Гем hd-wallet-generator в RubyGems содержит дроппер: при установке открывает удалённый шелл на машине разработчика
Пакет с биткоин-ориентированным названием hd-wallet-generator выполняет Base64-нагрузку через eval() в сборочном скрипте нативного расширения прямо во время установки гема. Нагрузка подключается к жёстко прописанному удалённому хосту и отдаёт оператору интерактивный /bin/sh, причём запуск отложен на 20–40 минут и обставлен проверками на песочницу и CI, а срабатывает только там, где на диске видны признаки рабочей машины разработчика: SSH-ключи, конфиг git, учётные данные gem и bundle, npmrc. Нативных исходников в пакете нет вовсе — сборка расширения служит только предлогом, а название метаданных расходится с описанием в README. Любой, кто поставил этот гем в поисках библиотеки для HD-кошельков, должен считать хост и все лежащие на нём секреты доступными посторонним.
Не устанавливай этот гем и убери его из Gemfile и lock-файлов сейчас же. Если установка уже проходила — считай машину скомпрометированной: отключи её от сети, перевыпусти SSH-ключи, токены git, учётные данные RubyGems и npm, а сид-фразы и приватные ключи, которые были доступны на этом хосте, замени на новые, сгенерированные в доверенной чистой среде, и переведи средства на новые адреса. Проверь исходящие соединения и cron/фоновые процессы на хосте за последние сутки.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.