A rest-client és további 10 Ruby-csomagban kártékony kódot észleltek

A népszerű gem-csomagban rest-client, amely összesen 113 millió letöltést számlál, identified kártékony kódot (CVE-2019-15224) injektáltak, amely végrehajtható parancsokat tölt le és információkat küld egy külső hosztra. A támadást a fejlesztői fiók kompromittálásával hajtották végre a rubygems.org tárolóban, majd a támadók augusztus 13-án és 14-én kiadták a 1.6.10-1.6.13 verziókat, amelyek kártékony módosításokat tartalmaztak. A kártékony verziók blokkolása előtt körülbelül ezer felhasználó töltötte le őket (a támadók, hogy ne keltsenek gyanút, régi verziók frissítéseivel jelentkeztek).

A kártékony módosítás felülírja a "#authenticate" metódust a
Identity osztályban, így minden hívás során a hitelesítési kísérletkor megadott email és jelszó a támadók hosztjára kerül. Így a felhasználók belépési adatait lehet lehallgatni a szolgáltatásokban, amelyek az Identity osztályt használják és sebezhető verziót telepítettek a rest-client könyvtárból, amely követelmény sok népszerű Ruby-csomagban, beleértve az ast (64 millió letöltés), oauth (32 millió), fastlane (18 millió) és kubeclient (3,7 millió).

Továbbá, a kódba egy hátsó ajtó került, amely lehetővé teszi tetszőleges Ruby-kód végrehajtását az eval funkcióval. A kód Cookie-n keresztül kerül átadásra, amelyet a támadó kulcsa hitelesít. A kártékony csomag telepítéséről a támadók számára tájékoztatást küldenek a sértett rendszer URL-jével és környezeti adatok gyűjtésével, mint például az adatbázisokhoz és felhőszolgáltatásokhoz mentett jelszavak. Az említett kártékony kód felhasználásával a kriptovaluták bányászatához kapcsolódó szkriptek letöltésére irányuló kísérleteket észleltek.

A kártékony kód tanulmányozása után megállapították, felfedezve, hogy hasonló módosítások találhatók még 10 csomagban a Ruby Gems-en, amelyek nem voltak megszerezve, hanem a támadók tudatosan készítették más népszerű könyvtárak alapján, hasonló nevekkel, ahol a kötőjelet aláhúzásra cserélték vagy fordítva (például a cron-parser alapján létrejött a kártékony csomag cron_parser, és a doge_coin alapján a kártékony csomag doge-coin). Problémás csomagok:

• coin_base: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• awesome-bot: 1.18.0
• doge-coin: 1.0.2
• capistrano-colors: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• coming-soon: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

Az első rosszindulatú csomag a lista alapján május 12-én került megjelenésre, de a legtöbb júliusban jelent meg. Összességében a megadott csomagokat körülbelül 2500 alkalommal töltötték le.

Forrás: opennet.ru