NPM组件 betsson 等窃取主机敏感信息

【高危】NPM组件 betsson 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 betsson 组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

MPS编号	MPS-2nrw-lifd
处置建议	强烈建议修复
发现时间	2025-06-30
投毒仓库	npm
投毒类型	主机信息收集
利用成本	低
利用可能性	中

影响范围

影响组件	受影响的版本	最小修复版本
betsson	[1.0.0, 99.99.2]	-
mod-cloud	[1.0.6, 1.1.3]	-
zenith-quest	[1.0.1, 1.0.1]	-
nodyn	[2.5.7, 2.6.1]	-
very-zeld	[1.0.0, 1.0.0]	-
ee_else_ce	[1.0.0, 99.99.2]	-
nava-clone	[4.6.0, 4.6.1]	-
datanerd	[99.9.9, 999.99.95]	-
sweet-bananas	[1.0.0, 99.99.2]	-
data-layers	[1.0.0, 99.99.2]	-
buildctl-win32-x64	[0.22.0, 0.22.0]	-
websyncer	[1.0.0, 1.0.0]	-
root-direct	[4.7.3, 4.7.4]	-
@verrylinh/discord	[1.1.0, 1.1.0]	-
obfuscated	[1.0.0, 1.0.0]	-
canvas-chache-kit	[1.7.9, 1.7.11]	-
log-styles	[1.0.0, 99.99.2]	-

参考链接

https://www.oscs1024.com/hd/MPS-2nrw-lifd

安全处理建议

1. 排查是否安装了受影响的包：
   使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
2. 立即移除受影响包：
   若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。
3. 全面检查系统安全：
   运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。
4. 加强依赖管理规范：

• 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
• 使用npm audit、yarn audit定期检查依赖漏洞。
• 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
• 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险（申请免费使用）

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址：https://www.murphysec.com/apply?code=VGUL

提交漏洞情报：https://www.murphysec.com/bounty

关于本次投毒的分析

• 包名：betsson@[1.0.0, 99.99.2]
  攻击目标：安装该包的用户主机
  理由：包名无明显模仿，安装即窃取主机信息，属通用主机信息收集。

• 包名：mod-cloud@[1.0.6, 1.1.3]
  攻击目标：安装该包的用户主机
  理由：安装触发信息窃取，无特定依赖，针对所有安装者主机。

• 包名：zenith-quest@[1.0.1, 1.0.1]
  攻击目标：安装该包的用户主机
  理由：固定版本，安装即收集主机信息，目标为下载该包的用户。

• 包名：nodyn@[2.5.7, 2.6.1]
  攻击目标：Node.js开发者主机
  理由：包名似Node.js相关工具，可能诱导开发者安装以窃取信息。

• 包名：buildctl-win32-x64@[0.22.0, 0.22.0]
  攻击目标：使用containerd的Windows开发者
  理由：模仿合法buildctl组件，诱导开发者安装窃取主机信息。

• 包名：@verrylinh/discord@[1.1.0, 1.1.0]
  攻击目标：Discord机器人开发者
  理由：包名含discord，可能诱导相关开发者安装以窃取主机信息。

• 包名：canvas-chache-kit@[1.7.9, 1.7.11]
  攻击目标：使用canvas库的前端开发者
  理由：模仿canvas相关依赖，诱导前端项目安装窃取主机信息。

• 包名：datanerd@[99.9.9, 999.99.95]
  攻击目标：安装该包的用户主机
  理由：夸张版本号吸引注意，安装即窃取主机名、IP等信息。

• 包名：log-styles@[1.0.0, 99.99.2]
  攻击目标：安装该包的用户主机
  理由：版本范围广，安装即收集主机信息，属通用信息窃取。