В RubyGems бяха открити 724 злонамерени пакета

Компания ReversingLabs е публикувала результати от анализа на прилагането тайпсквоттенг в хранилището RubyGems. Обикновено тайпсквотингът се използва за разпространение на злонамерени пакети, разчитайки на това, че невнимателният разработчик при търсене ще направи печатна грешка или няма да забележи разликата. В хода на изследването бяха открити над 700 пакета, чиито имена са подобни на популярни пакети и се различават с незначителни детайли, например, замяна на подобни букви или използване на долна черта вместо тире.

В повече от 400 пакета бяха открити компоненти, заподозрени в извършване на злонамерени действия. В частност, в тях имаше файл aaa.png, включващ изпълняем код във формат PE. Указаните пакети бяха свързани с две акаунта, чрез които от 16 до 25 февруари 2020 година в RubyGems бяха публикувани 724 злонамерени пакета, които общо бяха изтеглени около 95 хиляди пъти. Изследователите уведомиха администрацията на RubyGems и откритите злонамерени пакети вече са премахнати от хранилището.

От откритите проблемни пакети, най-популярен беше „atlas-client“, който на пръв поглед е почти неразличим от легитимния пакет „atlas_client“. Указаният пакет беше изтеглен 2100 пъти (нормалният пакет бе изтеглен 6496 пъти, т.е. потребителите сгрешиха почти в 25% от случаите). Останалите пакети средно бяха изтеглени 100-150 пъти и се камуфлираха под други пакети, използвайки сходна техника на замяна на долни черти и тирета (например, сред злонамерени пакети: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

Зловредните пакети включваха PNG файл, в който вместо изображение беше поставен изпълняем файл за платформа Windows. Файлът беше създаден с помощта на утилита Ocra Ruby2Exe и включваше самораспакващ се архив с Ruby скрипт и интерпретатор Ruby. При инсталирането на пакета, PNG файлът се преименуваше на EXE и се стартираше. В хода на изпълнението се създаваше и добавяше в автозапуск файл с VBScript. Указаният зловреден VBScript в цикъл анализираше съдържанието на клипборда за наличие на информация, наподобяваща адреси на криптовалутични портфейли, и в случай на откритие заменяше номера на портфейла, разчитайки на това, че потребителят няма да забележи разликата и ще прехвърли средствата на погрешния портфейл.

Извършеното проучване показа, че не е трудно да се добавят зловредни пакети в един от най-популярните репозитории и тези пакети могат да останат незабелязани, въпреки значителния брой изтегляния. Следва да се отбележи, че проблемът не е специфичен за за RubyGems и засяга и други популярни репозитории. Например, миналата година същите изследователи оцениха в репозитория NPM откриха зловредния пакет bb-builder, използващ аналогична техника за стартиране на изпълняем файл за кражба на пароли. Преди това бекдорът бе намерен в зависимост към NPM пакета event-stream и зловредният код беше изтеглен около 8 милиона пъти. Зловредните пакети също периодично се появяват в репозитория PyPI.

Източник: opennet.ru