【高危】NPM组件 @usaa-grp-payments-web-experience/bk-acknowledge-module 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @usaa-grp-payments-web-experience/bk-acknowledge-module 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-rtc4-k6du |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-02 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| pixzen | [1.0.1, 1.0.1] | – |
| internal-random | [16.0.0, 19.0.0] | – |
| cerberux | [2.0.0, 4.0.0] | – |
| risk-profile-widget | [1.3.2, 1.3.2] | – |
| newrelic-scheduler | [1.0.0, 1.1.2] | – |
| testpointx0-testing-test | [77.77.7, 77.77.7] | – |
| amdocs-auth-package | [1.0.0, 1.0.1] | – |
| decentraland-credits-squid | [0.0.1, 0.0.1] | – |
| goals-summary-widget | [1.3.0, 1.3.0] | – |
| amdocs-core-package | [1.0.0, 1.0.1] | – |
| arkadiko-dao-landing | [1.0.0, 1.0.0] | – |
| currency-util | [1337.0.0, 1337.0.0] | – |
| balances-summary-widget | [1.5.0, 1.5.0] | – |
| undeface-test-1 | [9.9.9, 9.9.9] | – |
| undeface-test | [9.9.9, 9.9.9] | – |
| strictor | [1.0.1, 1.0.1] | – |
| zano_ui | [1337.0.0, 1337.0.0] | – |
| undeface | [9.9.9, 9.9.9] | – |
| flare-smart-contracts | [1.0.0, 1.0.0] | – |
| customer-information | [2.30.0, 2.30.0] | – |
| ledger-provider | [1337.0.0, 1337.0.0] | – |
| @usaa-grp-payments-web-experience/bk-acknowledge-module | [2.9.9, 2.9.11] | – |
| arkadiko-dao | [0.3.1, 0.3.1] | – |
| airbnb-typescript-prettier | [1.0.0, 1.0.0] | – |
| tableau-redirection-service | [99.0.0, 99.0.0] | – |
| undeface-test-5 | [1.0.0, 1.0.0] | – |
| polymarket-subgraph-common | [1.0.0, 1.0.1] | – |
| gridmind | [1.0.1, 1.0.1] | – |
| react-hook-eslint | [1.0.1, 1.0.1] | – |
| undeface-test-3 | [1.0.0, 1.0.0] | – |
| contracts-plugins | [1.0.0, 1.0.0] | – |
| fulfillment-auth-widget | [2.0.1, 2.0.1] | – |
参考链接
https://www.oscs1024.com/hd/MPS-rtc4-k6du
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=E49X
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@usaa-grp-payments-web-experience/bk-acknowledge-module@[2.9.9, 2.9.11]
攻击目标：USAA支付Web相关项目
理由：包名含“usaa-grp-payments-web-experience”，指向USAA支付Web模块，窃取主机信息或针对其内部系统。 -
包名：amdocs-auth-package@[1.0.0, 1.0.1]
攻击目标：使用Amdocs认证包的企业系统
理由：Amdocs为企业提供软件，auth-package涉认证，窃取信息可能针对其客户内部环境。 -
包名：arkadiko-dao@[0.3.1, 0.3.1]
攻击目标：Arkadiko DeFi项目
理由：Arkadiko是DeFi项目，DAO相关包被投毒，目标可能是开发者或节点主机信息。
