In RubyGems wurden 724 schädliche Pakete identifiziert

Das Unternehmen ReversingLabs veröffentlicht Ergebnisse der Anwendung Analyse Typ-Squatting im RubyGems-Repository. Typo-Squatting wird häufig verwendet, um bösartige Pakete zu verbreiten, die darauf abzielen, dass ein unaufmerksamer Entwickler einen Tippfehler bei der Suche macht oder den Unterschied nicht bemerkt. Im Rahmen der Untersuchung wurden mehr als 700 Pakete identifiziert, deren Namen denen beliebter Pakete ähneln und sich nur durch geringfügige Details unterscheiden, wie zum Beispiel den Austausch ähnlicher Buchstaben oder die Verwendung von Unterstrichen anstelle von Bindestrichen.

In mehr als 400 Paketen wurden Komponenten gefunden, die verdächtigt werden, bösartige Aktivitäten durchzuführen. Insbesondere enthielt eine Datei aaa.png ausführbaren Code im PE-Format. Die angegebenen Pakete waren mit zwei Konten verbunden, über die vom 16. bis 25. Februar 2020 insgesamt 724 bösartige Pakete, die insgesamt rund 95.000 Mal heruntergeladen wurden. Die Forscher informierten die Verwaltung von RubyGems und die identifizierten bösartigen Pakete wurden bereits aus dem Repository entfernt.

Von den identifizierten problematischen Paketen war das beliebteste "atlas-client", das auf den ersten Blick kaum von dem legitimen Paket "atlas_client" zu unterscheiden ist. Das angegebene Paket wurde 2100 Mal heruntergeladen (das legitime Paket wurde dabei 6496 Mal heruntergeladen, d. h. die Nutzer machten in fast 25 % der Fälle einen Fehler). Die anderen Pakete wurden im Durchschnitt 100-150 Mal heruntergeladen und tarnten sich unter anderen Paketen durch die Verwendung ähnlicher Techniken zum Austausch von Unterstrichen und Bindestrichen (zum Beispiel unter den bösartigen Paketen: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

Schadhafte Pakete enthielten eine PNG-Datei, in der anstelle eines Bildes eine ausführbare Datei für die Windows-Plattform platziert war. Die Datei wurde mit dem Tool Ocra Ruby2Exe erstellt und beinhaltete ein selbstentpackendes Archiv mit einem Ruby-Skript und dem Ruby-Interpreter. Bei der Installation des Pakets wurde die PNG-Datei in eine EXE umbenannt und gestartet. Während der Ausführung wurde eine Datei mit VBScript erstellt und dem Autostart hinzugefügt. Das schadhafte VBScript analysierte in einer Schleife den Inhalt der Zwischenablage auf das Vorhandensein von Informationen, die an Krypto-Wallet-Adressen erinnerten, und ersetzte bei Entdeckung die Wallet-Nummer in der Annahme, dass der Benutzer die Unterschiede nicht bemerken würde und die Mittel nicht auf das richtige Wallet überweisen würde.

Die durchgeführte Untersuchung zeigte, dass es ein Leichtes ist, schadhafte Pakete in eines der populärsten Repositories hinzuzufügen, und diese Pakete trotz einer beträchtlichen Anzahl von Downloads unentdeckt bleiben können. Es sollte erwähnt werden, dass das Problem nicht spezifisch für für RubyGems ist und andere beliebte Repositories betrifft. Zum Beispiel haben dieselben Forscher entdeckten im NPM-Repository ein schadhafte Paket bb-builder gefunden, das eine ähnliche Technik zur Ausführung der Datei zur Diebstahl von Passwörtern nutzt. Zuvor wurde das Backdoor entdeckt in der Abhängigkeit zum NPM-Paket event-stream, und der schadhafte Code wurde etwa 8 Millionen Mal heruntergeladen. Schadhafte Pakete tauchen auch regelmäßig im PyPI-Repository auf.

Quelle: opennet.ru