Вредоносный гем bip39-wordlist-utils исполняет скрытый загрузчик при установке
В RubyGems опубликован пакет с именем из биткоин-окрестности (BIP39), который не содержит настоящего нативного кода: сборочный скрипт расшифровывает base64-блоб и исполняет его прямо при `gem install`. Полезная нагрузка скачивает архив с захардкоженного IP по обычному HTTP, распаковывает во временный каталог и запускает скрипт от имени устанавливающего пользователя, маскируя установку как успешную. Загрузчик намеренно обходит песочницы и CI, срабатывает только при наличии признаков рабочей машины разработчика (ключи SSH, конфиг git, учётные данные gem/bundle/npm) и выжидает перед запуском, то есть целится в машины, где хранятся секреты и может собираться биткоин-код.
Проверьте прямо сейчас, не ставился ли этот гем на рабочих машинах и в сборочных окружениях; при любом следе установки считайте хост скомпрометированным — изолируйте его, удалите пакет и ротируйте все хранившиеся там секреты (ключи SSH, токены git, учётные данные RubyGems/npm). Если на машине были файлы кошелька или seed, переносите средства на кошелёк, созданный в заведомо чистой среде, не откладывая. Заблокируйте имя пакета в внутренних зеркалах и впредь сверяйте имена BIP39-библиотек перед установкой.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.