В RubyGems найден вредоносный пакет btc-wallet-tools с обратным шеллом при установке
Гем с биткоин-ориентированным именем содержит в установочном скрипте расширения base64-блоб, который декодируется и исполняется при обычной установке пакета. Нагрузка открывает TCP-соединение к серверу оператора и связывает его с шеллом, выдавая удалённый интерактивный доступ к машине разработчика. Запуск отложен на десятки минут и отключается в CI, песочницах и на хостах без признаков рабочего окружения разработчика — то есть целью выбраны именно реальные рабочие станции с SSH-ключами, git- и gem-credentials. Полезной функциональности у файла нет: его единственная задача — исполнить непрозрачный код.
Прямо сейчас проверьте, не устанавливался ли этот гем на рабочих станциях и сборочных машинах; при любом признаке установки считайте хост скомпрометированным: отключите его от сети, отзовите и перевыпустите SSH-ключи, токены gem/npm и прочие сохранённые учётные данные, а ключи и seed кошельков, доступные с этой машины, замените и переведите средства на новые адреса из доверенного окружения. Удалите пакет из зависимостей и lock-файлов, проверьте имена гемов на опечатки перед установкой. Детали — по ссылке в посте.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.