Откриен е злонамерен код во rest-client и 10 други Ruby пакети

Во популарно пакување скапоцени камења одмор-клиент, со вкупно 113 милиони преземања, идентификувани Замена на малициозен код (CVE-2019-15224) кој презема извршни команди и испраќа информации до надворешен хост. Нападот бил извршен преку компромис програмерска сметка rest-client во складиштето rubygems.org, по што напаѓачите објавија изданија 13-14 на 1.6.10 и 1.6.13 август, кои вклучуваа малициозни промени. Пред да се блокираат малициозните верзии, околу илјада корисници успеале да ги преземат (напаѓачите објавија ажурирања на постарите верзии за да не привлечат внимание).

Злонамерната промена го надминува методот „#authenticate“ во класата
Идентитетот, по што секој повик на метод резултира со испраќање на е-поштата и лозинката за време на обидот за автентикација до домаќинот на напаѓачот. На овој начин, се пресретнуваат параметрите за најавување на корисниците на услуги кои ја користат класата Identity и инсталираат ранлива верзија на библиотеката за одмор-клиент, што Избрана како зависност во многу популарни Ruby пакети, вклучувајќи ast (64 милиони преземања), oauth (32 милиони), fastlane (18 милиони) и kubeclient (3.7 милиони).

Дополнително, на кодот е додадена задна врата, што овозможува произволна Ruby код да се изврши преку функцијата eval. Кодот се пренесува преку колаче заверено со клучот на напаѓачот. За да се информираат напаѓачите за инсталирање на злонамерен пакет на надворешен хост, се испраќа URL-то на системот на жртвата и избор на информации за околината, како што се зачуваните лозинки за DBMS и облак услугите. Обидите за преземање скрипти за ископување криптовалути беа снимени со користење на горенаведениот злонамерен код.

По проучувањето на малициозниот код беше откриенидека слични промени се присутни во 10 пакувања во Ruby Gems, кои не беа заробени, туку беа специјално подготвени од напаѓачите врз основа на други популарни библиотеки со слични имиња, во кои цртичката беше заменета со долна црта или обратно (на пример, врз основа на крон-парсер беше креиран злонамерен пакет cron_parser и врз основа на doge_coin злонамерен пакет на дуг-монета). Проблемски пакети:

• монета_база: 4.2.2, 4.2.1
• блокчејн_паричник: 0.0.6, 0.0.7
• прекрасно-бот: 1.18.0
• дуџ-монета: 1.0.2
• капистрано-бои: 0.5.5
• биткоин_суета: 4.3.3
• лита_монета: 0.0.3
• наскоро: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

Првиот злонамерен пакет од оваа листа беше објавен на 12 мај, но повеќето од нив се појавија во јули. Вкупно, овие пакети беа преземени околу 2500 пати.

Извор: opennet.ru