Гем ton-jetton-tools выдаёт себя за библиотеку bitcoin-rpc и при установке способен открыть удалённый shell
В RubyGems-пакете ton-jetton-tools сборочный скрипт нативного расширения содержит base64-закодированную полезную нагрузку, которая декодируется и исполняется прямо во время установки гема. Нагрузка запускает отложенный фоновый процесс, подключается к внешнему адресу и пробрасывает туда /bin/sh, то есть даёт оператору этого адреса интерактивную оболочку на машине разработчика. Запуск намеренно пропускается в CI и песочницах и срабатывает только там, где найдены артефакты разработчика — ключи SSH, конфиг git, учётные данные npm и RubyGems, настройки bundler. Заявленное имя пакета не совпадает с его README и заглушкой нативного модуля, которые имитируют библиотеку доступа к Bitcoin RPC, так что целью выглядят именно разработчики биткоин-инфраструктуры.
Немедленно уберите этот гем из Gemfile, локов и внутренних зеркал и не устанавливайте его. Проверьте по истории установок и логам сборки, не выполнялась ли установка на рабочих или серверных машинах. Если установка была — считайте хост скомпрометированным: отключите его от сети, ротируйте SSH-ключи, токены RubyGems и npm, пароли и API-ключи, которые на нём лежали, и переустановите систему вместо выборочной чистки. Любые приватные ключи и seed, которые хранились или вводились на этом хосте, считайте раскрытыми: создайте новые секреты в доверенной среде и переведите средства на новые адреса, не дожидаясь признаков кражи.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.