיידיקער גיידאַנס
צוויי אינסטאַלאַציע-צייט עפֿעקטן זענען וויכטיק. ערשטנס, יעדער דעוועלאָפּער אָדער CI אַגענט וואָס אינסטאַלירט נאָלימיט-אַגענט ברענגט דעם פריימווערק אויף יענעם האוסט און שטעלט אויף דעם רוף-היים צו api[.]אומבאגרענעצטע[.]xyzצווייטנס, די דעווייס-קאד מעגלעכקייט פארברייטערט די דערגרייכונג ווייטער ווי דער אינסטאלירנדיקער האוסט: א מייקראסאפט 365 בריווקעסטל וועמענס אייגענטימער ווערט געצווינגען צו באשטעטיגן א פרעזענטירטן קאוד ווערט גלייך געלייענט דורך גראף, אן קיין פאסווארט וואס זאל קיינמאל אריבערגיין דעם דראט.
די ברייטערע טענדענץ איז די צו אינטערנאַליזירן. דעווייס-קאוד (AiTM) פישינג האט זיך אריבערגעצויגן פון א זעלבשטענדיקע פישינג אינפראַסטרוקטור צו א פּעקל אויף א פובליק רעגיסטרי — פאַרשפּרייטונג דורך נפּם ינסטאַלירן אנשטאט דורך א לינק וואס ווערט געשיקט דורך אימעיל. דאס איינפאקן דעם קיט אויף דעם אופן טוישט דעם פישינג אפעראטאר'ס האסטינג און לינק-דעליווערי פראבלעם פאר א רעגיסטרי'ס דערגרייכונג, און באהאלט דעם אפעראציאנעלן קאוד הינטער א ריינע אינסטאל קרוק און א דאטפייל-געהייסענע פארבלאסטער דירעקטארי וואס באזיגט א שנעלע מאנועלע סקימונג.
פֿאַר פֿאַרטיידיקער:
- רעגיסטרי און דעפּענדענסי איבערבליק. באַהאַנדלען אַ פּעקל וועמענס הויפּט/בין צעלאָזט זיך אין אַ פאַרבאָרגענעם (מיט אַ פּונקט פּרעפיקס) דירעקטאָרי פון איינהייטלעך פֿאַרבלאָכטן ערשט-פּאַרטיי קאָד ווי הויך-ריזיקירן אויף סטרוקטור אַליין, אומאָפּהענגיק צי דער אינסטאַל קרוק קוקט ריין אויס. מיניפיקאַציע איז נישט פֿאַרבלאָכטונג — גייט אויף דער סטרינג-אַרעי דעקאָדער סיגנאַטור, נישט אויף ליניע לענג.
- מייקראָסאָפֿט 365 פֿאַרהאַרטונג. באַגרענעצן דעם דיווייס-קאָד אויטאָריזאַציע פלוס מיט קאָנדישאַנאַל אַקסעס וואו עס איז נישט אָפּעראַציאָנעל פארלאנגט; דיווייס-קאָד גראַנץ זענען אַ באַקאַנט AiTM וועקטאָר און זענען זעלטן דארף דורך ינטעראַקטיוו ניצערס. אָדיט פֿאַר דיווייס-קאָד לאָגין-אינס נאכגעגאנגען דורך באַלדיק גראַף בריווקאַסטן ענומעריישאַן.
- נעץ דעטעקציע. בלאָקירן און וואָרענען אויף api[.]אומבאגרענעצטע[.]xyzזוכן ארויסגייענדיקע DNS און פראקסי לאגס דערפאר איבער דעוועלאָפּער און בויען אינפראַסטרוקטור.
- פּאָסט-וועג דעטעקציע. די באַניצער@גאַסטגעבער URL-פארפוילטע פארמען (טראַסטיד[.]com@…) זענען דעטעקטירבאר ביים פאסט גייטוויי און פראקסי; ווייזן לינקס וועמענס אויטאריטעט קאמפאנענט גייט פאר א @.
דער פּעקל איז געווען לייוו אויף npm אין דער צייט פון דער אַנאַליז. ווײַל דער פֿאַרבאָרגענער פֿרэйמווערק נעמט אַרום די גאַנצע פֿאַרעפֿנטלעכטע ווערסיע ליניע און די איצטיקע. לעצט טאַג (1.0.307) טראָגט די דעווייס-קאָד מעגלעכקייט, רעגיסטרי אַראָפּנעמען זאָל דעקן יעדע ווערסיע, נישט נאָר אַן איינציקע צוריק-ווערסיע.
