טל; דר
אן איינציקער npm ארויסגעבער, deadcode09284814, האט געפירט א טיפאסקוואט קאמפיין קעגן די לעגיטימע axios און chalk-template פּאַקאַדזשאַז זינט מיטן מאי 2026.
די קאמפיין האט זיך אנגעהויבן אלס א קאנווענציאנעלער קרעדענשאַל און בייטל גנייווע, ארויסנעמענדיג דאטן צו א סערוועאָ HTTPS טונעל.
On 2026-05-17, מיט axois-utils:1.0.9, דער אָפּעראַטאָר האָט אויסגעטוישט די פּיילאָוד אינגאַנצן: דער זעלביקער טריפּל install-hook scaffold, דער זעלביקער אַרויסגעבער, דער זעלביקער פּאַקאַדזש נאָמען.
אבער דער אינסטאל סקריפּט איז איצט א קראָס-פּלאַטפאָרמע DDoS באָטנעט רעקרוט.
די פּיילאָוד רעדט צו אַ localhost.run טונעל און אַקסעפּטירט פלאַד קאָמאַנדעס, וואָס פאַרוואַנדלט אינפעקטירטע סביבות אין אַ טייל פון אַ DDoS-פֿעיִק באָטנעט.
דער אָפּעראַטאָר האָט אפילו געשיקט די C2 סערווער ביינערי אינעווייניק פון דעם טאַרבאָל, ווײַזנדיק אַ קלאָרע עסאַקאַלאַציע פון קרעדענשאַל גנייווע צו אַקטיווע באָטנעט אינפראַסטרוקטור.
צוויי פּעקלעך, פֿיר ווערסיעס נאָך אַקטיוו אויף דער רעגיסטרי, און איין אָפּעראַטאָר וואָס לויפֿט איצט ביידע מאָדולן פּאַראַלעל.
שטרענגקייט: הויך.
דער אטאקע: ווי אזוי עס ארבעט
די קאמפיין איז געבויט אויף א באוואוסטזיניק לאנגווייליגן דעליווערי סקאפדאבל: צוויי טיפאסקוואט פעקל נעמען, איין אות אפ פון פעקלען מיט הונדערטער מיליאנען וועכנטליכע דאונלאודס (אַקסיאָס, קרייד-טעמפּלאַט), און טריפל אינסטאַלירן hooks וואָס גאַראַנטירן דורכפירונג. וואָס איז אינטערעסאַנט איז וואָס די סקאַפאַלד קאַריז — און דער פאַקט אַז דער אָפּעראַטאָר האָט געביטן די לאַסט אָן צו טוישן עפּעס אַנדערש.
דער געטיילטער סקאַפֿאָלד
יעדע ארויסגעגעבענע ווערסיע פון ביידע פעקלעך דערקלערט די זעלבע דריי לעבנסציקל hooks in package.json:
ליסטינג די פּיילאָוד אונטער אַלע דריי hooks איז איבערגעטריבן — נאָך-אינסטאַלירן אליין וואָלט געלאָפן אין אַ פעליקייַט נפּם ינסטאַלירןדי ברירה איז וויכטיק: npm אינסטאַלירן –איגנאָרירן-סקריפּס איבערשפּרינגען סקריפּטן, אָבער עטלעכע געוויינטלעכע וואָרקפלאָוז (CI קאַש ריסטאָרז וואָס לויפן ווידער דעם לעבן-ציקל hooks סעלעקטיוו, אדער דעוועלאָפּערס וואָס נאָר אָדאַטירן נאָך-אינסטאַלירן) מאַכן אַ טריפּלע-רעדאַנדאַנט דעקלאַראַציע די זיכערסטע געוועט פֿאַר דעם אַטאַקער.
קרייד-טעמפּלאַטע לייגט צו א צווייטן מעכאניזם: עס דערקלערט axois-utils:^1.0.7 ווי אַ לויף-צייט אָפענגיקייַטאינסטאַלירן די טיפּאָסקוואַטעד קרייד-טעמפּלאַט דעריבער ציט עס אריין די געשוויסטער טיפאָסקוואַט אויך, און ביידע פּיילאָודז לויפן. די צוויי פּאַקאַדזשאַז זענען אַ קאָאָרדינירטע פּאָר, נישט אומאָפּהענגיקע ליסטינגס.
פאַזע א — קרעדענשאַל / בייַטל גנבֿ (2026-05-15 → איצט)
פאַזע א איז די אָריגינעלע פּיילאָוד. דער לאָדער איז אַ קורץ פּאָסטינסטאַל.דזשעי.עס וואָס ווײַזט אויף אַ סערוועאָ HTTPS ריווערס-טונעל:
דער סערוויאָ סובדאָמעין קאָדירט די דעסטאַניישאַן IP (80.200.28.28) גלייך אין דעם האָסטנאַמע — אַ דערקענטלעכע קאָנווענץ פֿאַר יענעם סערוויס. דער אָפּעראַטאָר ראָטירט דעם ראַנדאָם סובדאָמעין פּרעפיקס צווישן ווערסיעס צו ויסמיידן נאַיווע דאָמעין בלאָקליסטן, אָבער די אונטערלייגנדיקע IP באַוועגט זיך קיינמאָל נישט.קרייד-טעמפּלאַט: 1.0.14 געוויינט 8a3e818ea8f11186-80-200-28-28…; 1.0.16 / 1.0.19 / 1.0.20 ניצן f04a273bd84c0622-….)
פּאָסטינסטאַל.דזשעי.עס הענט אַוועק צו פאַנטאָם.דזשעי.עס., אַ 7,667-ליניע באַנדאַלד "קאָלעקטאָר" מאָדול. פאַנטאָם.דזשעי.עס. גייט דער באַלעבאָס פֿאַר:
SSH פּריוואַטע שליסלען (~/.ssh/*) |
.npmrc אינהאַלט און יעדע npm_* ענוו טאָקענס |
| AWS, GCP, און Azure קרעדענשאַלז טעקעס |
גיטהאב פערזענלעכע-צוטריט-טאקען רעגעקס (ghp_*, gho_*, ghu_*, ghs_*) |
| קריפּטאָ-בייטל אַרטיפאַקץ פֿאַר ביטקאָין, עקסאָדוס, עלעקטרום, מאָנעראָ, לייטקאָין, דאָגעקאָין, זקאַש, דאַש |
א רעקורסיוו .env* גיין דורך ~/projects, ~/dev, ~/code, ~/workspace, און די אינסטאַלירן cwd |
שעל געשיכטעס און די פולע process.env |
דער פּעקל ווערט געשיקט צום סערוואָ טונעל ביי / קלייַבןעס איז נישטאָ קיין פֿאַרנעפּלונג, קיין אַנטי-ווירטועל מאַשינען לאָגיק, קיין סטאַגינג — דער אָפּעראַטאָרס געוועט איז אויף וואָלומען און גיכקייט.
פאַזע ב — פאַנטאָמבאָט די-די-עס רעקרוט (2026-05-17, axois-utils:1.0.9 נאָר)
פאַזע ב' פֿאַרבייט phantom.js + postinstall.js מיט אַן איינציקער טעקע מיטן נאָמען distrube.js (דער טיפּאָ איז דעם אָפּעראַטאָר'ס). דער טריפּלע-הוק סקאַפאָולד אין package.json איז נישט געביטן; דער פּאַקאַדזש האַלט דעם זעלבן נאָמען, סקאָופּ, און ווערסיע-באַמפּ מוסטער. פֿון דרויסן, זעט axois-utils:1.0.9 אויס ווי אַ קליינער המשך צו 1.0.6. אינעווייניק, איז עס אַן אַנדערע מאַלוואַרע משפּחה.
דיסטרוב.דזשעי.עס עפֿנט זיך מיט אַ קאָנפֿיגוראַציע בלאָק וואָס גיט דעם אָפּעראַטאָר'ס אייגענע בראַנדינג נאָמען:
// axois-utils-1.0.9/distrube.js:11-15 |
// Use your localhost.run HTTPS URL (the tunnel handles HTTP internally) |
const C2_HOST = 'b94b6bcfa27554.lhr.life'; // Your localhost.run tunnel |
const C2_PORT = 443; // HTTPS port - tunnel handles SSL |
const BOT_ID = `${os.hostname()}_${Date.now()}_${crypto.randomBytes(4).toString('hex')}`; |
די באַמערקונגען זענען אַדרעסירט צו אַ צוקונפֿטיקן אָפּעראַטאָר וואָס וועט לויפן דעם קיט ("ניצט אייער localhost.run HTTPS URL"). דאָס, פּלוס וואָס קומט לעבן דעם באָט קליענט, איז דער סימן אַז דאָס איז נישט נאָר אַ קרבן פּיילאָוד — דאָס איז דער קיט.
דער פלוס:
- פּערסיסטאַנס לויפט ערשט. דער סקריפּט אינסטאַלירט זיך אין דריי פֿאַרשידענע וועגן פּער אָפּערירן סיסטעם (רעגיסטרי לויפן + סטאַרטאַפּ טעקע + סטשאַסקס אויף ווינדאָוס; קראָנטאַב + פאַנטאָם-באָט.סערוויס סיסטעםד איינהייט + .באַשרק/.זשרק צולייגן + / עטק / רק.לאָקאַל אויף לינוקס; לאָנטשאַגענט קאַם.פאַנטאָם.באָט.פּליסט אויף macOS). דער פּערסיסטענס סערוויס נאָמען און די LaunchAgent לייבל זענען ביידע פאַנטאָם-באָט / קאם.פאַנטאָם.באָט, פון וואַנען קומט אויך דער נאָמען פון דער קאַמפּיין.
- סיסטעם אינפֿאָ עקספֿיל לויפט איין מאל — איין מאל א פינגער-אפדרוק POST צו b94b6bcfa27554.lhr.life:443/collect וואס טראגט האוסטנאמען, פלאטפארמע, ארטש, באנוצער-נאמען, סי-פי-יו/רעם, נעטווארק אינטערפייסעס, פראסעס.ענוו, סי-די-ווי-די, האָמעדיר, נאָדע ווערסיע, און פובליק איי-פי. דאס איז פיל ווייניגער אגרעסיוו ווי פאזע א: קיין עס-עס-עס, קיין וואלעטס, קיין .ענוו רעקורסיע. די באט'ס ארבעט איז צו איינשרייבן, נישט צו גנבענען.
- האַרץ-קלאַפּ שלייף עפֿנט אַן HTTPS POST יעדע 30 סעקונדעס צו b94b6bcfa27554.lhr.life:443/. דער באַניצער-אַגענט איז PhantomBot/1.0. TLS וועריפֿיקאַציע איז עקספּליציט דיסייבאַלד (rejectUnauthorized: false). די C2 ענטפֿער ווערט פּאַרסט ווי JSON פֿון דער פֿאָרעם {type, target, port, duration, threads, method} און פֿאַרשיקט.
- פלאָט אַרסענאַל איז פארבונדן צו זעקס קאמאנדעס:
| טיפּ באַפֿעל | מאָדולעס | נאָטעס |
|---|---|---|
| פּינג | לעבעדיקייט ענטפער | באָט אידענטיפיצירט זיך |
| הטטפּ | HTTP פלאָט | שיכט-7 פארלאנג מבול |
| הטטפּס | HTTPS פלאָט | דאס זעלבע ווי http, TLS-געוויקלט |
| tcp | TCP פלאָט | 65 KB ראַנדאָם-פּיילאָוד ספּאַם |
| פּוד | UDP מבול | 65,507-בייט UDP פּאַקעטן |
| גיך | HTTP/2 שנעל-צוריקשטעלן DoS | די 2023 CVE-2023-44487 טעכניק |
אַלע פֿינף פֿלוט מאָדולן נעמען אַ ציל, פּאָרט, געדויער, און פֿעדעם אַרגומענט — דער באָט איז אַ גענעראַלער פֿאַר-דינגען פֿלידער, נישט געצילט אויף קיין באַזונדערן קרבן. די אָפּעראַטאָר'ס קרבן רשימה איז אויף די C2, נישט אין דער פּאַקעט.
וואָס איז נייַ דאָ — די געשיקטע C2 ביינערי
פאַזע א איז אַ באַקאַנטע פֿאָרעם: קרעדענשאַל גנייווע, אינסטאַלירן קרוק, פֿאַרקויפֿער-טונעלירט C2. פאַזע ב איז אויך אַ באַקאַנטע פֿאָרעם — DDoS באָטנעטס זענען שוין יאָרן אַ טייל פֿון שלעכטע npm פּעקלעך. וואָס איז ומגעוויינטלעך איז אַז דער אָפּעראַטאָר האָט געשיקט די סערווער זייַט פון דעם קיט אינעווייניק פון דעם npm טאַרבאָל:
- c2 — אַ 4-מעגאַבייט קאָמפּילירט גאָו ELF ביינערי
- c2.go — די 426-ליניגע גאָו קוואַל פֿאַר יענעם ביינערי
קיין איינע פון די טעקעס ווערט נישט גערופן דורך קיין אינסטאל הוק. זיי זענען נישט קיין טייל פון די קרבן'ס פּיילאָוד. זיי זיצן אין די פּעקעדזש דירעקטאָרי אויף דעם זעלבן אופן ווי א דאקומענטאציע טעקע וואלט. די מערסט גלייבלעכע לייענונג איז אז דער אפעראטאר האט געשטופט זייער אנטוויקלונג ארבעטס בוים צו npm אן צו קוראטירן די טעקע ליסטע — אן עכטער OpSec טעות — און וואס האט געשיקט איז דער גאנצער צוויי-זייטיגער קיט: דער קליענט וואס א קרבן לויפט, און דער סערווער וואס דער אפעראטאר לויפט.
דאָס איז דער טייל פֿון דער געשיכטע וואָס רעכטפֿערטיקט די "געגרינדע באָטנעט קיט" פֿאָרשטעלונג. ווער עס יז וואָס האָט אַראָפּגעלאָדן axois-utils:1.0.9 פארן אפנעמען האט נישט נאר א קרבן מוסטער — זיי האבן אן ארבעטנדיקן C2 סערווער.
דער דרייפּונקט, אין איין זאַץ
דער זעלבער ארויסגעבער, די זעלבע פּעקל נעמען, דער זעלבער טריפּלע-הוק סקאַפאָולד, דער זעלבער "פאַנטאָם" בראַנדינג - אָבער די פּיילאָוד האט געביטן מאָנעטיזאַציע מאָדעל איבער נאַכטפון "האַרוועסט סודות וואָס איך קען ווידערפאַרקויפן" ביז "דינגען פלאַד קאַפּאַציטעט וואָס איך קען דינגען". די אינסטאַלאַציע-צייט TTPs וואָס דיפענדערס זאָלן היטן זענען כּמעט אידענטיש איבער ביידע פאַזעס; סיגנאַטשער-באזירט דיפענסיז שליסל צו פאַזע A ס וואָלאַט-פּאַט סטרינגס אָדער צו פאַנטאָם.דזשעי.עס.'ס 7,667-ליניע זאַמלער וואָלט האָבן פאַרפעלט פאַזע ב אינגאַנצן.
| דאַטע (UTC) | געשעעניש |
|---|---|
| 2026-05-15 | ערשטע פובליקאציע: axois-utils:1.0.4 (לאַן טעסט בילד, דעוועלאָפּער ריג ביי 192.168.129.19) |
| 2026-05-15 | axois-utils:1.0.6 ארויסגעגעבן — פאַזע א C2 אויסגעטוישט צו 80.200.28.28 דורך סערוועאָ טונעל; דער מקור באַמערקונג // Change to '80.200.28.28' for public באַשטעטיקט דעם דעוו→פּראָד סוואַפּ |
| 2026-05-16 | chalk-tempalte:1.0.14 און 1.0.16 ארויסגעגעבן — קייטן לאדער דערקלערט axois-utils:^1.0.7 אלס א ראַנטיים דעפּענדענסי; סערוועאָ סובדאָמעין ראָטירט |
| 2026-05-16 | פאַזע א קאַמפּיין אַנטדעקט בעת רוטינע npm סקאַנינג; באַשטעטיקט-בייזליגע אורטיילן אַפּליצירט |
| 2026-05-17 | axois-utils:1.0.9 ארויסגעגעבן — פּיילאָוד פּיוואַט: PhantomBot DDoS רעקרוט דורך localhost.run טונעל; אָפּעראַטאָר-זייט c2 ביינערי און c2.go מקור געשיקט אין דעם טאַרבאָל |
| 2026-05-17 | chalk-tempalte:1.0.19 און 1.0.20 ארויסגעגעבן — נאך אלץ פאַזע א (גנב); אפעראַטאָר לויפט איצט ביידע מאָדולן אין פּאַראַלעל |
| 2026-05-17 | אנטדעקונג פון פאַזע ב בעת רוטין סקאַנינג; ווערדיקטן געווענדט איבער אַלע 2026-05-17 ווערסיעס |
| (אָנגאָינג) | אַראָפּנעמען באַריכטן וואַרטן; אַלע פֿיר פֿאַרעפֿנטלעכטע פּעקלעך זענען נאָך פֿאַראַן אויף דער רעגיסטרי אין דער צייט פֿון שרייבן |
ינדיקאַטאָרס פון קאָמפּראָמיס
פּאַקקאַגעס
| יקאָוסיסטאַם | פּעקל | ווערסיעס |
|---|---|---|
| npm | axois-utils (טיפּאָסקוואַט פון אַקסיאָס) | 1.0.4, 1.0.6, 1.0.9 |
| npm | chalk-tempalte (טיפּאָסקוואַט פון קרייַד-טעמפּלאַט) | 1.0.14, 1.0.16, 1.0.19, 1.0.20 |
מחבר אידענטיטעט
| פעלד | ווערט |
|---|---|
| npm ארויסגעבער | deadcode09284814 |
| ארויסגעבער אימעיל | phantomdeadcode@tutamail.com |
| SCM verification | גאָרניט |
באַפֿעלן-און-קאָנטראָל
| פאַסע | Endpoint | אַריבערפירן |
|---|---|---|
| A | f04a273bd84c0622-80-200-28-28.serveousercontent.com:443/collect | סערוועאָ HTTPS טונעל |
| A | 8a3e818ea8f11186-80-200-28-28.serveousercontent.com:443/collect | סערוועאָ HTTPS טונעל (פריערע ווערסיע) |
| A | 80.200.28.28:443/collect | אונטערלייגנדיק VPS ענדפּוינט |
| B | b94b6bcfa27554.lhr.life:443/ | לאקאלהאָסט.ראַן HTTPS ריווערס-טונעל |
טעקע דיידזשעסטס (SHA-256)
| טעקע | SHA-256 | נאָטעס |
|---|---|---|
c2 (גיי עלף, 4 מעגאבייט) | 165fa92d237fd017c227d00da06ab788212a62be94bf61e95df2d22d00377ef2 | אָפּעראַטאָר-זייַט C2 סערווער, געשיקט אינעווייניק axois-utils:1.0.9 |
c2.go (426 שורות) | 7d0ae79fdb1e9968f3323a3712b624643a782ba3efb2cf3a2cb9c4c5513cea30 | גיי קוואַל פֿאַר די C2 ביינערי |
distrube.js | 308b15c023088a7188dea4ef609010ac2493eb4c365b103053d7621a9ca5b935 | פאַזע ב באָט קליענט |
phantom.js (chalk-tempalte:1.0.19) | 9e380ec88d3ccf3929e1a104e3b868d4d7b59ca189a8a431a54e9f3357dfdd81 | פאַזע א קרעדענשאַל / בייַטל קאַלעקטאָר |
phantom.js (chalk-tempalte:1.0.20) | d1c9e3f296ee9f7d5032f73f9c504cede50334bc14c394055fd5cb9c3a6e08b3 | פאַזע א קאָלעקטאָר (1.0.20 וואַריאַנט) |
postinstall.js (chalk-tempalte:1.0.19 = 1.0.20) | ffba9bdd6793edd5b38e12900252c1813a693f59c25af51c3b658cf3f27b6162 | פאַזע א לאָדער, בייט-ידענטיש אַריבער ביידע ווערסיעס |
צושרייבונג און מאָטיוואַציע
מיר פֿאָלגן דעם קאַמפּיין ווי PhantomBot, נעמענדיג דעם אפעראטאר'ס אייגענע ברענדינג פון די באַניצער-אַגענט: פאַנטאָמבאָט/1.0 האַרץ-קלאַפּ כעדער, די פאַנטאָם-באָט.סערוויס סיסטעםד איינהייט, די קאם.פאַנטאָם.באָט LaunchAgent לייבל, און די פאַנטאָם דעדקאָוד@ אימעיל אַדרעס. דער אָפּעראַטאָר איז קאָנסיסטענט וועגן דעם נאָמען אַריבער לפּחות פיר אַרטיפאַקץ.
סיגנאַלן קאַטאַלאָג
- פאַרלעגער - דעדקאד09284814 אויף npm. איין-הענדל אקאונט, טוטומאיל איין-מאל-אימעיל, ניין SCM וועריפיקאציע. קיין פריערדיגע פובליקאציע געשיכטע ווייטער פון דעם קאמפיין.
- בראַנדינג ווידער-ניצן — "פאַנטאָם" דערשיינט אין דעם ארויסגעבער'ס אימעיל, אין דעם פאַזע א קאָלעקטאָר'ס טעקע נאָמען (פאַנטאָם.דזשעי.עס.), אין דעם פאַזע ב פּערסיסטענס סערוויס נאָמען (פאַנטאָם-באָט.סערוויס), אין די LaunchAgent לייבל (קאם.פאַנטאָם.באָט), און אין דעם באָט באַניצער-אַגענט (פאַנטאָמבאָט/1.0).
- ינפראַסטראַקטשער — איין VPS ביי 80.200.28.28 פראנטירט פאַזע א דורך סערוועאָ סובדאָמעין ראָטאַציע; פאַזע ב באַוועגט זיך צו א לאקאלהאָסט.ראַן פאַרקערט-טונעל (b94b6bcfa27554.lhr.lifeביידע פארקויפער סערוויסעס זענען פריי און פארלאנגען נאר ארויסגייענדיקע SSH אויף דער אפעראטאר'ס זייט, וואס איז אין איינקלאנג מיט נידעריק-בודזשעט, נידעריק-OpSec סעטאַפּס.
- קאָד נוסח — פּשוט דזשאַוואַסקריפּט איבעראל; קיין פֿאַרשטויכונג, קיין סטרינג ענקאָודינג, קיין אַנטי-ווירטועל מאַשינען. וואַריאַבלע נעמען זענען דיסקריפּטיוו (גנבענען סיסטעם אינפֿאָ, אויספירן קאמאנד, httpפלאָט). באַמערקונגען אין דיסטרוב.דזשעי.עס דירעקט אַדרעסירן אַ צוקונפֿטיקן אָפּעראַטאָר ("ניצט אייער localhost.run HTTPS URL"), וואָס טייַטשט אַז די טעקע איז געווען בדעה צו ווערן ווידער-פאַרשפּרייט ווי אַ קיט, נישט געניצט דורך אַן איינציקן אַטאַקער.
- אָפּסעק גליטש — די פאַזע ב טאַרבאָל שיקט ביידע דעם באָט קליענט און דעם אָפּעראַטאָר-זייַט C2 סערווער (c2 עלף + c2.go מקור). דאָס איז קאָנסיסטענט מיט אַן אָפּעראַטאָר וואָס האָט געשטופּט זײַן אַרבעטס־בוים צו npm אָן אויספֿאָרשן די טעקע־ליסטע. אָדער איז דער אָפּעראַטאָר נישט־ערפֿאַרן, אָדער איז דער קיט נישט־ערפֿאַרן. מענט צו ווערן פארשפרייט עפנטלעך און די C2 ביינערי איז טייל פון דעם פראדוקט.
- זעלבסט-באשטעטיקונג - axois-utils:1.0.4 אנטהאלט דעם מקור קאמענטאר // טוישן צו '80.200.28.28' פארן פובליק אויף ליניע 12, באשטעטיגנדיג די אנטוויקלונג / סטעידזשינג / פראדוקציע פראגרעסיע וואס אפעראטארן טיפיש לייקענען.
מאָוטאַוויישאַן
די פאַזע א פּיילאָוד איז פּשוט פינאַנציעלע גנייווע: קרעדענשאַלז, וואָלקן שליסלען, גיטהאַב טאָקענס, און קריפּטאָ וואָלאַץ האָבן אַלע ליקוויד ווידערפאַרקויף מאַרקן. פאַזע ב איז אויך פינאַנציעל, אָבער אומדירעקט: די-די-עס-פֿאַר-דינגען ("בוטער") באַדינונגען דינגען איבערפלוס קאַפּאַציטעט יעדע מינוט, און באָץ ווי דער וואָס ווערט דאָ געשיקט זענען דער אינווענטאַר אויף וואָס די באַדינונגען לויפן. דער 30-סעקונדע האַרץ-קלאַפּ, דער אַלגעמיינער... ציל/פּאָרט/געדויער באַפֿעל סכעמע, און די פינף-פּראָטאָקאָל פלאַד אַרסענאַל זענען די standard פּראָדוקט פֿון אַ בוטער אָפּעראַטאָר.
לויפן ביידע מאָדולן אין פּאַראַלעל — קרייד-טעמפּלאַט: 1.0.19 און 1.0.20 פאָרזעצן צו שיקן דעם גנב בשעת axois-utils:1.0.9 שיקט דעם באָט — סאַגדזשעסטירט אַז דער אָפּעראַטאָר באַהאַלט די רעוועך סטרימז אַנשטאָט אָפּצולאָזן פאַזע א. די פּיוואַט איז אַ דערצו, נישט קיין ערזאץ.
וואָס מיר טוען נישט
מיר האָבן נישט געקענט באַשטעטיקן אַן עכטע-וועלט אידענטיטעט הינטער דעם דעדקאד09284814 הענטל, און מיר צושרייבן נישט די קאמפיין צו קיין בארימטע סכנה אקטאר, גרופע, אדער לאנד. די "פאנטאם" בראנדינג איז קאנסיסטענט גענוג איבער ארטיפאקטן צו סאגדזשעסטירן אן איינציקער אפעראטאר, אבער די קיט-סטיל שיפינג פון די C2 ביינערי לאזט אפן די מעגלעכקייט אז צוקונפטיגע פעקלעך פון נישט-פארבונדענע הענטלעך וועלן ווידער-ניצן דעם זעלבן קאוד.
השפּעה, טרענדס און וואָס פֿאַרטיידיקער זאָלן טאָן
פּראַל
די לעגיטימע סקוואַט צילן אַקסיאָס און קרייד-טעמפּלאַט זענען ברייט אָפענגיק אין די דזשאַוואַסקריפּט עקאָסיסטעם; אַקסיאָס אליין איז צווישן די דרייסיק מערסט-אראפגעלאדענע npm פעקלעך. די טיפאסקוואט נעמען זענען איין קלאַוויאַטור אַוועק פון די עכטע (אַקסאָיס ↔ אַקסיאָס, טעמפּאַלטע ↔ מוסטער), און ביידע זענען לינגוויסטיש גלייבלעכע פאַלשע שרייבונגען.
מיר האָבן נישט געקענט באַקומען פאַרלעסלעכע דאַונלאָוד סטאַטיסטיק פֿאַר די בייזע ווערסיעס איידער מיר האָבן עס אַראָפּגענומען — npm האַלט נישט די דאַונלאָוד ציילן פּער ווערסיע נאָכדעם וואָס אַ פּעקל ווערט נישט פאַרעפֿנטלעכט, און npms.io-סטיל פראקסיז זענען גערוישפול אויף דעם פארנעם. יעדע ארגאניזאציע וועמענס לאקפייל רעזאלווירט צו א פעקל מיטן נאמען אַקסאָיס-יוטילס or קרייד-טעמפּלאַטע פֿון פֿאַרלעגער דעדקאד09284814 זאָל באַהאַנדלט ווערן ווי קאָמפּראָמיטירט: ראָטירן יעדן קרעדענשאַל וואָס איז פאַראַן אין פּראָצעס.ענוו אויף דעם באַטראָפענעם האָסט, אָדיטירן פּערסיסטענס וועקטאָרן פּער אָפּערייטינג סיסטעם (זען "וואָס דיפענדערז זאָלן טאָן" אונטן), און אַראָפּנעמען די דעפּענדענסי.
ימערדזשינג פּאַטערנז
די קאמפיין איז א ביישפּיל פון א ענדערונג וואָס מיר האָבן געזען אין עטלעכע לעצטיגע npm אינצידענטן: דער אינסטאַל-הוק סקאַפפאָלד איז דער דויערהאפטיקער אַסעט; די פּיילאָוד איז אויסטוישלעךדער זעלבער ארויסגעבער, דער זעלבער פּעקל, דער זעלבער פאַר-אינסטאַלירן / ינסטאַלירן / נאָך-אינסטאַלירן טריפל, און אפילו די זעלבע ווערסיע-בומפּ קאַדענס — די איינציקע זאַך וואָס האָט זיך געביטן צווישן axois-utils:1.0.6 און axois-utils:1.0.9 איז געווען די טעקע די hooks לויפן. אונטערשריפט-באזירטע דעטעקציע צוגעפאסט צו די פאזע א פּיילאָוד (וואָלאַט-פּאַד סטרינגס, פאַנטאָם.דזשעי.עס.'ס 7,667-ליניע זאַמלער, דער סערוויאָ C2 באַלעבאָס) וואָלט אָנגעוויזן די ערשטע דריי ווערסיעס און גאָר פאַרפעלט פאַזע ב.
דער זעלבער מוסטער איז קענטיק אין אנדערע 2026 קאמפיינס וואס מיר האבן נאכגעפאלגט: אן איינציקער אפעראטאר מיט א סטאבילן סקאפפאלד, וואס טוישט צווישן קרעדענשעל גנייווע, עקזאמען-שווינדל קליענטן, טעלעגראם-באט עקספיל, און יעצט DDoS רעקרוטמענט. פארטיידיקער וואס פארלאזן זיך אויף פּיילאָוד סיגנאטורן וועלן פארלירן די צווייטע רונדע פון יעדער קאמפיין.
דער רעזולטאַט איז אַז אינסטאַלאַציע-צייט TTPs זענען די בעסערע סיגנאַלטריפל אינסטאל-הוק דעקלעראציעס, אינסטאל סקריפטן וואס אימפארטירן הטטפּס or קינד_פּראָסעס, אינסטאַלירן סקריפּטן וואָס שרייבן צו באַניצער-סטאַרטאַפּ טעקעס, און אינסטאַלירן סקריפּטן וואָס סאָלווען האָסטנעמען אויף פריי ריווערס-טונעל באַדינונגען (סערוועאָ, לאקאלהאָסט.ראַן, ngrok, cloudflared) זענען אלע זעלטן אין לעגיטימע פּעקלעך און געוויינטלעך אין בייזע.
וואָס פֿאַרטיידיקער זאָלן טאָן
- לאקפייל אוידיט. זוכן יעדן פּעקל-lock.json / יאַרן.שלאָס / pnpm-lock.yaml אין אייער אָרגאַניזאַציע פֿאַר די גענויע סטרינגס אַקסאָיס-יוטילס און קרייד-טעמפּלאַטעבאַהאַנדלט יעדן שידוך ווי אַ קאָמפּראָמיס.
- דרייען סודות אויף אַפעקטירטע באַלעבאָטים. פאַזע א גרויס-געזאמלטע SSH, וואָלקן, GitHub, npm, און וואָלאַט קרעדענשאַלז. אננעמען יעדע קרעדענשאַל וואָס איז אלץ פאַראַן אין פּראָצעס.ענוו, ~/.שש, ~/.אווס, ~/.npmrc, ~ / .config, אָדער קיין .ענוו* די טעקע אויף דעם באטראפענעם האוסט איז אויסגעשטעלט.
- אַראָפּנעמען די אָנהאַלטונג (פֿאַזע ב). אויף ווינדאָוס, אויסמעקן HKCU\סאָפטווער\מייקראָסאָפֿט\ווינדאָוס\קראַנטווערסיע\לויפֿן\סיסטעםאַפּדייט, אַראָפּנעמען %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\system-update.bat, און schtasks /delete /tn סיסטעם אַפּדייט /fאויף לינוקס, crontab -e און אַראָפּנעמען @reboot נאָדע …, סיסטעםקטל –באַניצער דיסייבאַל –איצט פאַנטאָם-באָט.סערוויס דעמאָלט ויסמעקן ~/.קאָנפֿיג/סיסטעםד/באַניצער/פֿאַנטאָם-באָט.סערוויס, רייַבן .באַשרק / .זשרק / / עטק / רק.לאָקאַלאויף macOS, לאָנטשקטל אַנלאָוד ~/ביבליאָטעק/לאָנטשאַגענטן/קאָם.פאַנטאָם.באָט.פּליסט דערנאך אויסמעקן דעם plist.
- בלאקירן די C2 האוסטס. לייג צו די פיר C2 ענדפונקטן אין דער IOC טאבעלע צו אייער ארויסגאנג בלאקליסט. *.סערוואָוסערקאָנטענט.קאָם און *.lhr.לעבן קען ווערן בלאקירט גראָס אויב אייער סביבה האט נישט קיין לעגיטימע נוץ פאר ריווערס-טונעל סערוויסעס.
- זוכן לויט אינסטאַלאַציע-צייט TTP, נישט פּיילאָוד. אינווענטאַר שלאָספֿייל איינטראַגעס וועמענס package.json דערקלערט פאַר-אינסטאַלירן, ינסטאַלירן, און נאָך-אינסטאַלירן אַלע ווײַזן אויף דעם זעלבן סקריפּט. קאָנטראָלירט קעגן דעם פּעקעדזש עלטער און דעם פאַרלעגער וועריפיקאַציע סטאַטוס. דאָס מוסטער איז זעלטן אין לעגיטימע פּעקעדזשעס און איז דער איינציקער מערסט פאַרלעסלעכער סיגנאַל וואָס PhantomBot ניצט ווידער.
- אוידיט פארן C2 ביינערי. ווער עס יז וואס האט אראפגעלאדן axois-utils:1.0.9 האט דעם אָפּעראַטאָר'ס C2 סערווער (c2 עלף, שא256 165fa92d…) אויף דיסק. סקענט קעשעס און CI ארטיפאקטן סטארס. די ביינערי איז שלאפענד אליין, אבער איר אנוועזנהייט אויף א ווארקסטאציע איז אן אומבאדייטנדיקער באווייז אז דער פעקל איז אינסטאלירט געווארן.
שליסנדיקע ליניע
דער זעלבער אָפּעראַטאָר, דער זעלבער פּעקל, און דער זעלבער אינסטאַל הוק קען ברענגען גאָר אַנדערע סכנות אין 48 שעה. היט זיך אויף דעם סקאַפאָלד, נישט אויף דעם פּיילאָוד.
