Вредоносный gem в RubyGems выдаёт себя за библиотеку bitcoin-rpc и открывает удалённый шелл при установке
В RubyGems обнаружен пакет, у которого имя заявлено как ERC20-аудит, но README и цель нативной сборки выдают его за легковесную библиотеку доступа к bitcoin RPC, а сам Ruby-код — пустая заглушка из двух методов. Скрипт нативного расширения выполняется автоматически при установке gem: он декодирует скрытую нагрузку и запускает её фоновым отвязанным процессом с задержкой, после чего подключается к жёстко прошитому удалённому адресу и перекидывает туда локальный shell в бесконечном цикле переподключения — это полный удалённый контроль над машиной разработчика. Нагрузка намеренно молчит в CI, песочницах и на свежезагруженных хостах и срабатывает только там, где видны признаки живого рабочего окружения: ключи SSH, конфиг git, учётные данные RubyGems, bundle и npm. Под ударом те, кто ставил этот gem на машину со сборкой или ключами биткоин-инфраструктуры.
Проверьте сегодня историю установок gem и зависимости проектов на этот пакет; если он ставился — считайте хост скомпрометированным: отключите его от сети, найдите и завершите отвязанный фоновый процесс с оболочкой, переустановите систему, затем смените ключи SSH, токены RubyGems и npm, git-креды и любые seed/приватные ключи, которые лежали или использовались на этой машине, и переведите средства на адреса от нового seed, созданного в чистой среде. Деталь в advisory по ссылке ниже; ждать нечего — доступ даётся с первой же установки.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.