[业内新闻动态] [【转载】] Packagist 上的虚假 Laravel 包可在 Windows、macOS 和 Linux 上部署远程访问木马

结论

恶意包通过Composer依赖链注入混淆代码，利用Laravel框架启动或自动加载机制触发C2通信。攻击面覆盖所有下载过nhattuanbl/lara-helper或nhattuanbl/simple-queue的环境，且RAT在应用进程内运行，可直接访问敏感数据与系统权限。

分析路径（Source-Sink思路）

1. L1攻击面识别

   • Source：恶意包依赖树（lara-swagger→lara-helper）
   • Sink：
     • stream_socket_client()：与C2 helper.leuleu[.]net:2096建立TCP连接
     • exec/popen/system等命令执行函数
     • imagegrabscreen()：截屏功能
     • 环境变量与文件读写（如.env文件）

2. L2假设与验证

   • 假设1：恶意代码通过src/helper.php启动C2通信
     • 验证：检查该文件是否存在base64编码字符串、随机命名函数（如_0x5f7a10()）、域名硬编码（解码后检查是否指向C2）
   • 假设2：RAT在框架启动时加载
     • 验证：检查是否存在ServiceProvider注册或autoload触发代码

3. L3边界/异常场景

   • 跨平台兼容性：
     • Windows通过PowerShell执行命令
     • Linux/macOS通过proc_open或system执行
   • C2重连机制：即使服务宕机，15秒重试循环仍保持持久性

4. L4防御反推与修复

   • 防御绕过点：
     • 动态选择未被disable_functions禁用的命令执行方法
     • 控制流混淆躲避静态分析
   • 修复关键点：
     • 移除恶意代码载体（helper.php）
     • 阻断C2流量并监控异常出站请求

验证步骤（最小可执行路径）

1. 依赖树检查

   composer show --tree | grep "nhattuanbl"

   若输出包含lara-helper或simple-queue，立即停止服务并隔离环境。

2. 代码静态分析

   # 查找混淆特征
   grep -rEi "stream_socket_client|base64_decode|exec|popen|proc_open" vendor/nhattuanbl/
   # 查找C2域名
   strings vendor/nhattuanbl/lara-helper/src/helper.php | grep -i "leuleu"

3. 运行时检测

   # 检查进程网络连接（Linux/macOS）
   netstat -anp | grep ":2096"
   # 检查可疑PHP进程（含命令执行特征）
   ps aux | grep "php.*exec"

4. 环境残留检查

   • 审计/etc/cron*或计划任务是否有新增定时任务（如心跳机制）
   • 检查php.ini中disable_functions是否被篡改

修复建议

1. 紧急措施

   composer remove nhattuanbl/lara-helper nhattuanbl/simple-queue --no-update  
   rm -rf vendor/nhattuanbl/  

   更新composer.json依赖白名单，排除nhattuanbl命名空间。

2. 防御加固

   • 配置Composer锁定可信仓库（config repositories）
   • 在PHP中禁用危险函数：

     disable_functions = exec,passthru,shell_exec,system,popen,proc_open,...

   • 阻断C2域名与端口（2096/TCP）的出站流量

3. 长期监控

   • 监控应用日志中stream_socket_client调用
   • 对/var/log/auth.log（Linux）或Windows事件日志进行异常登录审计
   • 使用SAST工具（如RIPS）扫描依赖项中的命令注入风险

注：若已发生数据泄露，需按合规要求通知监管机构并重置所有敏感凭证。