Tvrtka ReversingLabs rezultati analize korištenja u RubyGems repozitoriju. Obično se type skvotiranje koristi za distribuciju zlonamjernih paketa, oslanjajući se na nepažljive programere koji mogu napraviti tipfeler ili ne primijetiti razliku tijekom pretraživanja. Istraživanje je otkrilo više od 700 paketa čiji su nazivi slični popularnim paketima i razlikuju se samo u malim detaljima, poput zamjene sličnih slova ili korištenja donjih crta umjesto crtica.
U više od 400 paketa pronađeni su elementi koji se sumnjaju u zlonamjerne aktivnosti. Konkretno, unutra se nalazio datoteka aaa.png koja je sadržavala izvršivi kod u PE formatu. Ovi paketi bili su povezani s dva računa, preko kojih je od 16. do 25. veljače 2020. godine u RubyGems objavljeno , koja su ukupno preuzeta oko 95 tisuća puta. Istraživači su obavijestili upravu RubyGems, a otkriveni zlonamjerni paketi već su uklonjeni iz repozitorija.
Od otkrivenih problematičnih paketa, najpopularniji je bio „atlas-client“, koji na prvi pogled gotovo nije moguće razlikovati od legitimnog paketa „“. Ovaj paket je preuzet 2100 puta (normalni paket je pritom preuzet 6496 puta, što znači da su korisnici pogriješili u skoro 25% slučajeva). Ostali paketi su u prosjeku preuzeti 100-150 puta i kamuflirali su se pod druge pakete koristeći slične tehnike zamjene donjih crta i crtica (na primjer, među : appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).
Maliciozni paketi uključivali su PNG datoteku u kojoj je umjesto slike bio izvršni datotek za Windows. Datoteka je stvorena uz pomoć alata Ocra Ruby2Exe i sadržavala je samoproširujući arhiv s Ruby skriptom i Ruby interpreterom. Tijekom instalacije paketa, png datoteka preimenovana je u exe i pokrenuta. Tijekom izvršenja, stvorena je i dodana u autostart datoteka s VBScript-om. Spomenuti maliciozni VBScript kontinuirano je analizirao sadržaj međuspremnika u potrazi za informacijama sličnima adresama kriptovaluta te u slučaju otkrivanja zamjenjivao broj novčanika, računajući na to da korisnik neće primijetiti razlike i da će sredstva prebaciti na pogrešan novčanik.
Provedeno istraživanje pokazalo je da nije teško dodati maliciozne pakete u jedan od najpopularnijih repozitorija, a ti paketi mogu ostati neprimijećeni unatoč značajnom broju preuzimanja. Treba napomenuti da je problem RubyGems i tiče se drugih popularnih repozitorija. Na primjer, prošle godine su isti istraživači u repozitoriju NPM pronašli maliciozni paket bb-builder, koji koristi sličnu tehniku pokretanja izvršne datoteke za krađu lozinki. Prije toga, backdoor je u zavisnosti od NPM paketa event-stream, a maliciozni kod je preuzet oko 8 milijuna puta. Maliciozni paketi također u repozitoriju PyPI.
Izvor: opennet.ru
