Вредоносный гем tx-broadcast-utils выдаёт себя за библиотеку для бродкаста биткоин-транзакций и запускает загрузчик при установке
В RubyGems опубликован пакет tx-broadcast-utils, заявленный как набор помощников для рассылки биткоин-транзакций через публичные esplora-эндпоинты. Заявленной функциональности в нём нет: библиотека содержит только урезанный список слов BIP39, а единственный работающий компонент — скрипт нативного расширения, который на этапе `gem install` исполняет закодированную полезную нагрузку. Нагрузка отделяет фоновый процесс, выжидает несколько десятков минут, скачивает и запускает сторонний архив с удалённого сервера от имени устанавливающего пользователя. Запуск нарочно подавляется в CI и песочницах и срабатывает только при признаках рабочей машины разработчика — наличии ключей SSH, конфигурации git и учётных данных gem.
Сейчас же проверьте, не устанавливался ли этот гем на машинах разработки и в сборочных окружениях, и исключите его из зависимостей и зеркал. Если установка была, считайте хост скомпрометированным: отключите его от сети, поищите посторонний фоновый процесс и временные файлы, перевыпустите ключи SSH, учётные данные RubyGems и токены git с другой, чистой машины, а любые ключи и seed, которые лежали или использовались на этом хосте, замените и переведите средства на новые адреса. Детали — по ссылке ниже.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.