Вредоносный гем lightning-invoice-utils в RubyGems: дроппер запускается при установке
Пакет выдаёт себя за библиотеку декодирования BOLT11-инвойсов, но заявленной функциональности в нём нет. Нативное расширение автоматически исполняется при gem install: скрипт сборки раскодирует встроенную полезную нагрузку, скачивает архив по открытому HTTP во временный каталог и запускает оттуда shell-скрипт отдельным отсоединённым процессом. Запуск включается только на машинах, где есть каталоги и файлы с ключами SSH и учётными данными gem/npm/bundler, и подавляется в CI и песочницах — цель дроппера именно машины разработчиков с доступом к ключам и реестрам.
Проверьте сейчас, не ставился ли этот гем в ваших проектах и образах сборки; если ставился — считайте машину скомпрометированной: удалите пакет, отзовите и перевыпустите SSH-ключи, токены RubyGems, npm и прочие учётные данные, лежавшие на хосте, и проверьте следы запуска во временных каталогах. Любые seed-фразы или ключи кошельков, находившиеся на этой машине, считайте раскрытыми и переведите средства на новые адреса с ключами, созданными в чистой среде. Если не ставили — закрепите пакет в запрете и проверьте транзитивные зависимости.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.