Вредоносный RubyGems-пакет выдаёт себя за библиотеку bitcoin-rpc-lite и ставит реверс-шелл при установке
В реестре RubyGems опубликован гем, чьи метаданные называют его eth-gas-oracle, но README и имя нативного расширения выдают его за библиотеку для работы с bitcoin-RPC — то есть цель приманки именно биткоин-разработчики. Скрипт сборки нативного расширения во время `gem install` декодирует встроенную нагрузку и запускает её в отключённом дочернем процессе: она подключается к жёстко прописанному удалённому хосту и отдаёт оболочку, давая оператору произвольное выполнение команд на машине установщика. Нагрузка умышленно уклоняется от анализа — ждёт 20–40 минут, пропускает CI и песочницы и запускается только при наличии разработческих артефактов вроде ключей SSH, конфигов git, npm и учётных данных gem. Полезной функциональности в геме нет: это одноразовая оболочка для дроппера.
Сейчас проверьте, не устанавливался ли этот гем на рабочих и сборочных машинах, и не тяните его как зависимость. Если установка была — считайте хост скомпрометированным: отключите его от сети, не доверяйте ему секреты, ротируйте ключи SSH, токены реестров и учётные данные, лежавшие в домашнем каталоге, и перенесите средства из любых кошельков, чьи ключи или seed могли быть на этой машине. Детали — по ссылке в посте.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.