Вредоносный гем bitciin в RubyGems: код исполняется при установке и может украсть ключи и publisher-креденшелы
Гем с именем, отличающимся от bitcoin на один символ, объявляет нативное расширение только для того, чтобы при `gem install` выполнился скрипт сборки; сам C-код — пустая заглушка, а Ruby-часть содержит лишь статический хелпер со словарём. Скрипт проверяет, что машина похожа на рабочую станцию разработчика, а не на песочницу (переменные CI, имя хоста и пользователя, время работы системы, наличие каталогов SSH, git-конфига, креденшелов RubyGems, bundler и npm), после чего уходит в фон и расшифровывает Ruby-нагрузку. Нагрузка собирает адрес управляющего сервера из зашифрованного блоба, выжидает 20–40 минут, скачивает архив во временный каталог и запускает оттуда shell-установщик. Проверяемые пути прицельно включают файлы с токенами публикации пакетов, что указывает на вторую стадию, нацеленную на кражу учётных данных — в том числе SSH-ключей и секретов, лежащих рядом с кошельковыми и репозиторными конфигами.
Немедленно проверьте, не устанавливался ли этот гем на ваших машинах и в CI, и не ставьте его ни в каком виде; при опечатке в имени зависимости исправьте её сейчас. Если установка была — считайте машину скомпрометированной: отзовите и перевыпустите токены RubyGems и npm, SSH-ключи и git-креденшелы, проверьте фоновые процессы и временные каталоги на посторонние архивы и скрипты, затем переустановите окружение. Любые seed-фразы и приватные ключи, лежавшие на этой машине, считайте раскрытыми: сгенерируйте новые в доверенной среде и переведите средства на новые адреса — откладывать нельзя, вторая стадия нацелена на кражу секретов.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.