Аккаунт reqthrottle_3474 опубликовал 42 вредоносных пакета в RubyGems
5 октября 2026 года аккаунт RubyGems reqthrottle_3474 примерно за час опубликовал 42 вредоносных пакета. Многие названия ориентировались на разработчиков криптовалют, среди них eth-keystore-utils, bip39-wordlist-utils и btc-wallet-tools. Последние 16 пакетов имитировали названия легитимных пакетов, в том числе bitcion, etheremu.rb, kecack и solaan-ruby. Вредоносный код запускается при установке командой gem install или bundle install.
Выполнение кода при установке пакетов
Каждый пакет объявляет в спецификации gem нативное расширение. Из-за этого RubyGems запускает при установке скрипт extconf.rb. Вместо создания обычного файла Makefile скрипт выполняет вредоносную логику. Файлы Ruby в каталоге lib/ служат приманками и имитируют легитимные функции, связанные с криптовалютами. В 31 из более новых пакетов также есть исходный файл на языке C с пустой функцией Init_, благодаря которой пакет выглядит как настоящее нативное расширение.
Перед продолжением работы код установки проверяет окружение. Он ищет индикаторы среды непрерывной интеграции: CI, GITHUB_ACTIONS, TRAVIS, JENKINS_URL, GITLAB_CI и CODESPACES. Кроме того, код проверяет имя хоста, имя пользователя и рабочую директорию на признаки песочницы, тестирования, виртуализации и временных каталогов. Среди проверяемых имён хостов те, что содержат uvm, firecracker, sandbox, vagrant или fc-vm. Также проверяются имена пользователей, связанные с автоматизированным анализом, и пути /tmp, /var/tmp, /private/var/tmp, /opt/rubygems и /workspace.
Загрузчик и полезная нагрузка
Если проверки пройдены, загрузчик декодирует исходный код Ruby, закодированный в Base64, и дважды вызывает fork. Затем он вызывает Process.setsid, перенаправляет стандартные потоки ввода, вывода и ошибок в /dev/null и выполняет полезную нагрузку с помощью eval. По данным отчёта, это позволяет процессу продолжать работу после установки без видимого вывода в терминал.
В 31 пакете есть загрузчик второй стадии. Он хранит URL в виде шестнадцатеричных данных и декодирует его с помощью XOR с четырёхбайтовым ключом usvx9a.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
