【高危】Chrome拓展 Video Speed Controller 等內嵌惡意后門

漏洞描述

當用戶安裝受影響版本的 Video Speed Controller 等Chrome拓展會竊取用戶的瀏覽鏈接，并與攻擊者可控的C2地址建立持久化連接，攻擊者可將用戶瀏覽器重定向到惡意網站。

MPS編號	MPS-nk5f-xi4w
處置建議	強烈建議修復
發現時間	2025-07-09
投毒倉庫	chrome
投毒類型	隱私數據收集、后門文件
利用成本	低
利用可能性	中

影響范圍

影響組件	受影響的版本	最小修復版本
eckokfcjbjbgjifpcbdmengnabecdakp	(-∞, 1.0.11]	-
eokjikchkppnkdipbiggnmlkahcdkikp	(-∞, 1.0.12]	-
mgbhdehiapbjamfgekfpebmhmnmcmemg	(-∞, 1.0.8]	-
cbajickflblmpjodnjoldpiicfmecmif	(-∞, 0.1.16]	-
kgmeffmlnkfnjpgmdndccklfigfhajen	[0.1.6.6, 0.1.6.6]	-
mlgbkfnjdmaoldgagamcnommbbnhfnhf	(-∞, 0.2.6]	-
gaiceihehajjahakcglkhmdbbdclbnlf	(-∞, 1.0.12]	-
pdbfcnhlobhoahcamoefbfodpmklgmjm	(-∞, 1.2.13]	-

參考鏈接

https://www.oscs1024.com/hd/MPS-nk5f-xi4w

安全處理建議

1. 排查是否安裝了受影響的包：
   使用墨菲安全軟件供應鏈安全平臺等工具快速檢測是否引入受影響的包。
2. 立即移除受影響包：
   若已安裝列表中的惡意包，立即執行 npm uninstall <包名>，并刪除node_modules和package-lock.json后重新安裝依賴。
3. 全面檢查系統安全：
   運行殺毒軟件掃描，檢查是否有異常進程、網絡連接（重點關注境外 IP 通信），排查環境變量、配置文件是否被竊取（如數據庫密碼、API 密鑰等），必要時重置敏感憑證。
4. 加強依賴管理規范：

• 僅從官方 NPM 源安裝組件，避免使用第三方鏡像或未知來源的包。
• 使用npm audit、yarn audit定期檢查依賴漏洞。
• 限制package.json中依賴的版本范圍（如避免*或latest），優先選擇下載量高、社區活躍的成熟組件。
• 集成墨菲安全軟件供應鏈安全平臺等工具自動監控風險。

一鍵自動排查全公司此類風險

墨菲安全為您免費提供一鍵排查全公司開源組件漏洞&投毒風險服務，可一鍵接入掃描全公司的代碼倉庫、容器鏡像倉庫、主機、制品倉庫等。

試用地址：https://www.murphysec.com/apply?code=93XQ

提交漏洞情報：https://www.murphysec.com/bounty

關于本次投毒的分析

• 包名：eckokfcjbjbgjifpcbdmengnabecdakp@(-∞, 1.0.11]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：安裝后竊取瀏覽鏈接，建立C2連接，可重定向至惡意網站，危害用戶安全。

• 包名：eokjikchkppnkdipbiggnmlkahcdkikp@(-∞, 1.0.12]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：惡意后門竊取瀏覽數據，持久化C2連接，致用戶被重定向到惡意網站。

• 包名：mgbhdehiapbjamfgekfpebmhmnmcmemg@(-∞, 1.0.8]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：含竊取瀏覽鏈接后門，與攻擊者C2通信，可強制重定向用戶瀏覽器。

• 包名：cbajickflblmpjodnjoldpiicfmecmif@(-∞, 0.1.16]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：安裝后竊取用戶瀏覽信息，建立持久C2連接，面臨惡意網站重定向風險。

• 包名：kgmeffmlnkfnjpgmdndccklfigfhajen@[0.1.6.6, 0.1.6.6]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：特定版本含后門，竊取瀏覽鏈接并連C2，攻擊者可控制瀏覽器重定向。

• 包名：mlgbkfnjdmaoldgagamcnommbbnhfnhf@(-∞, 0.2.6]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：惡意擴展竊取瀏覽數據，通過C2持久化控制，致用戶被導向惡意站點。

• 包名：gaiceihehajjahakcglkhmdbbdclbnlf@(-∞, 1.0.12]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：含竊取瀏覽鏈接功能，與攻擊者C2建立連接，存在惡意重定向風險。

• 包名：pdbfcnhlobhoahcamoefbfodpmklgmjm@(-∞, 1.2.13]

• 攻擊目標：Chrome瀏覽器用戶

• 理由：安裝后執行后門，竊取瀏覽信息并連C2，攻擊者可操控瀏覽器重定向。