Azienda ReversingLabs risultati dell'analisi sull'uso nel repository RubyGems. Di solito, il type-squatting viene utilizzato per diffondere pacchetti dannosi contando sul fatto che lo sviluppatore distratto commetta un errore di battitura o non noti la differenza. Durante la ricerca sono stati identificati oltre 700 pacchetti, i cui nomi sono simili a quelli populati e differiscono per dettagli minori, ad esempio la sostituzione di lettere simili o l'uso di underscore invece di trattini.
In più di 400 pacchetti sono stati trovati componenti sospettati di comportamenti dannosi. In particolare, all'interno c'era un file aaa.png, contenente codice eseguibile nel formato PE. I suddetti pacchetti erano collegati a due account, attraverso i quali dal 16 al 25 febbraio 2020 sono stati pubblicati su RubyGems , che complessivamente sono stati scaricati circa 95.000 volte. I ricercatori hanno informato l'amministrazione di RubyGems e i pacchetti dannosi identificati sono stati già rimossi dal repository.
Tra i pacchetti problematici identificati, il più popolare è risultato essere «atlas-client», che a prima vista è praticamente indistinguibile dal pacchetto legittimo ««. Il pacchetto è stato scaricato 2100 volte (mentre il pacchetto legittimo è stato scaricato 6496 volte, cioè gli utenti si sbagliavano quasi nel 25% dei casi). Gli altri pacchetti sono stati scaricati in media 100-150 volte e si sono camuffati come altri pacchetti utilizzando una tecnica simile di sostituzione di underscore e trattini (ad esempio, tra : appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).
I pacchetti malevoli includevano un file PNG che, invece di un'immagine, conteneva un file eseguibile per la piattaforma Windows. Il file era stato creato utilizzando l'utilità Ocra Ruby2Exe e comprendeva un archivio autoestraente con uno script Ruby e un interprete Ruby. Durante l'installazione del pacchetto, il file png veniva rinominato in exe e avviato. Durante l'esecuzione, veniva creato e aggiunto un file VBScript all'avvio automatico. Il VBScript malevolo analizzava ciclicamente il contenuto degli appunti per verificare la presenza di informazioni simili a indirizzi di portafogli crittografici e, in caso di individuazione, sostituiva il numero del portafoglio, contando sul fatto che l'utente non si accorgesse delle differenze e trasferisse fondi non sul portafoglio giusto.
Lo studio condotto ha dimostrato che non è difficile riuscire a far aggiungere pacchetti malevoli in uno dei repository più popolari e che questi pacchetti possono rimanere inosservati, nonostante il considerevole numero di download. Va notato che il problema di RubyGems e riguarda altri repository popolari. Ad esempio, lo scorso anno gli stessi ricercatori hanno trovato nel repository NPM il pacchetto malevolo bb-builder, che utilizza una tecnica simile per eseguire un file al fine di rubare le password. Prima di questo, un backdoor era stato nella dipendenza del pacchetto NPM event-stream e il codice malevolo era stato scaricato circa 8 milioni di volte. Anche i pacchetti malevoli nel repository PyPI.
Fonte: opennet.ru
