SleeperGem: Ba gói RubyGems độc hại nhắm vào máy của nhà phát triển
"Security researchers reported a software supply chain attack, codenamed SleeperGem, in which three malicious RubyGems packages were published to deliver second-stage payloads to developer machines. The loaders avoided CI environments, downloaded payloads from an attacker-controlled Forgejo host, and in one case established persistence and attempted privilege escalation; affected users are advised to treat systems and secrets as compromised, remove the malware, and rotate credentials."
Tấn công chuỗi cung ứng có thể dẫn tới thực thi mã từ RubyGems, tải payload từ hạ tầng do kẻ tấn công kiểm soát và thiết lập persistence/privilege escalation. Điểm rủi ro chính gồm tránh CI để nhắm máy dev, tải giai đoạn sau từ Forgejo, và khả năng leo thang đặc quyền trên một số cấu hình.
Rủi ro vận hành tăng do khả năng lây lan qua dependency và ảnh hưởng tới quy trình phát triển/CI của đội kỹ thuật. Tác động chính nằm ở nguy cơ rò rỉ secrets (do mã độc quét biến môi trường), gián đoạn chuỗi build/release, và chi phí xử lý sự cố khi cần xoay vòng credential trên nhiều hệ thống.
Các nhà nghiên cứu bảo mật đã công bố một cuộc tấn công software supply chain trên hệ sinh thái Ruby, được gắn mã SleeperGem. Theo phân tích, kẻ tấn công đã phát hành ba gói RubyGems chứa mã “loader” nhằm tải thêm payload giai đoạn sau lên máy của nhà phát triển.
Ba gói bị ảnh hưởng gồm git_credential_manager (các phiên bản 2.8.0–2.8.3, phát hành ngày 18/07/2026), Dendreo (1.1.3–1.1.4, phát hành 14/10/2017) và fastlane-plugin-run_tests_firebase_testlab (0.3.2, phát hành 06/02/2018). Mỗi bản phát hành được mô tả là loader: chúng kiểm tra môi trường chạy để tránh CI/build system, sau đó tải payload từ máy chủ do kẻ tấn công kiểm soát trên Forgejo. Với git_credential_manager, mã độc có thể tạo persistence (cron và systemd user service), đồng thời kiểm tra khả năng sudo để leo thang đặc quyền.
Các bản phát hành được đăng trực tiếp lên registry mà không có commit/tag tương ứng. Ngoài ra, git_credential_manager còn xuất hiện như dependency của nhiều gói khác, làm tăng khả năng lan truyền.
Khuyến nghị: coi hệ thống và secrets liên quan là đã bị xâm phạm, gỡ bỏ daemon/mã độc, kiểm tra dấu hiệu persistence và setuid, đồng thời xoay vòng toàn bộ credential đã dùng trên các máy có cài các gói nêu trên.