Вредоносный gem wallet-backup-tool в RubyGems запускает загрузчик при установке
Пакет wallet-backup-tool выдаёт себя за инструмент работы с BIP-39, но реальной библиотеки в нём нет: вместо полного словаря отдаётся обрезанный список, а C-расширение — пустая заглушка. Сборочный скрипт нативного расширения, который выполняется автоматически при gem install, содержит закодированную нагрузку: она запускается в отскрытом дочернем процессе, предварительно проверяя, что машина не похожа на CI или песочницу и что в домашнем каталоге есть файлы разработчика (ssh-ключи, конфиг git, учётные данные gem и bundler). Затем, после случайной задержки, нагрузка по открытому HTTP скачивает архив и исполняет из него скрипт. Прицел — именно машины разработчиков, где рядом с ключами разработки лежат криптокошельки и секреты.
Сейчас проверьте, не устанавливался ли этот gem напрямую или как зависимость в проектах и CI; при обнаружении немедленно удалите его и считайте машину скомпрометированной: отзовите и перегенерируйте ssh-ключи, токены RubyGems и bundler и прочие лежавшие там секреты. Если на этой машине были seed или приватные ключи, создайте новый seed в заведомо чистой среде и переведите средства, не дожидаясь подтверждений — что именно сделал загруженный скрипт, из описания не следует.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.