Вредоносный гем seed-phrase-validator даёт удалённый шелл на машине разработчика при установке
В RubyGems опубликован пакет seed-phrase-validator, который объявляет нативное расширение, но не содержит исходников: его установочный скрипт существует только чтобы исполниться во время установки, расшифровать base64-полезную нагрузку и запустить её в отсоединённом процессе с отложенным старом, чтобы пережить сам процесс установки. Нагрузка открывает TCP-соединение на жёстко прописанный адрес и пробрасывает его в оболочку, то есть даёт атакующему интерактивный удалённый доступ к хосту. Запуск отфильтрован антианализом: CI и песочницы пропускаются, срабатывание происходит только на машинах с артефактами разработчика — ключами SSH, конфигами git, npm, учётными данными gem и bundle. Идентичность пакета несогласованна: имя про проверку seed-фразы, README называется как библиотека для Bitcoin RPC, цель makefile — то же самое, нативных исходников нет; то есть пакет мимикрирует под биткоин-инструментарий.
Немедленно проверьте, не устанавливался ли этот гем прямо или как зависимость в проектах и на машинах сборки; если устанавливался — считайте хост скомпрометированным: отключите его от сети, удалите пакет, перевыпустите ключи SSH, токены npm/gem/git и прочие учётные данные с этой машины, проверьте исходящие соединения и фоновые процессы. Если на такой машине были seed-фразы или приватные ключи, создайте новые секреты в доверенной незатронутой среде и переведите средства. Зафиксируйте пакет в блок-листе до того, как кто-то в команде поставит его по опечатке.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.