【高危】NPM組件 betsson 等竊取主機敏感信息
漏洞描述
當用戶安裝受影響版本的 betsson 組件包時會竊取用戶的主機名、用戶名、工作目錄、IP地址等信息并發送到攻擊者可控的服務器地址。
| MPS編號 | MPS-2nrw-lifd |
|---|---|
| 處置建議 | 強烈建議修復 |
| 發現時間 | 2025-06-30 |
| 投毒倉庫 | npm |
| 投毒類型 | 主機信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影響范圍
| 影響組件 | 受影響的版本 | 最小修復版本 |
|---|---|---|
| betsson | [1.0.0, 99.99.2] | - |
| mod-cloud | [1.0.6, 1.1.3] | - |
| zenith-quest | [1.0.1, 1.0.1] | - |
| nodyn | [2.5.7, 2.6.1] | - |
| very-zeld | [1.0.0, 1.0.0] | - |
| ee_else_ce | [1.0.0, 99.99.2] | - |
| nava-clone | [4.6.0, 4.6.1] | - |
| datanerd | [99.9.9, 999.99.95] | - |
| sweet-bananas | [1.0.0, 99.99.2] | - |
| data-layers | [1.0.0, 99.99.2] | - |
| buildctl-win32-x64 | [0.22.0, 0.22.0] | - |
| websyncer | [1.0.0, 1.0.0] | - |
| root-direct | [4.7.3, 4.7.4] | - |
| @verrylinh/discord | [1.1.0, 1.1.0] | - |
| obfuscated | [1.0.0, 1.0.0] | - |
| canvas-chache-kit | [1.7.9, 1.7.11] | - |
| log-styles | [1.0.0, 99.99.2] | - |
參考鏈接
https://www.oscs1024.com/hd/MPS-2nrw-lifd
安全處理建議
- 排查是否安裝了受影響的包：
使用墨菲安全軟件供應鏈安全平臺等工具快速檢測是否引入受影響的包。 - 立即移除受影響包：
若已安裝列表中的惡意包，立即執行 npm uninstall <包名>，并刪除node_modules和package-lock.json后重新安裝依賴。 - 全面檢查系統安全：
運行殺毒軟件掃描，檢查是否有異常進程、網絡連接（重點關注境外 IP 通信），排查環境變量、配置文件是否被竊取（如數據庫密碼、API 密鑰等），必要時重置敏感憑證。 - 加強依賴管理規范：
- 僅從官方 NPM 源安裝組件，避免使用第三方鏡像或未知來源的包。
- 使用npm audit、yarn audit定期檢查依賴漏洞。
- 限制package.json中依賴的版本范圍（如避免*或latest），優先選擇下載量高、社區活躍的成熟組件。
- 集成墨菲安全軟件供應鏈安全平臺等工具自動監控風險。
一鍵自動排查全公司此類風險（申請免費使用）
墨菲安全為您免費提供一鍵排查全公司開源組件漏洞&投毒風險服務，可一鍵接入掃描全公司的代碼倉庫、容器鏡像倉庫、主機、制品倉庫等。
試用地址：https://www.murphysec.com/apply?code=VGUL
提交漏洞情報：https://www.murphysec.com/bounty
關于本次投毒的分析
-
包名：betsson@[1.0.0, 99.99.2]
攻擊目標：安裝該包的用戶主機
理由：包名無明顯模仿，安裝即竊取主機信息，屬通用主機信息收集。 -
包名：mod-cloud@[1.0.6, 1.1.3]
攻擊目標：安裝該包的用戶主機
理由：安裝觸發信息竊取，無特定依賴，針對所有安裝者主機。 -
包名：zenith-quest@[1.0.1, 1.0.1]
攻擊目標：安裝該包的用戶主機
理由：固定版本，安裝即收集主機信息，目標為下載該包的用戶。 -
包名：nodyn@[2.5.7, 2.6.1]
攻擊目標：Node.js開發者主機
理由：包名似Node.js相關工具，可能誘導開發者安裝以竊取信息。 -
包名：buildctl-win32-x64@[0.22.0, 0.22.0]
攻擊目標：使用containerd的Windows開發者
理由：模仿合法buildctl組件，誘導開發者安裝竊取主機信息。 -
包名：@verrylinh/discord@[1.1.0, 1.1.0]
攻擊目標：Discord機器人開發者
理由：包名含discord，可能誘導相關開發者安裝以竊取主機信息。 -
包名：canvas-chache-kit@[1.7.9, 1.7.11]
攻擊目標：使用canvas庫的前端開發者
理由：模仿canvas相關依賴，誘導前端項目安裝竊取主機信息。 -
包名：datanerd@[99.9.9, 999.99.95]
攻擊目標：安裝該包的用戶主機
理由：夸張版本號吸引注意，安裝即竊取主機名、IP等信息。 -
包名：log-styles@[1.0.0, 99.99.2]
攻擊目標：安裝該包的用戶主機
理由：版本范圍廣，安裝即收集主機信息，屬通用信息竊取。
