Вредоносный гем crypto-tax-export открывает реверс-шелл при установке, маскируясь под биткоин-RPC-библиотеку
В RubyGems опубликован пакет crypto-tax-export, у которого скрипт сборки нативного расширения выполняется прямо во время установки гема. Перед запуском нагрузки он проверяет, что это реальная рабочая машина разработчика, а не песочница (переменные CI, временные хостнеймы и имена пользователей, пути анализа, малый аптайм, наличие SSH-ключей, учётных данных RubyGems и конфига git), после чего отщепляет фоновый процесс, выжидает случайные десятки минут и через eval от base64-нагрузки поднимает shell на жёстко прописанный внешний хост в цикле переподключения. Заявленной функциональности экспорта налогов в геме нет: README и имя нативной цели скопированы у постороннего биткоин-RPC-пакета, то есть легенда — прикрытие, рассчитанное на биткоин-разработчиков. Результат — полный интерактивный доступ к машине, где лежат SSH-ключи, токены публикации пакетов и исходники кошельков.
Немедленно проверьте, не устанавливался ли этот гем в проектах, образах сборки и на рабочих машинах; при совпадении считайте хост скомпрометированным: отключите его от сети, не ограничиваясь удалением пакета, ротируйте SSH-ключи, учётные данные публикации пакетов и прочие секреты с этой машины, проверьте логи исходящих соединений на длительные TCP-сессии к неизвестным адресам и переразверните окружение с нуля. Приватные ключи и seed, которые могли лежать или вводиться на такой машине, замените и переведите средства с устройства, которому доверяете.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.