RubyGems에서 724개의 악성 패키지가 감지되었습니다.

리버싱랩스(ReversingLabs) 회사 опубликовала 애플리케이션 분석 결과 타이핑 RubyGems 저장소에 있습니다. 일반적으로 타이포스쿼팅은 부주의한 개발자가 검색할 때 오타를 만들거나 차이점을 알아차리지 못하게 하도록 설계된 악성 패키지를 배포하는 데 사용됩니다. 이 연구에서는 인기 있는 패키지와 이름이 비슷하지만 유사한 문자로 대체하거나 대시 대신 밑줄을 사용하는 등 사소한 세부 사항이 다른 700개 이상의 패키지를 식별했습니다.

악성 활동을 수행하는 것으로 의심되는 구성 요소는 400개 이상의 패키지에서 발견되었습니다. 특히, 안에 들어있는 파일은 aaa.png였는데, PE 형식의 실행 코드가 포함되어 있었습니다. 이 패키지는 16년 25월 2020일부터 XNUMX월 XNUMX일까지 RubyGems가 게시된 두 개의 계정과 연결되었습니다. 724개의 악성 패키지, 총 다운로드 수는 약 95회에 달합니다. 연구원들은 RubyGems 관리팀에 알렸으며 확인된 악성 패키지는 이미 저장소에서 제거되었습니다.

확인된 문제가 있는 패키지 중 가장 인기 있는 패키지는 "atlas-client"로, 언뜻 보면 합법적인 패키지와 실질적으로 구별할 수 없습니다.아틀라스_클라이언트". 지정된 패키지는 2100번 다운로드되었습니다(일반 패키지는 6496번 다운로드되었습니다. 즉, 사용자가 거의 25%의 경우에 잘못 다운로드했습니다). 나머지 패키지는 평균 100~150회 다운로드되었으며 밑줄과 대시를 대체하는 유사한 기술을 사용하여 다른 패키지로 위장되었습니다(예: 악성 패키지: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, 자산 파이프라인, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

악성 패키지에는 이미지 대신 Windows 플랫폼용 실행 파일이 포함된 PNG 파일이 포함되어 있었습니다. 파일은 Ocra Ruby2Exe 유틸리티를 사용하여 생성되었으며 Ruby 스크립트 및 Ruby 인터프리터가 포함된 자동 추출 아카이브가 포함되어 있습니다. 패키지 설치 시 png 파일 이름이 exe로 변경되어 실행되었습니다. 실행 중에 VBScript 파일이 생성되어 자동 실행에 추가되었습니다. 루프에 지정된 악성 VBScript는 클립보드 내용을 분석하여 암호화폐 지갑 주소를 연상시키는 정보가 있는지 확인하고, 감지되면 사용자가 차이점을 인지하지 못하고 잘못된 지갑으로 자금을 이체할 것이라는 예상으로 지갑 번호를 교체했습니다. .

연구에 따르면 가장 인기 있는 리포지토리 중 하나에 악성 패키지를 추가하는 것이 어렵지 않으며 이러한 패키지는 상당한 수의 다운로드에도 불구하고 감지되지 않은 상태로 남아 있을 수 있습니다. 문제가 된다는 점에 유의해야 합니다. 아니 특정한 에 RubyGems 및 기타 인기 있는 저장소를 다루고 있습니다. 예를 들어 작년에 같은 연구자가 노출된 NPM 저장소에는 bb-builder라는 악성 패키지가 있습니다. 이 패키지는 비밀번호를 훔치기 위해 실행 파일을 실행하는 유사한 기술을 사용합니다. 이전에는 백도어가 있었습니다. 녹이다 이벤트 스트림 NPM 패키지에 따라 악성 코드가 약 8만 번 다운로드되었습니다. 악성 패키지도 주기적으로 팝업 PyPI 저장소에 있습니다.

출처 : opennet.ru