Вредоносный гем в RubyGems маскируется под библиотеку bitcoin-rpc и способен открыть обратный шелл при установке
В пакете gas-refuel-bridge для RubyGems найден вредоносный код: сборочный скрипт нативного расширения декодирует и исполняет встроенную нагрузку прямо во время установки гема. Нагрузка запускает отсоединённый фоновый процесс, который после паузы подключается к внешнему хосту и перенаправляет туда /bin/sh — то есть способен дать атакующему постоянный доступ к машине разработчика. Запуск намеренно пропускается в CI и в одноразовых окружениях и происходит только при наличии на диске признаков рабочей машины: ключей SSH, конфигов git, учётных данных npm, RubyGems и bundler. Заявленная функциональность — прикрытие: описание говорит о «gas refuel bridge», README озаглавлен как bitcoin-rpc-библиотека, а сам код библиотеки состоит из пустых заглушек, поэтому гем может попасть в биткоин-проект по ошибке при поиске RPC-клиента.
Не устанавливайте этот гем и уберите его из Gemfile и lock-файлов сейчас же. Если установка уже выполнялась на рабочей машине, считайте хост скомпрометированным: отключите его от сети, проверьте фоновые процессы и исходящие соединения, перевыпустите ключи SSH, токены RubyGems, npm и git-креды, а секреты и seed-фразы кошельков, которые хранились или вводились на этой машине, замените и переведите средства на новые адреса с доверенного устройства. Детали — по ссылке ниже.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.