【高危】PyPI仓库 Anrk 组件内嵌木马
漏洞描述
当用户安装受影响版本的 Anrk 等Python组件包时会从攻击者的GitHub地址下载并执行恶意木马 Payload.exe，攻击者可窃取主机信息并进行远控。
| MPS编号 | MPS-06f8-lav5 |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-25 |
| 投毒仓库 | pip |
| 投毒类型 | 主机信息收集、后门文件 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| fifam5tl | [0.1.1, 0.1.1] | – |
| selenium-stealth-helper | [1.0.0, 1.1.4] | – |
| py-sys-utils | [3.0.1, 3.2.4] | – |
| fucknuker | [0.1.1, 0.1.1] | – |
| bbm-q | [0.1.0, 0.1.9] | – |
| fucknukerbro | [0.1.1, 0.1.1] | – |
| seclab-research-depconf-test-2 | [1.0, 1.0] | – |
| electrum-bch | [0.3.5, 0.3.9] | – |
| fucknukeer | [0.1.3, 0.1.3] | – |
| kimportsetup | [0.1.1, 0.1.1] | – |
| Anrk | [0.1.1, 0.1.1] | – |
| fuckyoubitch | [0.1.1, 0.1.1] | – |
| initialtestingdonotpull1235 | [3.0.1, 3.0.1] | – |
| Anrok | [0.1.1, 0.1.1] | – |
| fuckingnuker | [0.1.3, 0.1.3] | – |
参考链接
https://www.oscs1024.com/hd/MPS-06f8-lav5
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=Z1KC
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：fifam5tl@0.1.1
攻击目标：广泛Python用户
理由：名称随机，可能伪装成无害包，通过误安装传播恶意木马。 -
包名：selenium-stealth-helper@1.0.0-1.1.4
攻击目标：Web自动化项目
理由：含”selenium”，伪装成自动化工具，目标使用Selenium的开发者，窃取主机信息。 -
包名：py-sys-utils@3.0.1-3.2.4
攻击目标：系统工具依赖项目
理由：伪装系统工具库，目标需系统功能的项目，利用其执行恶意操作。 -
包名：electrum-bch@0.3.5-0.3.9
攻击目标：Electrum BCH钱包用户
理由：Electrum是比特币钱包，伪装成BCH相关组件，窃取钱包用户主机信息。 -
包名：seclab-research-depconf-test-2@1.0
攻击目标：安全研究项目
理由：含”seclab-research”，伪装安全测试包，目标研究人员，窃取研究环境信息。 -
包名：Anrk@0.1.1
攻击目标：广泛Python用户
理由：标题提及的主要恶意包，执行木马窃取主机信息并远控，目标随机安装用户。
