Rest-client 외 10개 Ruby 패키지에서 악성코드 발견

인기의 일품 패키지에 휴식 클라이언트, 총 113억 XNUMX만 다운로드를 기록했으며, 확인됨 실행 가능한 명령을 다운로드하고 외부 호스트로 정보를 보내는 악성코드(CVE-2019-15224)로 대체됩니다. 공격은 다음을 통해 수행되었습니다. 타협 rubygems.org 저장소의 개발자 계정 Rest-client. 공격자는 13월 14일과 1.6.10일에 악의적인 변경 사항이 포함된 릴리스 1.6.13-XNUMX을 게시했습니다. 악성 버전이 차단되기 전에 약 천 명의 사용자가 해당 버전을 다운로드했습니다(공격자는 관심을 끌지 않기 위해 이전 버전에 대한 업데이트를 출시했습니다).

악의적인 변경으로 인해 클래스의 "#authenticate" 메서드가 재정의되었습니다.
ID를 사용하면 각 메서드 호출로 인해 인증 시도 중에 이메일과 비밀번호가 공격자의 호스트로 전송됩니다. 이런 방식으로 Identity 클래스를 사용하고 취약한 버전의 Rest-client 라이브러리를 설치하는 서비스 사용자의 로그인 매개변수가 가로채어집니다. 특집 ast(64만 다운로드), oauth(32만), fastlane(18만) 및 kubeclient(3.7만)를 포함한 많은 인기 Ruby 패키지의 종속성입니다.

또한 코드에 백도어가 추가되어 eval 함수를 통해 임의의 Ruby 코드를 실행할 수 있습니다. 해당 코드는 공격자의 키로 인증된 쿠키를 통해 전송됩니다. 공격자에게 외부 호스트에 악성 패키지가 설치되었음을 알리기 위해 피해자 시스템의 URL과 DBMS 및 클라우드 서비스에 저장된 비밀번호 등 환경에 대한 선택 정보가 전송됩니다. 위에서 언급한 악성코드를 사용하여 암호화폐 채굴을 위한 스크립트를 다운로드하려는 시도가 기록되었습니다.

악성코드를 연구한 결과, 식별비슷한 변화가 있다는 것을 10개 패키지 캡처되지는 않았지만 유사한 이름을 가진 다른 인기 있는 라이브러리를 기반으로 공격자가 특별히 준비한 Ruby Gems에서는 대시가 밑줄로 대체되거나 그 반대의 경우도 마찬가지입니다(예: 크론 파서 악성 패키지 cron_parser가 생성되었으며 이를 기반으로 doge_coin 악성 doge-coin 패키지). 문제 패키지:

• 코인베이스: 4.2.2, 4.2.1
• 블록체인_지갑: 0.0.6, 0.0.7
• 멋진 봇: 1.18.0
• 총독 동전: 1.0.2
• 카피스트라노 색상: 0.5.5
• bitcoin_vanity: 4.3.3
• 리타코인: 0.0.3
• 곧: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

이 목록의 첫 번째 악성 패키지는 12월 2500일에 게시되었지만 대부분은 XNUMX월에 나타났습니다. 전체적으로 이러한 패키지는 약 XNUMX번 다운로드되었습니다.

출처 : opennet.ru