PyPI仓库 crto0 组件内嵌信息窃取木马

【高危】PyPI仓库 crto0 组件内嵌信息窃取木马

漏洞描述

当用户安装受影响版本的 crto0 Python组件时会从攻击者可控的Github地址下载并执行恶意木马，该木马会窃取Windows系统重的系统与硬件信息（用户信息、屏幕截图、摄像头、硬盘、IP、Mac地址等）、Discord账户信息、浏览器信息（密码、Cookie、浏览记录、信用卡信息）以及钱包、游戏启动器等敏感软件数据并发送到攻击者可控的服务器地址。

影响范围

参考链接

https://www.oscs1024.com/hd/MPS-c86b-mst1

安全处理建议

1. 排查是否安装了受影响的包：
   使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
2. 立即移除受影响包：
   若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。
3. 全面检查系统安全：
   运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。
4. 加强依赖管理规范：

• 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
• 使用npm audit、yarn audit定期检查依赖漏洞。
• 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
• 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址：https://www.murphysec.com/adv?code=9VL5

提交漏洞情报：https://www.murphysec.com/bounty

关于本次投毒的分析

• 包名：crto@1.0.7
  攻击目标：Windows个人用户
  理由：恶意木马窃取Windows系统信息、Discord账户、浏览器数据、钱包及游戏信息，针对安装该包的普通用户。