Вредоносный гем perp-funding-rates выдаёт себя за библиотеку bitcoin-rpc-lite и открывает обратный шелл при установке

В RubyGems обнаружен пакет perp-funding-rates, чей README описывает библиотеку bitcoin-rpc-lite, а имя нативного расширения повторяет её название — при этом никаких исходников сборки в пакете нет. Скрипт расширения существует только для исполнения кода на этапе `gem install`: он декодирует base64-нагрузку и запускает её в отключённом дочернем процессе с задержкой, после чего соединяется с жёстко прописанным управляющим сервером и пробрасывает туда /bin/sh. Запуск включается только на машинах с признаками разработчика — наличием каталогов и файлов SSH, учётных данных RubyGems, конфигов git, npm и bundler, — то есть целью являются рабочие станции и сборочные системы. Для разработчика это интерактивный доступ атакующего к машине, где лежат ключи подписи, токены и доступ к инфраструктуре.