Skadlig kod upptäckts i rest-client och 10 andra Ruby-paket

I det populära juvelpaketet vila-klient, som har totalt 113 miljoner nedladdningar, identifieras infogning av skadlig kod (CVE-2019-15224) som laddar ner körbara kommandon och skickar information till en extern värd. Attacken genomfördes genom kompromiss rest-client-utvecklarkontot i rubygems.org-arkivet, varefter angriparna publicerade utgåvorna 13-14 den 1.6.10 och 1.6.13 augusti, vilka inkluderade skadliga ändringar. Innan de skadliga versionerna blockerades lyckades ungefär tusen användare ladda ner dem (angriparna släppte uppdateringar till de gamla versionerna för att inte dra till sig uppmärksamhet).

Den skadliga ändringen åsidosätter metoden "#authenticate" i klassen.
Identitet, varefter varje metodanrop resulterar i att e-postadressen och lösenordet som skickades under autentiseringsförsöket skickas till angriparens värd. På så sätt avlyssnas inloggningsparametrarna för användare av tjänster som använder Identity-klassen och har installerat en sårbar version av rest-client-biblioteket, vilket visas som ett beroende i många populära Ruby-paket, inklusive ast (64 miljoner nedladdningar), oauth (32 miljoner), fastlane (18 miljoner) och kubeclient (3.7 miljoner).

Dessutom har en bakdörr lagts till i koden, vilket gör att godtycklig Ruby-kod kan exekveras via eval-funktionen. Koden överförs via en cookie, autentiserad med angriparens nyckel. För att informera angripare om installationen av ett skadligt paket skickas URL:en till offrets system och ett urval av information om miljön, såsom sparade lösenord till DBMS och molntjänster, till en extern värd. Försök att ladda ner skript för kryptovalutautvinning har registrerats med hjälp av ovan nämnda skadliga kod.

Efter att ha studerat den skadliga koden, avslöjatatt liknande förändringar finns i 10 paket i Ruby Gems som inte kapades, utan specialförbereddes av angripare baserat på andra populära bibliotek med liknande namn, där bindestrecket ersattes med ett understreck eller vice versa (till exempel baserat på cron-parser ett skadligt cron_parser-paket skapades, och baserat på doge_coin skadligt doge-coin-paket). Problematiska paket:

• myntbas: 4.2.2, 4.2.1
• blockchain_plånbok: 0.0.6, 0.0.7
• fantastisk bot: 1.18.0
• dogemynt: 1.0.2
• capistrano-färger: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• kommer snart: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

Det första skadliga paketet på den här listan publicerades den 12 maj, men det mesta dök upp i juli. Totalt laddades de angivna paketen ner cirka 2500 gånger.

Källa: opennet.ru