{"id":78968,"date":"2020-04-23T13:42:01","date_gmt":"2020-04-23T11:42:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-rubygems-vyyavleno-724-vredonosnyh-paketa"},"modified":"2020-04-23T13:42:01","modified_gmt":"2020-04-23T11:42:01","slug":"v-rubygems-vyyavleno-724-vredonosnyh-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-rubygems-vyyavleno-724-vredonosnyh-paketa","title":{"rendered":"724 paquets malveillants ont \u00e9t\u00e9 d\u00e9tect\u00e9s sur RubyGems","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'entreprise ReversingLabs a publi\u00e9<\/a><\/noindex> les r\u00e9sultats de l'analyse de l'utilisation de type squatting<\/a><\/noindex> sur le d\u00e9p\u00f4t RubyGems. En g\u00e9n\u00e9ral, le type squatting est utilis\u00e9 pour diffuser des paquets malveillants, en comptant sur le fait qu'un d\u00e9veloppeur distrait fera une faute de frappe en cherchant ou ne remarquera pas la diff\u00e9rence. Dans le cadre de l'\u00e9tude, plus de 700 paquets ont \u00e9t\u00e9 identifi\u00e9s, dont les noms sont similaires \u00e0 ceux de paquets populaires, mais se distinguent par des d\u00e9tails n\u00e9gligeables, comme le remplacement de lettres similaires ou l'utilisation de tirets bas \u00e0 la place de tirets. <\/p>\n

Dans plus de 400 paquets, des composants suspects d'activit\u00e9s malveillantes ont \u00e9t\u00e9 d\u00e9tect\u00e9s. En particulier, un fichier aaa.png contenant du code ex\u00e9cutable au format PE \u00e9tait pr\u00e9sent. Ces paquets \u00e9taient associ\u00e9s \u00e0 deux comptes, par lesquels, entre le 16 et le 25 f\u00e9vrier 2020, ont \u00e9t\u00e9 publi\u00e9s 724 paquets malveillants<\/a><\/noindex>, qui ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s environ 95 000 fois au total. Les chercheurs ont inform\u00e9 l'administration de RubyGems et les paquets malveillants identifi\u00e9s ont d\u00e9j\u00e0 \u00e9t\u00e9 supprim\u00e9s du d\u00e9p\u00f4t. <\/p>\n

Parmi les paquets probl\u00e9matiques identifi\u00e9s, le plus populaire \u00e9tait \u00ab atlas-client \u00bb, qui, \u00e0 premi\u00e8re vue, est pratiquement indistinguable du paquet l\u00e9gitime \u00abatlas_client<\/a><\/noindex>\u00bb. Le paquet en question a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 2100 fois (le paquet normal ayant \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 6496 fois, c'est-\u00e0-dire que les utilisateurs se sont tromp\u00e9s dans pr\u00e8s de 25 % des cas). Les autres paquets ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s en moyenne 100 \u00e0 150 fois et se sont camoufl\u00e9s sous d'autres paquets en utilisant une technique similaire de substitution de soulignements et de tirets (par exemple, parmi les paquets malveillants<\/a><\/noindex>: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).<\/p>\n

Les packages malveillants incluaient un fichier PNG, dans lequel se trouvait un fichier ex\u00e9cutable pour la plateforme Windows \u00e0 la place de l'image. Le fichier avait \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 l'aide de l'outil Ocra Ruby2Exe et contenait une archive auto-extractible avec un script Ruby et un interpr\u00e9teur Ruby. Lors de l'installation du package, le fichier png \u00e9tait renomm\u00e9 en exe et ex\u00e9cut\u00e9. Durant son ex\u00e9cution, un fichier avec VBScript \u00e9tait cr\u00e9\u00e9 et ajout\u00e9 au d\u00e9marrage automatique. Le VBScript malveillant analysait en boucle le contenu du presse-papiers pour d\u00e9tecter des informations ressemblant \u00e0 des adresses de cryptomonnaie, et en cas de d\u00e9tection, il rempla\u00e7ait le num\u00e9ro de portefeuille en esp\u00e9rant que l'utilisateur ne verrait pas de diff\u00e9rences et transf\u00e9rerait des fonds vers un autre portefeuille. <\/p>\n

La recherche men\u00e9e a montr\u00e9 qu'il n'est pas difficile d'ajouter des packages malveillants dans l'un des d\u00e9p\u00f4ts les plus populaires, et ces packages peuvent rester non d\u00e9tect\u00e9s, malgr\u00e9 un nombre significatif de t\u00e9l\u00e9chargements. Il convient de noter que le probl\u00e8me ne<\/a><\/noindex> est sp\u00e9cifique<\/a><\/noindex> pour<\/a><\/noindex> \u00e0 RubyGems et concerne d'autres d\u00e9p\u00f4ts populaires. Par exemple, l'ann\u00e9e derni\u00e8re, les m\u00eames chercheurs ont identifi\u00e9<\/a><\/noindex> ont d\u00e9couvert dans le d\u00e9p\u00f4t NPM le package malveillant bb-builder, utilisant une technique similaire d'ex\u00e9cution de fichier pour voler des mots de passe. Avant cela, le backdoor \u00e9tait m\u00e9thode<\/a><\/noindex> dans la d\u00e9pendance au package NPM event-stream et le code malveillant a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 environ 8 millions de fois. Les packages malveillants apparaissent aussi<\/a><\/noindex> de temps en temps<\/a><\/noindex> dans le d\u00e9p\u00f4t PyPI.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f ReversingLabs \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0442\u0430\u0439\u043f\u0441\u043a\u0432\u043e\u0442\u0442\u0438\u043d\u0433\u0430 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 RubyGems. \u041e\u0431\u044b\u0447\u043d\u043e \u0442\u0430\u0439\u043f\u0441\u043a\u0432\u043e\u0442\u0442\u0438\u043d\u0433 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d\u043d\u044b\u0445 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043d\u0435\u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043f\u0440\u0438 \u043f\u043e\u0438\u0441\u043a\u0435 \u0434\u043e\u043f\u0443\u0441\u0442\u0438\u0442 \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u0443 \u0438\u043b\u0438 \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u0442 \u0440\u0430\u0437\u043d\u0438\u0446\u044b. \u0412 \u0445\u043e\u0434\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0431\u044b\u043b\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e \u0431\u043e\u043b\u0435\u0435 700 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0445\u043e\u0436\u0438 \u0441 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u043c\u0438 \u043f\u0430\u043a\u0435\u0442\u0430\u043c\u0438 \u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u043d\u0435\u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u0434\u0435\u0442\u0430\u043b\u044f\u043c\u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0437\u0430\u043c\u0435\u043d\u043e\u0439 \u043f\u043e\u0445\u043e\u0436\u0438\u0445 \u0431\u0443\u043a\u0432 \u0438\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-78968","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47724 packages malveillants d\u00e9couverts dans RubyGems | ProHoster","description":"La soci\u00e9t\u00e9 ReversingLabs a publi\u00e9 les r\u00e9sultats d'une analyse de l'utilisation","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-rubygems-vyyavleno-724-vredonosnyh-paketa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 RubyGems \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e 724 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u0430 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f ReversingLabs \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-rubygems-vyyavleno-724-vredonosnyh-paketa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-04-23T11:42:01+00:00","article:modified_time":"2020-04-23T11:42:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"78968","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 16:47:25","updated":"2022-09-28 01:38:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/78968","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=78968"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/78968\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=78968"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=78968"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=78968"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}