AuditorTrap: Ẹgbẹ́ Ààbò Crypto Àìròtẹ́ 22 kan lórí npm pẹ̀lú Àwọn Iṣẹ́ Àfikún Méjì

akede

• orúkọ olùlò npm: ddjidd5640
  
• imeeli: 1623682356@qq.com (kò tíì jẹ́rìí sí i)
  
• Imeeli ati SCM ijerisi: kò sí
  
• Àwọn páálí tí a kọ sílẹ̀ lábẹ́ àkọọ́lẹ̀: 22, gbogbo wọn ni a kọ sí inú àkójọ ìwé tí ó wà lókè yìí
  
• Iṣẹ́ àkọ́kọ́ tí a lè rí: olùṣàyẹ̀wò kọ́kọ́rọ́-ẹlẹ́sẹ̀:0.2.3 (Iyatọ A)
• Iṣẹ́ tuntun tí a lè rí: chain-key-validator:0.2.3 àti crypto-credential-scanner:2.0.2 (méjèjì láàrín wákàtí mẹ́rìnlélógún ṣáájú kíkọ yìí tó bẹ̀rẹ̀)

Àwọn iwájú àmì ìtajà (tí a lò nínú onkowe / README / org GH èké)

• “Ìgbìmọ̀ Ààbò Crypto” — tí GitHub org òfo ṣe àtìlẹ́yìn rẹ̀ ẹgbẹ́ cryptosec
  
• “Web3 Audit Collective” — tí GitHub org òfo ṣe àtìlẹ́yìn rẹ̀ w3ayẹ̀wò
  
• “DeFi Security Alliance” — tí GitHub org òfo ṣe àtìlẹ́yìn rẹ̀ ààbò-defi
• Àkọọ́lẹ̀ GH ìtọ́kasí ddjidd564 — olùgbàlejò dynamic-webhook config.json

Ihuwasi

• nódù -e kika lẹhin fifi sori ẹrọ eyikeyi ninu .ssh, .ethereum, .bitcoin, .env, .bash_itan, ìtàn_zsh, Àwọn ìwé ẹ̀rí .git pẹlu .slice(0, 200) ati sisopọ pẹlu | àwọn ìpínyà jẹ́ ìka ọwọ́ tó fẹ́rẹ̀ẹ́ yàtọ̀ fún Variant A.
  
• Akowọle ./scanner.js láti inú àpò tí ó fi ara rẹ̀ sílẹ̀ gẹ́gẹ́ bí MCP Server pẹlu awọn irinṣẹ ti a npè ni search_leaked_credits tàbí àwọn ọ̀rọ̀ ìṣe “àyẹ̀wò ààbò” tí a fi ṣe àgbékalẹ̀ rẹ̀ bákan náà jẹ́ ìfìdíkalẹ̀ Variant-A.
• Nọ́mbà -e postinstall tí ó ń gba láti ọ̀dọ̀ èyíkéyìí olùgbàlejò *.run.pinggy-free.link tí ó sì ń fi ìdáhùn náà sínú child_process.exec jẹ́ ìjẹ́rìí Variant-B láìka ìbòrí náà sí.

Ìfọkànsí àti Ìṣírí

Ó tó fún ìka ìtẹ̀wé díẹ̀, kò sì tó fún ìdámọ̀ gidi. 1623682356@qq.com Àdírẹ́sì ìmeeli QQ ni — ìmeeli wẹ́ẹ̀bù ọ̀fẹ́ Tencent, tí ó gbajúmọ̀ ní orílẹ̀-èdè China — àti pé apá ìbílẹ̀ ni nọ́mbà ID olùlò QQ; a kà èyí sí àmì ìrọ̀rùn nìkan, nítorí pé àwọn àdírẹ́sì ìrísí QQ ni a forúkọ sílẹ̀ láìsí ìwádìí díẹ̀. Àkọọ́lẹ̀ npm kò ní ìfihàn onípele méjì, kò sí ìmeeli tí a fìdí rẹ̀ múlẹ̀, kò sí ìfìdí rẹ̀ múlẹ̀ SCM ìjápọ̀. “Ẹgbẹ́ Ààbò Crypto” / “Web3 Audit Collective” / “DeFi Security Alliance” jẹ́ àmì ìtajà oníṣòwò — kò sí ọ̀kan lára ​​àwọn mẹ́ta tí ó wà níta ìpolongo yìí — àti àwọn àjọ GitHub tí ó ń tì lẹ́yìn jẹ́ àwọn ìkarahun òfo tí a ṣẹ̀dá láti kún àwọn ìjápọ̀ ojú ìwé npm.

Àwọn àpẹẹrẹ méjì ló yẹ kí a dárúkọ, nítorí wọ́n máa ń fara hàn nínú àwọn ìpolongo tó wà ní ẹ̀gbẹ́ wọn. Èkíní ni ìṣètò àmì-ìdámọ̀ gẹ́gẹ́ bí ẹ̀rí àwùjọ: olùṣiṣẹ́ náà kò yan àwọn orúkọ iṣẹ́ tó wà tẹ́lẹ̀ láti fi ṣe àṣìṣe; wọ́n ṣe ìtàn ìgbẹ́kẹ̀lé gbogbo láti ìbẹ̀rẹ̀, wọ́n mọ̀ pé Ìkọ́lé aṣojú AI pipeline tàbí olùgbékalẹ̀ tí ó yára ṣe àyẹ̀wò ojú ìwé npm yóò bá ìlànà mu lórí “ó dàbí àjọ ààbò” dípò “jẹ́ àjọ ààbò”. Ọ̀nà kan náà ni ìwé tí ó kìlọ̀ nípa rẹ̀ nípa rẹ̀ — àwọn ìdìpọ̀ tí a ṣe àtúnṣe sí irú orúkọ tí LLM yóò máa lò pilẹ Tí a bá béèrè fún ohun èlò ààbò Web3, a wọ aṣọ dáadáa tó bẹ́ẹ̀ tí LLM kò fi ní ṣàyẹ̀wò lẹ́ẹ̀mejì. Slopsquatting ni orúkọ tí a ṣẹ̀ṣẹ̀ dá sílẹ̀ fún àwọn àpò ìbàjẹ́ tí orúkọ wọn bá àwọn àpò ìpamọ́ LLM mu nígbà tí àpò ìpamọ́ kan kò bá sí; ìpolongo yìí jẹ́ ìbátan rẹ̀ tó lágbára jù, níbi tí olùṣiṣẹ́ náà tún ń ṣe àgbékalẹ̀ àjọ tí ó ní ààyè náà yóò jẹ́ ti.

Àpẹẹrẹ kejì ni Ìmúṣiṣẹ́ àkókò MCP. Ni asiko scanner.js Àwọn tó ń ṣiṣẹ́, ìfisílẹ̀ ti parí, olùgbékalẹ̀ náà sì ti tẹ̀síwájú. Ohun tó ń fa ìṣòro náà ni aṣojú AI tó ń pe ohun èlò kan — search_leaked_credits, nínú ọ̀ràn Variant-A — èyí tí aṣojú náà yóò ṣe pátápátá, nítorí pé ìyẹn ni gbogbo ìdí tí a fi fún un ní àpò náà. Iṣẹ́ ibi náà ń ṣẹlẹ̀ nígbà náà ti o dara apakan ti iṣiṣẹ naa, nigbati olupilẹṣẹ naa yoo rii oluranlọwọ AI wọn ti o ṣaṣeyọri ni iṣẹ ti wọn beere fun. O jẹ iyipada ihuwasi kekere lati “exfil on” atijọ. npm fi sori ẹrọ"àwòrán, ó sì yẹra fún yíyan àpótí ìfipamọ́ àkókò tí a fi ń ṣe é.

A kò dárúkọ ẹni tó ń ṣe ewu. Àwọn àmì náà (ìmeeli QQ, àkọọ́lẹ̀ kan ṣoṣo, ìbúgbàù àpò 22 ọjọ́ kan, àwọn ìdìpọ̀ C2 méjì tí ó jọra) bára mu pẹ̀lú olùṣiṣẹ́ kan tí ó dúró ṣinṣin, ẹgbẹ́ kékeré kan, tàbí ọ̀kan lára ​​àwọn òṣìṣẹ́ ìkún omi tí ó ti hàn gbangba nínú telemetry npm títí di ọdún 2025–2026. Ohun tí a ń ṣe le A sọ pé olùṣiṣẹ́ yìí ní ètò ìṣẹ̀dá tí ó ṣe kedere (Ethereum + Solana + Foundry/Hardhat tooling), olùfaragbá tí ó ṣe kedere (àwọn olùgbékalẹ̀ Web3 àti àwọn aṣojú AI tí wọ́n ń ṣiṣẹ́ lórí àwọn iṣẹ́ àgbékalẹ̀ Web3), àti àpẹẹrẹ ìfaradà tí ó ṣe kedere (ìfagbára àkókò MCP pẹ̀lú ìfàsẹ́yìn binary tí a yà sọ́tọ̀).

Ipa, Awọn aṣa, ati Ohun ti Awọn Olugbeja Le Ṣe

Ìkìlọ̀ wa ní ìbẹ̀rẹ̀ pipeline mu 8 of 22 Àwọn ìdìpọ̀ náà ní gbogbo ìgbà tí ìpolongo náà ti wà—mẹ́fà ní ìgbìyànjú àkọ́kọ́ àti méjì mìíràn tí ó dé lẹ́yìn náà ní ọjọ́ kan náà nígbà ìdìpọ̀ ìpolongo náà. Àwọn ìdìpọ̀ mẹ́rìnlá yòókù wà lórí npm fún ọjọ́ mélòó kan. láìsí pé a rí i nínú èyíkéyìí nínú àwọn ìṣàyẹ̀wò tí a ń ṣe àbójútó, àti ní àkókò ìkọ̀wé náà, ó ṣì ṣeé fi sori ẹrọ. Ààlà yẹn ṣe pàtàkì nítorí pé:

• Iyatọ A ko dakẹ lakoko fifi sori ẹrọ. Kíkà àkójọpọ̀ náà máa ń ṣẹlẹ̀, ṣùgbọ́n ìfiranṣẹ́ púpọ̀ náà máa ń tàn nígbà tí aṣojú AI bá lo àwọn irinṣẹ́ MCP ti àpò náà. standard àpótí ìforúkọsílẹ̀-wíwo àpótí ìsandọ́ọ̀kì yóò rí i nódù -e dí i kí o sì pinnu pé ó kéré, ó sì hàn gbangba pé kò ní ìlera.
  
• Ìyàtọ̀ B jẹ́ ìlà kan ṣoṣo. Kò sí ohun tí olùpín malware lè kọ́ láti inú rẹ̀ — kò sí ìbòjú, kò sí ẹrù ìpamọ́ tí a fi àmì sí, kò sí domain tí ó dàbí ẹni pé ó fura sí. Ihò Pinggy jẹ́ iṣẹ́ olùgbékalẹ̀ tó tọ́. Ohun kan ṣoṣo tí ó fura sí ni pé “olùrànlọ́wọ́ ìṣètò” gbọ́dọ̀ pe ilé rárá.
  
• Iyatọ C dabi ẹni ti o mọ patapata. Ko si fifi sori ẹrọ hooksNípa gbogbo àmì àìdúró, ó jẹ́ ohun tí ó wọ́pọ̀.