ReversingLabs Vállalat elemzés alkalmazási eredményei a RubyGems tárolójában. A tipei hitelezést általában rosszindulatú csomagok terjesztésére használják, azt feltételezve, hogy a figyelmetlen fejlesztő hibát vét a keresés során vagy nem veszi észre a különbséget. A kutatás során több mint 700 csomagot azonosítottak, amelyek neve hasonlít népszerű csomagokéval, és apró részletekben eltérnek, például hasonló betűk cseréjével vagy alsó vonások használatával a kötőjelek helyett.
Több mint 400 csomagban találtak olyan összetevőket, amelyekből rosszindulatú tevékenységekre gyanakodtak. Különösen érdemes megemlíteni az aaa.png fájlt, amely PE formátumban futtatható kódot tartalmazott. Az említett csomagokat két fiókkal kapcsolták össze, amelyek 2020. február 16. és 25. között összesen , amelyeket összesen körülbelül 95 000 alkalommal töltöttek le. A kutatók értesítették a RubyGems adminisztrátorait, és a felfedezett rosszindulatú csomagokat már eltávolították a tárolóból.
A felfedezett problémás csomagok közül a legnépszerűbb az „atlas-client” volt, amely első ránézésre szinte megkülönböztethetetlen a legitim „„ csomagtól. Az említett csomagot 2100 alkalommal töltötték le (míg a normál csomag 6496 alkalommal lett letöltve, azaz a felhasználók majdnem 25%-ban hibáztak). A többi csomagot átlagosan 100-150 alkalommal töltötték le, és más csomagok álcázása érdekében hasonló technikát alkalmaztak alsó vonások és kötőjelek cseréjével (például a rosszindulatú csomagok között : appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).
A kártékony csomagok egy PNG-fájlt tartalmaztak, amelyben a kép helyett egy Windows platformra készült végrehajtható fájl volt. A fájlt az Ocra Ruby2Exe segédprogram segítségével készítették, és egy önkitömörítő archívumot tartalmazott Ruby-szkripttel és Ruby-értelmezővel. A csomag telepítése során a png fájl exe-re lett átnevezve és futtatva. A végrehajtás során egy VBScript fájl készült, amely az automatikus indításba került. Az említett kártékony VBScript folyamatosan ellenőrizte a vágólap tartalmát, hogy van-e benne olyan információ, amely kriptovaluta pénztárca címére hasonlít, és ha észlelt, akkor átnevezte a pénztárca számát, számítva arra, hogy a felhasználó nem veszi észre a különbséget, és nem a megfelelő pénztárcára utalja a pénzét.
A végzett kutatás kimutatta, hogy nem nehéz kártékony csomagokat hozzáadni az egyik legnépszerűbb tárolóhoz, és ezek a csomagok észrevétlenek maradhatnak, annak ellenére, hogy jelentős számú letöltésük van. Meg kell említeni, hogy a probléma a RubyGems-re vonatkozik, és más népszerű tárolókat is érint. Például tavaly ugyanazok a kutatók az NPM tárolóban felfedeztek egy kártékony csomagot, a bb-buildert, amely hasonló technikát alkalmazott egy végrehajtható fájl elindítására a jelszavak ellopására. Ezt megelőzően a hátsó ajtó az NPM-csomag event-stream függősége volt, és a kártékony kódot körülbelül 8 millió alkalommal töltötték le. A kártékony csomagok emellett a PyPI tárolóban.
Forrás: opennet.ru
