Вредоносный RubyGems-пакет crypto-mnemonic-tools открывает удалённый шелл на машине разработчика при установке
Гем выдаёт себя за библиотеку для работы с мнемоническими фразами без зависимостей, но объявляет нативное расширение без исходников: его сборочный скрипт существует только ради выполнения кода в момент gem install. Скрипт декодирует и выполняет полезную нагрузку в отсоединённом фоновом процессе после задержки в десятки минут, после чего подключается к жёстко прописанному удалённому адресу и пробрасывает туда интерактивную оболочку, давая постороннему неаутентифицированный доступ к хосту. Запуск включается только при наличии на машине артефактов разработчика — ключей SSH, конфигурации git, учётных данных gem и bundler, настроек npm — и подавляется при признаках песочницы или CI. Ни название пакета, ни README не упоминают ни нативного расширения, ни сети, ни фоновых процессов.
Немедленно удалите этот гем и проверьте локи и сборочные логи проектов на его присутствие. Если он устанавливался, считайте хост скомпрометированным: изолируйте машину, ищите долгоживущие фоновые процессы и исходящие соединения, перевыпустите ключи SSH, токены gem/bundler/npm и остальные учётные данные с этой машины. Если на ней были seed-фразы или ключи кошельков, сгенерируйте новые секреты в заведомо чистой среде и переведите средства на новые адреса, не дожидаясь признаков кражи.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.