Вредоносный гем bitcion выдаёт себя за список слов BIP-39 и при установке скачивает сторонний код
Пакет в RubyGems с именем, отличающимся от названия биткоин-библиотеки на одну букву, содержит пустую нативную заготовку, единственная задача которой — запустить скрипт сборки при установке. Этот скрипт расшифровывает и выполняет полезную нагрузку в отдельном дочернем процессе: она собирает адрес управляющего сервера, по обычному HTTP тянет архив во временный каталог и запускает оттуда шелл-скрипт, то есть произвольный код атакующего. Нагрузка целенаправленно ищет признаки машины разработчика — каталоги ssh, настройки git, учётные данные gem и bundle — и пропускает запуск в песочницах и CI, а перед загрузкой выжидает случайную задержку. Под угрозой всё, до чего достанут ключи и токены на такой машине, включая доступ к репозиториям и инфраструктуре сборки.
Проверьте сегодня, не ставился ли этот гем в проектах и на машинах сборки, — имя отличается от настоящей библиотеки одной буквой. Если он устанавливался, считайте хост скомпрометированным: отключите его от сети, проверьте временные каталоги и фоновые процессы, перевыпустите ssh-ключи, токены gem/bundle и другие секреты с этой машины, а подписные ключи и кошельки, к которым машина имела доступ, пересоздайте и переведите средства на новые адреса. Закрепите установку зависимостей по lock-файлу и запретите выполнение нативных расширений из непроверенных источников.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.