In RubyGems wurden 724 schädliche Pakete entdeckt.

ReversingLabs die Analyseergebnisse der Nutzung Typ-Squatting im RubyGems-Repository. Typo-Squatting wird häufig verwendet, um Schadsoftware-Pakete zu verbreiten, indem man auf Annahmen zutrifft, dass ein unaufmerksamer Entwickler Tippfehler macht oder Unterschiede nicht bemerkt. In der Untersuchung wurden über 700 Pakete identifiziert, deren Namen den beliebten Paketen ähneln und sich nur durch geringfügige Details unterscheiden, wie den Austausch ähnlicher Buchstaben oder die Verwendung von Unterstrichen anstelle von Bindestrichen.

In mehr als 400 Paketen wurden Komponenten gefunden, die verdächtigt werden, schädliche Aktivitäten auszuführen. Insbesondere befand sich eine Datei namens aaa.png darin, die ausführbaren Code im PE-Format enthielt. Diese Pakete waren mit zwei Konten verknüpft, über die im Zeitraum vom 16. bis 25. Februar 2020 insgesamt 724 schädliche Pakete, die insgesamt etwa 95.000 Mal heruntergeladen wurden. Die Forscher informierten die Verwaltung von RubyGems, und die identifizierten schädlichen Pakete wurden bereits aus dem Repository entfernt.

Von den identifizierten problematischen Paketen war das häufigste „atlas-client“, das auf den ersten Blick kaum von dem legitimen Paket „atlas_client“ zu unterscheiden ist. Das genannte Paket wurde 2100 Mal heruntergeladen (das legitime Paket hingegen 6496 Mal, d.h. die Benutzer lagen in fast 25 % der Fälle falsch). Die anderen Pakete wurden im Durchschnitt 100-150 Mal heruntergeladen und tarnten sich als andere Pakete, indem sie eine ähnliche Technik zur Ersetzung von Unterstrichen und Bindestrichen verwendeten (zum Beispiel unter den schädlichen Paketen: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

Die bösartigen Pakete bestanden aus einer PNG-Datei, in der anstelle eines Bildes eine ausführbare Datei für die Windows-Plattform platziert war. Die Datei wurde mit dem Tool Ocra Ruby2Exe erstellt und umfasste ein selbstextrahierendes Archiv mit einem Ruby-Skript und dem Ruby-Interpreter. Bei der Installation des Pakets wurde die PNG-Datei in eine EXE-Datei umbenannt und ausgeführt. Während der Ausführung wurde eine Datei mit VBScript erstellt und dem Autostart hinzugefügt. Dieses schadhafte VBScript analysierte im Loop den Inhalt der Zwischenablage auf Informationen, die wie Adressen von Krypto-Wallets aussahen, und ersetzte die Wallet-Adresse, in der Erwartung, dass der Benutzer keine Unterschiede bemerkt und die Gelder an die falsche Wallet überweist.

Die durchgeführte Untersuchung hat ergeben, dass es nicht schwierig ist, bösartige Pakete in eines der beliebtesten Repositories einzufügen, und diese Pakete können unbemerkt bleiben, trotz einer erheblichen Anzahl an Downloads. Es sollte angemerkt werden, dass das Problem nicht spezifisch für für RubyGems ist und auch andere beliebte Repositories betrifft. Beispielsweise haben dieselben Forscher im letzten Jahr haben Im NPM-Repository wurde das schädliche Paket bb-builder gefunden, das eine ähnliche Technik zum Ausführen von Dateien verwendet, um Passwörter zu stehlen. Zuvor war dieser Backdoor entdeckt worden in der Abhängigkeit vom NPM-Paket event-stream, und der schädliche Code wurde rund 8 Millionen Mal heruntergeladen. Schadhafte Pakete tauchen auch regelmäßig im PyPI-Repository auf.

Quelle: opennet.ru