Det har upptäckts 724 skadliga paket i RubyGems

ReversingLabs publicerade resultaten av analysen av användning typskvotering i RubyGems-förrådet. Vanligtvis används typskvotering för att sprida skadliga paket, som är avsedda att lura en ouppmärksam utvecklare att göra ett stavfel eller att inte märka skillnaden. Under forskningen identifierades mer än 700 paket vars namn liknar populära paket och skiljer sig åt med obetydliga detaljer, till exempel genom att byta liknande bokstäver eller använda understreck istället för bindestreck.

I mer än 400 paket upptäcktes komponenter som misstänks för att utföra skadliga handlingar. Särskilt inuti fanns en fil aaa.png, som innehöll körbar kod i PE-format. Dessa paket var kopplade till två konton, genom vilka 724 skadliga paket publicerades i RubyGems mellan 16 och 25 februari 2020. paket, som sammanlagt laddades ner ungefär 95 tusen gånger. Forskare informerade RubyGems-administrationen och de identifierade skadliga paketen har redan tagits bort från förrådet.

Bland de identifierade problematiska paketen var det mest populära "atlas-client", som vid första anblick knappt går att särskilja från det legitima paketet "atlas_client". Det angivna paketet laddades ner 2100 gånger (det normala paketet laddades ner 6496 gånger, vilket innebär att användarna gjorde fel nästan i 25 % av fallen). Övriga paket har i genomsnitt laddats ner 100-150 gånger och kamouflerades som andra paket med liknande teknik för att byta ut understreck och bindestreck (till exempel bland skadliga paket: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

Malicious packages included a PNG file that contained an executable file for the Windows platform instead of an image. The file was created using the Ocra Ruby2Exe utility and included a self-extracting archive with a Ruby script and Ruby interpreter. When the package was installed, the PNG file was renamed to EXE and executed. During execution, a VBScript file was created and added to the autorun. The specified malicious VBScript continually analyzed the clipboard's contents for information resembling cryptocurrency wallet addresses and, if found, substituted the wallet number, assuming the user would not notice the difference and would transfer funds to the wrong wallet.

The conducted research showed that it is not difficult to get malicious packages added to one of the most popular repositories, and these packages can remain unnoticed despite a significant number of downloads. It should be noted that the problem inte is specific för to RubyGems and concerns other popular repositories. For example, last year the same researchers har upptäckt found a malicious package called bb-builder in the NPM repository, which uses a similar technique of executing files to steal passwords. Before this, the backdoor was ett dependent on the NPM package event-stream, and the malicious code was downloaded about 8 million times. Malicious packages also periodically emerge in the PyPI repository.

Källa: opennet.ru