目录隐藏

【高危】PyPI仓库 blabutt 等组件窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 blabutt 等Python组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。
全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。
加强依赖管理规范：
仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
使用npm audit、yarn audit定期检查依赖漏洞。
限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
集成墨菲安全软件供应链安全平台等工具自动监控风险。

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

包名：blabutt@99.99.99
攻击目标：安装该包的用户
理由：恶意包无明确模仿对象，通过窃取主机信息，目标为所有误安装或被诱导安装的用户。
包名：tronpyapi@0.0.1
攻击目标：Tron区块链开发者
理由：名称类似Tron官方库tronpy，可能诱导开发者误装，窃取其主机信息。
包名：puregram@1.0.0
攻击目标：Telegram Bot开发者
理由：包名关联Telegram Bot框架，针对使用该框架的开发者收集主机信息。
包名：ruamel-poc@0.17.16-1.17.16
攻击目标：YAML处理项目开发者
理由：名称模仿流行库ruamel.yaml，诱导误装，窃取依赖YAML项目的主机信息。
包名：crto0@1.0.7
攻击目标：加密库使用者
理由：名称疑似模仿cryptography，针对依赖加密库的开发者窃取主机信息。
包名：spectra-suite@1.0.0
攻击目标：光谱分析领域用户
理由：包名指向光谱分析工具，影响该领域研究者或开发者的主机信息。
包名：mcp-calculator-demo@0.1.0-0.1.2
攻击目标：计算器工具使用者
理由：演示计算器工具，可能针对初学者，窃取其主机信息。
包名：hahabott@1.20.1-1.20.9
攻击目标：聊天机器人开发者
理由：包名含“bott”，关联聊天机器人开发，窃取相关开发者主机信息。
包名：groq-mcp@0.0.1-9.9.9
攻击目标：Groq AI平台用户
理由：名称关联Groq AI服务，诱导相关开发者安装，窃取主机信息。