16 gói RubyGems giả mạo đánh cắp thông tin trình duyệt và ví tiền mã hóa
"Researchers identified 16 typosquatted RubyGems packages that used install-time hooks to fetch a Rust-based loader and a Go-based Windows stealer. The malware harvested browser credentials, crypto wallet data, seed phrases, Telegram data, and payment card information, then exfiltrated it via password-protected ZIP uploads; the affected gems were yanked from RubyGems."
Rủi ro cao do đánh cắp credential, ví tiền mã hóa và seed phrases; cơ chế install-time hook làm tăng khả năng lây nhiễm ngay khi cài đặt gói.
Có thể gây mất tài khoản, rò rỉ dữ liệu thanh toán và gián đoạn chuỗi cung ứng phần mềm; cần tăng kiểm soát phụ thuộc nguồn mở và quy trình phê duyệt gói.
Các nhà nghiên cứu an ninh đã phát hiện 16 gói RubyGems bị typosquatting nhắm vào người dùng Ruby trên Windows. Khi cài đặt, các gói này kích hoạt extconf.rb để tải về một Rust-based loader từ GitHub, sau đó thực thi payload Go-based stealer trên máy nạn nhân.
Mã độc được thiết kế để thu thập thông tin đăng nhập trình duyệt, dữ liệu ví tiền mã hóa, seed phrases, dữ liệu Telegram Desktop, lịch sử duyệt web và thông tin thẻ thanh toán. Dữ liệu bị nén thành ZIP có mật khẩu rồi tải lên Gofile; liên kết tải xuống sau đó được gửi cho kẻ tấn công qua HTTP không mã hóa.
Một số gói còn lợi dụng hành vi của RubyGems cho phép tái sử dụng tên gói sau khi bị gỡ bỏ, khiến chiến dịch có thể xuất hiện lại dưới cùng tên package. Hiện các gói độc hại đã bị yank khỏi RubyGems.
Khuyến nghị: kiểm tra kỹ tên package, owner account và nguồn phát hành trước khi cài đặt; ưu tiên lockfile, allowlist registry và giám sát các hook cài đặt như extconf.rb. Với môi trường doanh nghiệp, nên theo dõi lưu lượng tới GitHub Releases, Gofile và các yêu cầu bất thường tới api.ipify.org.