Вредоносный gem nft-metadata-resolver выдаёт себя за библиотеку bitcoin-rpc и открывает обратный шелл при установке
Пакет в RubyGems публикуется под именем nft-metadata-resolver, но в README описан как библиотека bitcoin-rpc-lite, а цель сборки нативного расширения названа соответствующе — при этом настоящего C/C++ кода в пакете нет. Скрипт нативного расширения, который RubyGems выполняет автоматически во время `gem install`, декодирует base64-нагрузку и запускает её в отсоединённом дочернем процессе; нагрузка подключается по TCP к зашитому IP-адресу и пробрасывает туда ввод-вывод /bin/sh, давая удалённой стороне интерактивную оболочку на машине установщика. Запуск защищён проверками обхода анализа: CI, песочницы, «аналитические» имена пользователей и хосты с малым аптаймом пропускаются, срабатывание происходит только при признаках реальной машины разработчика. Для тех, кто искал Ruby-обвязку к Bitcoin Core RPC, это прямой путь к полному контролю над рабочим хостом со всеми его ключами, кошельковыми файлами и доступами.
Проверьте немедленно, не устанавливался ли этот gem прямо или как зависимость в проектах и CI; при установке на машине разработчика считайте хост скомпрометированным — отключите его от сети, не доверяйте ему секреты, перенесите разработку в чистую среду, смените все ключи, токены и пароли, которые на нём были, и переведите средства из кошельков, чьи ключи или seed могли там находиться. Удалите пакет из Gemfile и lock-файлов и зафиксируйте точные имена зависимостей вместо похожих по названию.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.