【高危】NPM组件 @abg-mec/fwk-fe-devcraft 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @abg-mec/fwk-fe-devcraft 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-3kfh-a8ed |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-06 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| request-kraken | [1.2.1, 1.2.1] | – |
| cashfree-pg-koa-app | [7.7.7, 7.7.7] | – |
| gsochub | [8.1.2, 8.1.2] | – |
| faulthandler | [0.11.1, 0.11.5] | – |
| productboard-html-to-image | [99.0.0, 99.0.9] | – |
| backup-decryptor | [7.7.7, 7.7.7] | – |
| monitor-package | [1.0.0, 1.0.9] | – |
| vite-ts-icon | [1.0.0, 1.0.0] | – |
| ethers-util | [6.15.0, 6.15.0] | – |
| @pic0/ssg | [6.0.0, 6.0.0] | – |
| valid-sha256 | [1.3.3, 1.3.3] | – |
| keccak256-helper | [1.3.2, 1.3.4] | – |
| @autenti/ui-pdf-viewer | [1.0.0, 1.0.4] | – |
| internallib_v731 | [1.5.0, 1.5.0] | – |
| dionisio | [2.0.0, 8.1.2] | – |
| dappradar-browser-extension | [7.7.7, 7.7.7] | – |
| shmam-test-oolong | [1.0.0, 4.0.0] | – |
| ethers-util.js | [6.15.0, 6.15.0] | – |
| powerbi-visuals-powerkpi | [1.0.0, 7.7.7] | – |
| gram-utilz | [1.0.0, 1.0.0] | – |
| halmos-cheatcodes | [1.0.0, 1.0.1] | – |
| progressive-web-app | [1.0.0, 1.1.0] | – |
| internallib_v663 | [1.0.1, 1.0.6] | – |
| encrypt-layout-helper | [3.9.1, 3.9.2] | – |
| @abg-mec/fwk-fe-devcraft | [1.999.8, 1.999.8] | – |
| payments-quickstart | [1.0.0, 1.0.0] | – |
| cowsayexp | [1.6.1, 1.6.1] | – |
| bitcoin-url | [7.7.7, 7.7.7] | – |
| postcss-minify2 | [7.0.9, 7.0.9] | – |
| htmlcontent | [2.0.0, 3.0.0] | – |
| hypc | [7.7.7, 7.7.7] | – |
| node-log-config | [1.0.12, 1.0.12] | – |
参考链接
https://www.oscs1024.com/hd/MPS-3kfh-a8ed
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=3Q8B
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@abg-mec/fwk-fe-devcraft@1.999.8
攻击目标：前端开发项目
理由：包名含”fwk-fe-devcraft”，推测为前端框架开发工具，影响依赖它的前端项目及开发者主机。 -
包名：cashfree-pg-koa-app@7.7.7
攻击目标：支付相关Koa应用
理由：含”cashfree-pg”(支付网关)和”koa-app”，可能被集成Cashfree支付的Koa项目依赖，窃取服务主机信息。 -
包名：dappradar-browser-extension@7.7.7
攻击目标：DAppRadar浏览器扩展用户
理由：明确为浏览器扩展包，安装后窃取使用该扩展的用户主机敏感信息。 -
包名：ethers-util@6.15.0
攻击目标：以太坊开发者/DApp项目
理由：名称类似以太坊工具ethers.js生态包，可能被区块链开发者依赖，窃取开发主机信息。 -
包名：powerbi-visuals-powerkpi@7.7.7
攻击目标：Power BI报表项目
理由：Power BI可视化组件，影响使用该KPI可视化的Power BI项目及开发者主机。 -
包名：bitcoin-url@7.7.7
攻击目标：比特币相关项目
理由：名称含”bitcoin-url”，可能被处理比特币URL的项目依赖，窃取相关主机信息。
