724 злонамерени пакета, открити в RubyGems

Фирма ReversingLabs публикувано резултати от анализ на приложението типскуотинг в хранилището на RubyGems. Обикновено typosquatting се използва за разпространение на злонамерени пакети, предназначени да накарат невнимателен разработчик да направи печатна грешка или да не забележи разликата при търсене. Проучването идентифицира повече от 700 пакета с имена, подобни на популярните пакети, но различаващи се по незначителни детайли, като например заместване на подобни букви или използване на долна черта вместо тирета.

В повече от 400 пакета бяха открити компоненти, за които се подозира, че извършват злонамерени дейности. По-специално, файлът вътре беше aaa.png, който включваше изпълним код във формат PE. Тези пакети бяха свързани с два акаунта, чрез които RubyGems беше публикуван от 16 февруари до 25 февруари 2020 г. 724 злонамерени пакета, които общо са изтеглени около 95 хиляди пъти. Изследователите информираха администрацията на RubyGems и идентифицираните злонамерени пакети вече бяха премахнати от хранилището.

От идентифицираните проблемни пакети най-популярен беше „атлас-клиент“, който на пръв поглед практически не се различава от легитимния пакет „atlas_client". Посоченият пакет е изтеглен 2100 пъти (нормалният пакет е изтеглен 6496 пъти, т.е. потребителите са грешали в почти 25% от случаите). Останалите пакети бяха изтеглени средно 100-150 пъти и бяха замаскирани като други пакети, използвайки подобна техника на замяна на долни черти и тирета (например, сред злонамерени пакети: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

Злонамерените пакети включват PNG файл, който съдържа изпълним файл за платформата Windows вместо изображение. Файлът беше генериран с помощта на помощната програма Ocra Ruby2Exe и включваше саморазархивиращ се архив с Ruby скрипт и Ruby интерпретатор. При инсталиране на пакета png файлът беше преименуван на exe и стартиран. По време на изпълнение беше създаден VBScript файл и добавен към автоматично стартиране. Посоченият злонамерен VBScript в цикъл анализира съдържанието на клипборда за наличие на информация, напомняща за адреси на крипто портфейл, и ако бъде открит, замени номера на портфейла с очакването, че потребителят няма да забележи разликите и ще прехвърли средства в грешен портфейл .

Проучването показа, че не е трудно да се постигне добавяне на злонамерени пакети към едно от най-популярните хранилища и тези пакети могат да останат неоткрити, въпреки значителния брой изтегляния. Трябва да се отбележи, че проблемът не специфичен за RubyGems и обхваща други популярни хранилища. Например миналата година същите изследователи разкри в хранилището на NPM има злонамерен пакет, наречен bb-builder, който използва подобна техника за стартиране на изпълним файл за кражба на пароли. Преди това имаше заден ход намерен в зависимост от NPM пакета за потока на събития, зловредният код е изтеглен около 8 милиона пъти. Злонамерени пакети също периодично изскочи в хранилището на PyPI.

Източник: opennet.ru