Latar belakang

Muat turun model besar sumber terbuka, anda biasanya bimbang sama ada ia boleh berfungsi dengan baik atau sama ada timbangan itu asli. Sekarang, kebimbangan sebenar bersembunyi di tempat lain: sebuah repositori yang menyatakan mempunyai 27B parameter, tetapi yang anda terima hanyalah 487 KB—ia tidak mengandungi timbangan, tetapi kuda Troy pencuri data.

Pada 20 Ogos 2026, repositori GitHub unburdened-jackinthebox365/qwen38-uncensored menghantar fail bernama uncensored_qwen_v2.6.zip, berukuran 487,153 bait, ke dalam direktori assets/. Repositori ini membungkusnya hampir tanpa cela: halaman utama menyatakan menyediakan bobot terkuantiti lokal untuk Qwen 3.8 27B, README menekankan operasi sepenuhnya luar talian, tanpa telemetri, dan data tidak keluar dari peranti tempatan—setiap ayat tepat menyasar pengguna model tempatan. Empat hari kemudian, pada 24 Ogos, README diubah sekali lagi—butang muat turun, pautan muat turun dalam teks, serta dua pautan luar yang sebelumnya mengarah ke laman web rasmi Ollama dan LM Studio, semuanya diubah untuk mengarah ke alamat raw ZIP yang sama.

Sampai sini, kelemahan sudah jelas. Model kuantisasi Q4_K_M dengan 27B parameter biasanya memerlukan lebih dari 16 GB apabila disimpan, dan petunjuk yang dicetak oleh bin/install.cjs yang disediakan oleh repositori juga menyatakan sekitar 16.8 GB. Namun, aset yang sebenarnya diterima hanyalah 487 KB, dan setelah diekstrak hanya terdapat tiga fail—Application.cmd, util.exe, dan cert.txt—tanpa sebarang timbangan GGUF.

Berdasarkan ini, kami menyimpulkan bahawa ini adalah repositori palsu yang menyamar sebagai Qwen untuk menyebarkan fail; projek rasmi Qwen tidak diserang. Skrip pemasangan Node.js dalam repositori kelihatan melaksanakan alur 'tulis Modelfile → panggil ollama create', tetapi tidak telah diverifikasi secara dinamik dalam kes ini; kod utama repositori mengekalkan rupa projek biasa, manakala ZIP jahat dikirim sebagai aset di dalam assets/. Hanya memeriksa kod sumber biasa tanpa membongkar aset yang dimuat turun mungkin melewatkan saluran masuk ini.

Tulisan ini berdasarkan bukti statik dan tidak menjalankan sebarang sampel. Permintaan C2 direplikasi menggunakan data hos simulasi, hanya membaca respons dan memuat turun beban, tanpa menjalankan kandungan yang dimuat turun, juga tidak mengakses endpoint muat naik akhir; pernyataan tingkah laku dalam tulisan ini merujuk kepada kehadiran implementasi atau laluan panggilan yang sepadan dalam kod, dan tidak bermakna operasi tersebut telah berlaku di hos sebenar.

MistEye respons

MistEye ialah sistem intelijen ancaman Web3 dan pemantauan keselamatan dinamik yang dikembangkan secara mandiri oleh SlowMist, yang menggabungkan kemampuan pemantauan keselamatan dan agregasi intelijen untuk memberikan amaran risiko serta perlindungan aset secara real-time kepada pengguna.

Dalam insiden ini, MistEye menjalankan analisis statik terhadap gudang jebakan, aset yang dimuat turun, dan beban seterusnya, menggunakan maklumat hos simulasi untuk mereplikasi permintaan C2, menyimpan respons dan bukti muat turun, serta memulihkan rantai penghantaran berperingkat dan mengekstrak IOC rangkaian dan fail. Pada 26 Ogos, ketersediaan C2 dan pergantian fasiliti pengagihan telah diperiksa semula, selain itu, perbandingan tingkah laku luar talian dilakukan terhadap 29 fail ZIP sejenis yang tersebar di 23 gudang. IOC berkaitan telah diintegrasikan ke dalam enjin pengesanan ancaman MistEye.

Berikut adalah analisis teknikal terperinci.

Tiga fail dalam pakej muat turun 487 KB

Kandungan seluruh Application.cmd adalah satu perintah:

mulai util.exe cert.txt

Mengandungi 25 bait termasuk tanda baris baru. Ia tidak membongkar model, tidak memanggil Ollama, hanya membiarkan util.exe di direktori yang sama membaca fail teks, dan kuasa dialihkan kepada skrip Lua dalam cert.txt. Tiada fail lain dalam arkib; ketiga-tiganya adalah keseluruhan kandungan.

util.exe mempunyai saiz 759,808 bait dan merupakan interpreter LuaJIT 2.1 yang telah diubah nama. LuaJIT sendiri merupakan runtime Lua yang digunakan secara meluas oleh perisian sah. Laluan PDB yang tersisa dalam PE menunjukkan D:\a\defold\...\luajit.pdb, yang merujuk kepada hasil pembungkusan Defold Game Engine. Analisis statik tidak mendapati sebarang tingkah laku jahat yang tidak bergantung pada skrip dalam util.exe; fail ini hanya bertanggungjawab untuk menjalankan Lua yang telah dikacaukan dalam direktori yang sama.

Nama cert.txt kelihatan seperti sijil, tetapi kandungannya adalah satu baris Lua sepanjang 182,116 bait. Skrip keseluruhan tidak mempunyai jarak baris baru, semua string dipecahkan menjadi pelarian desimal dan panggilan jadual, sehingga membaca secara langsung hanya menunjukkan rangkaian nombor dan nama pemboleh ubah pendek. Berikut adalah sebahagian kecil permulaan fail, diatur semula mengikut pernyataan untuk kemudahan pembacaan, dan dipotong dengan titik tiga:

Dua fungsi pertama bertanggung jawab untuk mengambil karakter berdasarkan indeks dan menyusun semula urutannya, manakala baris ketiga memulakan jadual string yang telah dipecahkan. Ratusan string teks biasa dalam skrip disimpan dalam bentuk ini dan baru disusun semula menjadi bentuk asalnya semasa dijalankan.

Titik masuk risiko oleh itu bukan pada apa yang disebut sebagai program model. Pakej kompres menyediakan interpreter am dan satu fail teks, dengan logik jahat seluruhnya terletak di dalam cert.txt.

C2 telah melengkapkan rantai penempatan seterusnya

Selepas didekripsi secara luar talian, struktur cert.txt menjadi jelas. Ia menyimpan jadual string yang terdiri daripada ratusan entri, di mana semua teks biasa dipecahkan menjadi pelarian nombor dan dipulihkan secara per-byte semasa runtime. Skrip menggunakan LuaJIT FFI untuk menganalisis dan memanggil API Windows seperti VirtualAlloc dan CreateThread.

Loader ini membawa nombor 845. Selepas dimulakan, ia mengumpul nama hos, nama pengguna, GUID, dan versi sistem, mengambil tangkapan skrin menggunakan BitBlt dan menyimpannya sebagai BMP, kemudian membuat permintaan sekali ke antaramuka penentuan lokasi IP, dan menggabungkan semua maklumat ini menjadi permintaan multipart yang di-POST ke alamat IP yang telah ditetapkan 217[.]119[.]129[.]122. Di bawah adalah permintaan sebenar yang kami bangunkan semula mengikut skrip:

Selepas /api/ dalam laluan, rantai tersebut dinyahkod sebagai nombor klien 517b7c5e5663656a057f. Tangkapan skrin diletakkan di bahagian file, yang bermula dengan BM adalah tanda header BMP; maklumat hos diletakkan di bahagian data, kedua-duanya berada dalam permintaan yang sama. Selepas dinyahkod, data adalah nilai simulasi seperti computer=SIMULATED-PC&user=simulated-user&query=203.0.113.10, yang tidak sepadan dengan sebarang hos sebenar.

Tugasan yang diturunkan dari pelayan diproses berdasarkan sambungan fail, meliputi empat kategori beban: beban yang dijalankan secara langsung dalam ingatan, program berasingan, DLL, dan skrip. Satu pemuat sahaja mampu menangani hampir semua format beban biasa. Skrip tersebut juga mengandungi pengecualian Defender, persistensi tugas terjadual, dan penghantaran balik penyelesaian tugas; ketiga-tiga fungsi ini berada dalam cabang bersyarat dan dipicu bergantung pada konfigurasi pemuat dari pelayan serta syarat tempatan. Konfigurasi yang diperoleh kali ini hanya mengaktifkan persistensi, manakala yang lain dimatikan. Fungsi-fungsi ini adalah bersyarat dan tidak bermakna operasi yang berkaitan telah selesai di hos sebenar.

Apabila alamat hard-coded tidak berfungsi, loader mempunyai laluan simpanan. Ia akan menghantar eth_call ke rantai Polygon untuk membaca nilai balikan selector 0x3bc5de30 pada kontrak 0x1823A9a0Ec8e0C25dD957D0841e3D41a4474bAdc, kemudian menganalisis C2 simpanan daripadanya; dalam ujian ini, ia menghasilkan 194[.]48[.]248[.]94:

Imbuhan panjang 0x14 ialah 20, yang tepat sama dengan bilangan karakter alamat yang dipecahkan, saling mengesahkan satu sama lain. Hex ini tidak perlu bergantung pada skrip dekod kami; anda boleh mengesahkan sendiri dengan sekadar merujuk jadual ASCII. Di antara lima titik akhir RPC yang dikonfigurasi dalam skrip, tiga daripadanya mengembalikan data di atas dengan kepadatan byte yang tepat, satu memerlukan langganan berbayar, dan satu lagi menolak secara langsung. Selepas alamat ditulis ke kontrak rantai awam, mengganti pelayan hanya memerlukan satu transaksi; melarang IP sedia ada secara berasingan tidak dapat menghalang kontrak daripada mengembalikan alamat baru seterusnya.

Selepas membetulkan format permintaan skrip, beacon simulasi 845 menerima HTTP 200, JSON 1248 bait.

Medan respons telah dienkod tiga kali, arah dekod ialah Base64 → heks kecil → XOR berputar 32 bait, kunci XOR ECe6VGLRJum2qYtl79OiOU7aHot7Zhbn ditulis terus dalam skrip. Dua petikan di bawah adalah kandungan respons sebelum dan selepas dekod, masing-masing diambil 56 aksara pertama:

Menghasilkan satu strategi loader dan satu tugas:

Field pump mengawal sama ada data rawak digunakan untuk memperluaskan fail pendaratan kepada saiz yang ditentukan oleh perkhidmatan, dan suis ini dimatikan dalam tugas semasa ini.

Mendownload fail bernama `tool.log` ke `%TEMP%\dist.lua` dan menjalankannya. Fail ini berukuran 396,616 bait, seluruhnya dalam ASCII heksadesimal; selepas didekodkan hex dan di-XOR, ia menghasilkan Lua yang disamarkan sebanyak 198,308 bait. Ini adalah loader kedua, nombor 847, dengan C2 awal ditukar kepada `217[.]119[.]129[.]97`, dan struktur penyamaran sama dengan 845. Selepas menjalankan loader 847 dengan data hos simulasi yang sama, ia menghantar beacon ke `217[.]119[.]129[.]97`, dan server membalas dengan dua tugas.

Dua tugas, satu masih `tool.log`, dan yang lain merujuk kepada `verb.log` dalam repositori yang sama, dengan laluan penempatan ditulis sebagai `AppData\..\Local\Programs\Chromium\Application\Chromium.exe`. `..` di tengah-tengah membawa laluan melintasi ke LocalAppData, sehingga nama fail disamarkan sebagai program utama penyelidik Chromium.

tool.log, verb.log, dan dua PE seterusnya berasal daripada respons C2 dan muat turun yang disimpan, fail-fail ini tidak wujud dalam ZIP asal. ZIP itu sendiri membuktikan bahawa loader mempunyai kemampuan untuk memuat turun dan menjalankan; respons C2 yang disimpan menunjukkan bahawa pelayan menghantar tugas muat turun seterusnya kepada loaderId 845 pada masa pengumpulan.

Payload StealC yang dipecahkan oleh verb.log

verb.log 3,089,408 bait, sama-sama ASCII hex, rantai transformasi ialah hex/XOR → PE luaran → Base64URL/AES → PE dalaman. Dengan menggunakan kunci XOR yang sama untuk membuka, diperoleh 1,544,704 bait PE luaran 64-bit, di mana teks Base64URL dalam segmen sumbernya didekode menjadi 797,728 bait ciphertext AES-256-ECB. Kunci bFYh8UMQGZOBUlvrpS3M4ZJybbubVbvg diperoleh daripada PE luaran melalui pengiraan dua array malar, boleh dipulihkan secara statik, dan apabila didekripsi, menghasilkan PE 64-bit kedua yang juga berukuran 797,728 bait.

PE luar memetakan PE dalam secara manual dalam prosesnya sendiri: mengalokasikan memori, menyalin kepala dan bahagian, memperbaiki relokasi dan jadual impor, serta mencipta benang dan memulakan dengan titik masuk. Tidak ada API injeksi antar-proses seperti CreateProcess, WriteProcessMemory, SetThreadContext, ResumeThread dalam rantai panggilan statik—keseluruhan proses adalah pemuatan reflektif dalaman proses.

Muatan dalaman pertama-tama memeriksa persekitaran: jika bahasa laluan sistem sepadan dengan Rusia, Ukraine, Belarus, Kazakhstan, atau Uzbekistan, ia akan keluar; kemudian mengendalikan contoh tunggal menggunakan nama Event yang dibina daripada maklumat hos, seterusnya mengesahkan tarikh luput yang tertanam, dan hanya memasuki logik utama sekiranya semua pemeriksaan berjaya.

Pelayar: Chrome, Edge, Brave — dapatkan data log masuk, cookie, sejarah dan pangkalan data berkaitan; Firefox memanggil antaramuka NSS untuk menyahsulit maklumat log masuk yang disimpan. Proses yang mengambil alih pangkalan data akan dihentikan menggunakan Restart Manager apabila pangkalan data dikunci.

E-mel dan pengurusan sistem: Kredensial akaun Foxmail dan Outlook, maklumat sesi WinSCP, di mana sesi WinSCP secara langsung berkaitan dengan pelayan yang boleh diakses oleh mangsa.

Steam: Log masuk, konfigurasi, token, dan fail sentinel.

Dari Chrome 127 ke atas, cookie dan kata laluan yang disimpan dilindungi oleh App-Bound Encryption, dengan kunci disimpan di perkhidmatan peringkat sistem; hanya menyalin fail database tidak akan memberikan teks biasa. Muat turun ini menyertakan PE bantuan yang disuntikkan ke dalam chrome.exe, brave.exe, atau msedge.exe yang dihentikan melalui Early-bird APC; modul bantuan membaca App-Bound Key yang disulitkan di dalam proses pengembara, lalu mengeksport kunci teks biasa 32 bait melalui antaramuka perkhidmatan Elevation COM yang sepadan dengan setiap pengembara, menjadikan fail database yang telah dikumpulkan sebelum ini boleh dibaca semula.

Pengumpulan dompet sepenuhnya dikendalikan oleh pihak server: pengumpul rekursif mengagih tugas fail yang dikeluarkan oleh C2 mengikut jenis, di mana cabang wallets mencari direktori tempatan berdasarkan nama tugas dan nama fail; C2 juga boleh mengeluarkan ID lanjutan untuk mengumpul penyimpanan dan IndexedDB bagi ekstensi Chromium yang bersesuaian. Tidak terdapat nama merek dompet atau laluan pemasangan dalam teks terbuka sampel, juga tidak terdapat pelaksanaan untuk menterjemahkan frasa pemulihan BIP39 atau kunci peribadi secp256k1—dompet yang dikumpul ditentukan semasa tugas dikeluarkan oleh pihak server, dan senarai sasaran bagi putaran ini tidak boleh disenaraikan dalam sampel statik.

Muatan juga mengandungi tangkapan skrin, pengumpulan maklumat sistem dan senarai proses, muat turun dan eksekusi kedua menggunakan PowerShell, peningkatan kuasa, serta penghapusan diri semasa keluar.

Data diunggah melalui JSON POST dengan pecahan 512 KiB. Endpoin pengunggahan disimpan dalam fail dengan enkripsi RC4, kemudian Base64, dan dinyahsulitkan menggunakan kunci konfigurasi 55uUe45tr1x1xy1lSK menjadi http[:]//89[.]169[.]12[.]194, sementara badan permintaan dienkripsi dengan kunci RC4 yang berbeza.

StealC ialah trojan pencuri maklumat Windows yang secara khusus mencuri kelayakan pelayar, cookie, dompet kripto, dan data sensitif lain, kemudian menghantarnya ke C2 penyerang. Pengumpulan beban dalaman, bantuan dekripsi App-Bound, cabang dompet, dan penghantaran terenkripsi RC4 semuanya sejajar dengan ciri-ciri StealC yang diketahui, oleh itu kami mengkelaskannya sebagai StealC.

Jika bahan-bahan ini berjaya diperoleh, kesannya berbeza-beza: cookie peranti web menyebabkan sesi log masuk diambil alih, e-mel dan kredensial Steam menyebabkan kehilangan akaun, sesi WinSCP menyebabkan pelayan yang dikelola mangsa; sekiranya kunci peribadi atau frasa pemulihan dompet bocor, pemindahan aset tidak boleh dipulihkan.

Semak semula untuk mengesahkan bahawa fasiliti pengagihan sedang berpusing

Pada 26 Ogos, kami menghantar semula tiga beacon menggunakan data hos simulasi yang sama. Ketiga-tiga titik akhir mengembalikan HTTP 200, dan medan strategi loader tidak berubah. Perubahan berlaku pada alamat muat turun dalam tugas.

vs.log adalah identik bit-per-bit dengan tool.log lama, hanya nama yang diubah, loader 847 tidak berubah. ssl.log setelah didekod adalah PE luaran versi baru, 1,539,072 bait, alamat masuk dan saiz imej telah berubah, kunci AES berpindah ke yK8-eM8KFA8Hl8cCybERmOLZupFvfCNZ.

Payload dalaman yang dinyahsulit dengan kunci baharu masih berukuran 797,728 bait. Dibandingkan secara per-bait dengan versi lama, fail tersebut hanya mempunyai satu perbezaan, yang berlaku di segmen data baca-sahaja, di mana nombor binaan yang dilaporkan ke pelayan berubah daripada build5 kepada build1. Titik muat naik, kunci konfigurasi RC4, dan kunci badan permintaan semuanya serupa.

Tindakan menukar gudang, menukar nama fail, mengemas kini PE luaran, dan menukar kunci AES membuat hash tepat fail lama menjadi tidak sah. Samada struktur dan ciri tingkah laku yang stabil masih boleh dikenal pasti, perlu disahkan oleh peraturan tertentu. Badan beban pencurian data tetap stabil dalam dua hari ini, hanya mengubah satu label versi; ini adalah pemerhatian antara dua hari pengumpulan, yang tidak mencukupi untuk menentukan sama ada ia tetap tidak berubah dalam jangka masa yang lebih panjang.

Lebih banyak repositori GitHub jahat

Kami juga mengumpulkan 29 sampel ZIP jahat yang tersebar di 23 repositori GitHub. Pemeriksaan awal menunjukkan bahawa semua sampel ini menggunakan Lua sebagai sebahagian daripada rantai pelaksanaan, dengan bentuk umum termasuk penggunaan LuaJIT tempatan atau interpreter yang dinamakan semula yang dipanggil oleh pelancar .cmd atau .bat, kemudian menjalankan skrip Lua dalam direktori yang sama. Topik perangkap pada repositori berkaitan merangkumi pelbagai kategori seperti model dan alat AI, perkhidmatan MCP, skrip pembangunan, dan projek dompet.

Perlu ditekankan bahawa pada masa ini, tidak dilakukan pemulihan kod penuh dan analisis rantai serangan secara terperinci terhadap 29 sampel ini, oleh itu bukti yang ada hanya boleh mengesahkan bahawa kesemua sampel tersebut mempunyai tingkah laku jahat dan menggunakan stak teknologi Lua yang sama, tetapi tidak boleh digunakan untuk menyimpulkan bahawa semua sampel menggunakan cara pengacauan, aliran pelaksanaan, infrastruktur C2, atau beban akhir yang serupa sepenuhnya.

Ringkasan

Sebuah repositori GitHub palsu yang meniru Qwen mengarahkan pautan muat turun ke ZIP sebesar 487 KB, yang tidak mengandungi timbangan model, tetapi hanya sebuah penafsir LuaJIT dan satu skrip yang disamarkan. Respons C2 yang disimpan dikaitkan dengan beban pencurian data dalaman, yang kami klasifikasikan sebagai StealC.

Risiko melibatkan sesi peramban, e-mel dan kredensial operasi, token Steam, dan bahan berkaitan dompet, dengan syarat bahan-bahan tersebut berjaya diperoleh. Antara dua pengumpulan, repositori distribusi, nama fail, PE luaran, dan kunci AES telah berubah, manakala beban dalaman hanya berbeza satu aksara dalam nombor binaan; 29 fail ZIP sejenis yang tersebar di 23 repositori menunjukkan kerangka penghantaran ini telah digunakan semula secara besar-besaran, tetapi rantai seterusnya penuh setiap varian masih perlu disahkan satu demi satu.

Cadangan

1. Isolasi dan buktikan: Apabila hos memicu ZIP, hash skrip, C2, atau URL muat turun yang disenaraikan dalam artikel ini, simpan sumber muat turun, pokok proses, log sambungan rangkaian, dan fail yang terpasang terlebih dahulu, kemudian bersihkan.

2. Semak perubahan hos: Jika ditemui rekod pelaksanaan pelancar, atau rekod pemuatan LuaJIT, interpreter yang dinamakan semula yang memuatkan teks kabur bersaiz besar, semak tugas jadual, kunci Run, item StartupApproved, dan pastikan senarai pengecualian Defender tidak termasuk cakera sistem atau ekstensi .exe, .dll.

3. Penanganan kredensial: Semasa mengesahkan pelaksanaan sampel atau menemui beban pendaratan yang berkaitan, set semula sesi browser dan kredensial kata laluan yang disimpan, akaun e-mel, token Steam, dan sesi WinSCP; jika kunci privat atau frasa pemulihan dompet disimpan di hos, pindahkan aset ke alamat baharu terlebih dahulu, kemudian tangani hos tersebut.

4. Tambahkan pengesanan gabungan: tambahkan urutan ini ke peraturan pemantauan: «Pemula Kecil → LuaJIT tempatan atau interpreter yang dinamakan semula → teks satu baris berskala besar dalam direktori yang sama → menghantar permintaan HTTP atau menulis ke memori boleh eksekusi». Rantai ini memanfaatkan perkhidmatan sah, dan penilaian harus berdasarkan kombinasi tingkah laku, bersama URL jahat tepat yang disenaraikan dalam artikel ini, dan jangan blok secara seragam GitHub Raw atau RPC Polygon awam.

IOC

217[.]119[.]129[.]122

194[.]48[.]248[.]94

217[.]119[.]129[.]97

89[.]169[.]12[.]194

http[:]//217[.]119[.]129[.]122/api/NTE3YjdjNWU1NjYzNjU2YTA1N2Y=

http[:]//217[.]119[.]129[.]97/api/NTE3YjdjNWU1NjYzNjU2YTA1N2Y=

https[:]//raw[.]githubusercontent[.]com/unburdened-jackinthebox365/qwen38-uncensored/main/assets/uncensored_qwen_v2[.]6[.]zip

https[:]//github[.]com/Minaadelfouad64/tools/raw/refs/heads/main/verbose/tool[.]log

https[:]//github[.]com/Minaadelfouad64/tools/raw/refs/heads/main/verbose/verb[.]log

https[:]//github[.]com/fuhuhlatoogan/mtp/raw/refs/heads/main/p/vs[.]log

https[:]//github[.]com/fuhuhlatoogan/mtp/raw/refs/heads/main/p/ssl[.]log

https[:]//github[.]com/unburdened-jackinthebox365/qwen38-uncensored

https[:]//github[.]com/Minaadelfouad64/tools

https[:]//github[.]com/fuhuhlatoogan/mtp

https[:]//github[.]com/0ogata0/qwen-php-client

https[:]//github[.]com/115th-discomfited211/Awesome-Harness-Engineering

https[:]//github[.]com/123affano1/claudetrack

https[:]//github[.]com/1sustgmboab/nexonco-mcp

https[:]//github[.]com/2josEx/claude-brain

https[:]//github[.]com/428alexander9/claude-skills-marketplace

https[:]//github[.]com/45d5r/databricks-mcp-server

https[:]//github[.]com/7ossamfarid/mcp-mindmesh

https[:]//github[.]com/Bean5789/bbd2api

https[:]//github[.]com/CleverPortal/CollabNote-Fullstack-App

https[:]//github[.]com/Juanvil9941/AI-Invoice-System

https[:]//github[.]com/Kalainilavann/takeout_downloader_script

https[:]//github[.]com/Prestonflatfooted659/Void-Tools-v2.0

https[:]//github[.]com/Walloperlioncub193/Canva-Resource

https[:]//github[.]com/archontelemetered604/clash-for-windows

https[:]//github[.]com/fantastic-interpolation620/ctx-wire

https[:]//github[.]com/mikenob39wang/phone-number-location-tracking-tool

https[:]//github[.]com/recognisable-riddance165/Portable-Offline-LLM

https[:]//github[.]com/sociologisttentcaterpillarmoth213/100xdev-ci-cd

https[:]//github[.]com/soldat-panther/qq-farm-cdp-auto

https[:]//github[.]com/thaddeusprobabilistic193/Xault-Wallet

https[:]//github[.]com/twelfth-puerperium297/tokenoptim

https[:]//github[.]com/wasila7220/multi-model-router

nama fail: uncensored_qwen_v2.6.zip

MD5: bf21a07ad5743d3ae9f55ff526428a0a

SHA1: 8e3391c17c3f4fb6f42594de7425df96dbbbc01e

SHA256: 36d0bac5743ed9c6858258f28f2c2f9161dc06c4d5af73eb7eda1211ea610758

nama fail: Application.cmd

MD5: 17d94f34b9d15449b03bc099a637782b

SHA1: eb474f898256e8e7baaf0d63b306d1169e637c73

SHA256: 7c4f3e09c6428d0a0d7d85615695f5fedb35bb4e7180d31e1f8a1bacf22e5639

nama fail: cert.txt

MD5: ccfc0f145861f23c6850c691c4be54b9

SHA1: b88ac887493f31cf9f160ddbc6bc3a2aa298a0ca

SHA256: a75561a3224d9f836058a6d0204ed2e6c1f638275a59495935cd2a5e46fd28ca

nama fail: tool.log, vs.log

MD5: 8063ba8ec896b52e5e6d435cc60e82f7

SHA1: f445bd4c5b65b7e013ec518f34f4cd64676201d2

SHA256: 7ebbb61733d8aefcf9401f00e8ff7e593c9f0edecb6609675aebd3eb78a5ae2d

nama fail: verb.log

MD5: 650a8ee5d091275040ae4dd02dcdd806

SHA1: 343d819ceb63c742912723c42fd158b82d0a90be

SHA256: 699af883d862d8949a494f69e2d300142ce506a0ac6c7a239193c111dfed241e

nama fail: inner-payload.aes256-ecb-decrypted.bin

MD5: 01e433263a7fd50e812195ff4c11cc90

SHA1: ea53a41c53181374cade8d69882bb1390f0c2562

SHA256: ec981c45d494896037583c746543490176c9ce9a1482e62c4e8ab189c2650b1c

nama fail: ssl.log

MD5: 9d11bce9c213924b53bcb986f07945c6

SHA1: 2abf1436933dc6b63a016661d5d16f1eda303b59

SHA256: 7b0d919bd510cbcc587cca4b74aad1e086fb1fc34882a39946e6db7d4361a746

nama fail: inner-payload.build1.bin

MD5: 370f95bf40a9c9fe852b2e4bdd95689f

SHA1: 219a0e7c3907bb65ef7db7428400745570d4e105

SHA256: 5d63f3dc9371d4496ca0e728a794151978e94b69ae4b3c705cea4e67cc6cf208

nama fail: client_qwen_php_v2.4.zip

SHA256: 073c6192ab4c2d5d25fc13acab4c216c96f9d5926064c534e3803bb31d527b28

fail: Engineering_Harness_Awesome_1.9.zip

SHA256: 0870fe8a4d9e64e335047e16ed1d6b0805beab9686495a1e8c247cf2e1a8e930

fail: Software_v1.6.zip

SHA256: 71b37b48f80106fc864be7e82481cd1a2f7decfeaf1dce45abb924d7f32da933

nama fail: nexonco-mcp-v3.0-alpha.1.zip

SHA256: a866d90d6f1dd82ddcd2cbef4f5550c77bb58dbda87c02eedb441a117b7d89b9

nama fail: claude-brain-v1.4-alpha.3.zip

SHA256: a271231ebf6174b11aeb3337c238abc0eac44b48b5fa8d2b168883601d8cc3a5

nama fail: brain_claude_2.2-alpha.1.zip

SHA256: ca4babb4444af81cf93b34436de7a4a3c8e1a93f6233bcc8753ddd868b4c9eaa

nama fail: claude-skills-marketplace_v3.4.zip

SHA256: 438033226b1bd1e26db8ab71a777e74cc90b5c31310139269fe8e52308f6c938

nama fail: skills-marketplace-claude-2.9.zip

SHA256: f07a4eadd43513f56ae4fdf6f6dfc966de17f06093c75c1dec0dd426668779f9

nama fail: server_databricks_mcp_1.6.zip

SHA256: 66afc7d87d10dbe392898c4e5c613e0442fabb396415c2bef3a5ef2ac752c5ad

nama fail: mindmesh_mcp_1.0-alpha.5.zip

SHA256: e8da8c82ccb1c6fd68e7c03187485d6ebbd07a4946a7f07cac54fef65b00d2bf

nama fail: bbd-api-3.1.zip

SHA256: 3524dc4a232c76067f8b2df9adf34ae1106dcc1528e5467c1abc285fc51d1e82

nama fail: Note-Collab-App-Fullstack-v3.6-alpha.5.zip

SHA256: 6f823d15658b07d6d90f292848fcdd30fe840f83d653cc34966e2fd61d9c3117

fail: Invoice_A_System_3.9.zip

SHA256: 8332d91619563e46e248f427cf489f8bd61a83124eb4c95749ce284b443a2803

nama fail: downloader-script-takeout-v1.1.zip

SHA256: 8412f2d2b47181f272b0c0e02fe619331e0c2c8d3b90f32e8ce08ac98aaec3f6

nama fail: downloader_takeout_script_v3.8.zip

SHA256: b781102c6ff857fb45089a6b3d30c5ebb7699ec7e8771bfa0039bef28de782bd

nama fail: takeout-downloader-script-galvanocauterization.zip

SHA256: 13dc7623c66d1fed51ae94b0d96e8ed45c93d893afabf9aceb4ef0a8da0243ee

filename: Void-v-Tools-v1.7.zip

SHA256: 841d0c25137f35b60d940705ab7b5dc3e9936f37e0561934e72c5dafe93466d8

fail: Resource-Canva-2.2.zip

SHA256: ac6a24d02209df94f56f67e7f3f19dc997f7a2625b91add1dd10cdec0a06d392

nama fail: for-clash-windows-3.2.zip

SHA256: 036062622f3a1fa2718afc91f8fe4edc693b757365dfc2c0958b70fe8c84c20d

nama fail: wire-ctx-2.6-alpha.1.zip

SHA256: db0640eb414a89bb62953f0aa7603557f3b8de515e7c3696156abc10f835ecef

nama fail: location-tracking-tool-phone-number-v3.3.zip

SHA256: 3fc5816afde3e58bf9fcaa1b3873f2d4bc8629ee7a8341a4a4979d2729cad5e6

nama fail: location_number_tracking_tool_phone_v2.5.zip

SHA256: 398ea394f9a4242ebe9fd67a5ca62445fc4a34b1731d4f99b8eea5e65a98ddcb

fail: tracking-tool-location-number-phone-3.2.zip

SHA256: b6e81d95c0c336e8b8bde3889f4df4ee17639f6ff055c631de19cab3c7efb63b

nama fail: Offline_LLM_Portable_v2.1-alpha.1.zip

SHA256: 1313b6cfb1ea43367fdd845f64526b4972a3a345bb8b13cef7ebb678d59b5f55

nama fail: ci_cd_xdev_v2.3-alpha.3.zip

SHA256: ed1ae6799ecb1fc7c5239c4ab95b3b9de9462f21219f144a25b91b6fd430a2c2

nama fail: farm-cdp-qq-auto-1.1.zip

SHA256: 6145aeacba6533e10dcea287d0fff64c48a790c58ae266ed18ea5d13c36d27ca

nama fail: v3.9.zip

SHA256: a0dd4924bec9bc077b1f98ddcb45b4e07b01e63ad703c2507d822b5b5130a077

filename: Software-Lithodes.zip

SHA256: 40c2b7b8dcfa6bfe0a199af9ea4baa00a4b8ecd73afa326702cdc4197d64bdef

nama fail: model-multi-router-v3.5-beta.1.zip

SHA256: 152929ae778e6ed9f358ca8590d2155e1a04137b109a5442891e1ba3fe1a7f82

Tentang MistEye

MistEye ialah platform intelijen ancaman Web3 dan pemantauan keselamatan dinamik yang dikembangkan secara mandiri oleh SlowMist, yang menyediakan kemampuan pengesanan aktiviti jahat dan amaran risiko rantaian bekalan untuk ekosistem pakej sumber terbuka melalui API.

Semua pakej jahat dan IOC yang terlibat dalam tindakan ini telah diintegrasikan ke dalam enjin pengesanan ancaman MistEye; pembangun boleh melakukan pengesanan automatik terhadap bergantung projek melalui API untuk menentukan dengan cepat sama ada ia memenuhi pakej jahat yang diketahui dan mendapatkan cadangan tindakan.

📖 Dokumentasi API: https://app.misteye.io/api-docs

🛠️ MistEye-DepScan：https://github.com/slowmist/MistEye-DepScan

Alat CLI ringan, satu baris arahan untuk memindai ketergantungan projek dan pakej yang dipasang secara global yang diketahui jahat, menyokong ekosistem npm / PyPI / Cargo / Go / RubyGems

🛠️ MistEye-Skills：https://github.com/slowmist/misteye-skills

Pakej kemahiran keselamatan AI coding assistant, yang secara automatik memicu pemeriksaan keselamatan MistEye sebelum pemasangan kebergantungan dan akses URL

🛠️ MistEye-DNS-Guard: https://github.com/slowmist/MistEye-DNS-Guard

Alat perlindungan keselamatan DNS, mengesan domain jahat dan akses berisiko, mengenal pasti ancaman rangkaian seperti phishing dan C2

Artikel ini ditulis oleh pasukan intelijen ancaman SlowMist yang menggabungkan sistem intelijen ancaman MistEye dan analisis yang digerakkan oleh SlowMist Agent AI. Sebarang soalan, sila hubungi atau berikan maklum balas.

[1]https://x.com/OpcodeIntel/status/2091578565628502324

[2]https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/

[3]https://security.googleblog.com/2024/07/improving-security-of-chrome-cookies-on.html