【高危】Chrome拓展 Video Speed Controller 等内嵌恶意后门

漏洞描述

当用户安装受影响版本的 Video Speed Controller 等Chrome拓展会窃取用户的浏览链接，并与攻击者可控的C2地址建立持久化连接，攻击者可将用户浏览器重定向到恶意网站。

MPS编号	MPS-nk5f-xi4w
处置建议	强烈建议修复
发现时间	2025-07-09
投毒仓库	chrome
投毒类型	隐私数据收集、后门文件
利用成本	低
利用可能性	中

影响范围

影响组件	受影响的版本	最小修复版本
eckokfcjbjbgjifpcbdmengnabecdakp	(-∞, 1.0.11]	-
eokjikchkppnkdipbiggnmlkahcdkikp	(-∞, 1.0.12]	-
mgbhdehiapbjamfgekfpebmhmnmcmemg	(-∞, 1.0.8]	-
cbajickflblmpjodnjoldpiicfmecmif	(-∞, 0.1.16]	-
kgmeffmlnkfnjpgmdndccklfigfhajen	[0.1.6.6, 0.1.6.6]	-
mlgbkfnjdmaoldgagamcnommbbnhfnhf	(-∞, 0.2.6]	-
gaiceihehajjahakcglkhmdbbdclbnlf	(-∞, 1.0.12]	-
pdbfcnhlobhoahcamoefbfodpmklgmjm	(-∞, 1.2.13]	-

参考链接

https://www.oscs1024.com/hd/MPS-nk5f-xi4w

安全处理建议

1. 排查是否安装了受影响的包：
   使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
2. 立即移除受影响包：
   若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。
3. 全面检查系统安全：
   运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。
4. 加强依赖管理规范：

• 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
• 使用npm audit、yarn audit定期检查依赖漏洞。
• 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
• 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址：https://www.murphysec.com/apply?code=93XQ

提交漏洞情报：https://www.murphysec.com/bounty

关于本次投毒的分析

• 包名：eckokfcjbjbgjifpcbdmengnabecdakp@(-∞, 1.0.11]

• 攻击目标：Chrome浏览器用户

• 理由：安装后窃取浏览链接，建立C2连接，可重定向至恶意网站，危害用户安全。

• 包名：eokjikchkppnkdipbiggnmlkahcdkikp@(-∞, 1.0.12]

• 攻击目标：Chrome浏览器用户

• 理由：恶意后门窃取浏览数据，持久化C2连接，致用户被重定向到恶意网站。

• 包名：mgbhdehiapbjamfgekfpebmhmnmcmemg@(-∞, 1.0.8]

• 攻击目标：Chrome浏览器用户

• 理由：含窃取浏览链接后门，与攻击者C2通信，可强制重定向用户浏览器。

• 包名：cbajickflblmpjodnjoldpiicfmecmif@(-∞, 0.1.16]

• 攻击目标：Chrome浏览器用户

• 理由：安装后窃取用户浏览信息，建立持久C2连接，面临恶意网站重定向风险。

• 包名：kgmeffmlnkfnjpgmdndccklfigfhajen@[0.1.6.6, 0.1.6.6]

• 攻击目标：Chrome浏览器用户

• 理由：特定版本含后门，窃取浏览链接并连C2，攻击者可控制浏览器重定向。

• 包名：mlgbkfnjdmaoldgagamcnommbbnhfnhf@(-∞, 0.2.6]

• 攻击目标：Chrome浏览器用户

• 理由：恶意扩展窃取浏览数据，通过C2持久化控制，致用户被导向恶意站点。

• 包名：gaiceihehajjahakcglkhmdbbdclbnlf@(-∞, 1.0.12]

• 攻击目标：Chrome浏览器用户

• 理由：含窃取浏览链接功能，与攻击者C2建立连接，存在恶意重定向风险。

• 包名：pdbfcnhlobhoahcamoefbfodpmklgmjm@(-∞, 1.2.13]

• 攻击目标：Chrome浏览器用户

• 理由：安装后执行后门，窃取浏览信息并连C2，攻击者可操控浏览器重定向。