RubyGems-Kampagne zum Diebstahl von Zugangsdaten überschreitet 275.000 Downloads.

Forscher haben eine groß angelegte RubyGems-Kampagne zum Diebstahl von Zugangsdaten aufgedeckt, bei der Entwickler mit bösartigen Paketen ins Visier genommen wurden, die als nützliche Automatisierungstools getarnt waren. Angreifer erzielten seit Beginn der Kampagne im März 2023 über 275.000 Downloads und setzten damit Tausende von Nutzern einem erheblichen Risiko des Datendiebstahls aus.

Sechzig bösartige Gems entdeckt

Sicherheitsforscher identifizierten sechzig bösartige RubyGems-Pakete, die von Bedrohungsakteuren mit Aliasnamen wie zon, nowon, kwonsoonje und soonje hochgeladen wurden. Diese Pakete ahmten legitime Automatisierungsprogramme für Plattformen wie Instagram, TikTok, Twitter, Telegram, Naver, WordPress und Kakao nach. Nach der Installation funktionierten sie wie beworben, um keinen Verdacht zu erregen, führten jedoch im Hintergrund heimlich Code zum Diebstahl von Zugangsdaten aus.

Datendiebstahl durch eingebettete Malware

Die bösartigen Gems sammelten sensible Informationen, darunter Benutzer-IDs, Passwörter und MAC-Adressen. Die Angreifer sendeten diese Daten über HTTP-POST-Anfragen an ihre eigenen Server. Die Pakete nutzten Benutzeroberflächen in koreanischer Sprache, was darauf hindeutet, dass sie auf Personen oder Organisationen in Regionen abzielten, in denen diese Plattformen weit verbreitet sind. Das Design scheint zudem auf Marketingfachleute oder Nutzer zugeschnitten zu sein, die Massenkonten verwalten, was die Malware in diesen Kreisen schwerer erkennbar macht.

Anhaltende Bedrohung und verbleibende Risiken

Obwohl viele der bösartigen Gems von RubyGems entfernt wurden, sind mindestens sechzehn weiterhin aktiv. Selbst entfernte Pakete stellen ein Risiko dar, wenn Entwickler sie vor der Löschung heruntergeladen und in Projekte integriert haben. Zwischengespeicherte Versionen oder lokale Installationen können weiterhin funktionieren, sofern sie nicht manuell entfernt werden. Dies bedeutet, dass die Gefahr nicht sofort nach der Entfernung aus dem Repository verschwindet.

Bedenken zur Sicherheit der Lieferkette

Dieser Vorfall unterstreicht die Anfälligkeit von Software-Lieferketten. Entwickler, die sich auf Open-Source-Repositories verlassen, müssen wachsam bleiben, da selbst weit verbreitete Plattformen wie RubyGems nicht vor Missbrauch gefeit sind. Im Gegensatz zu anderen Ökosystemen mit komplexen Abhängigkeitsstrukturen wird bei RubyGems häufig die direkte Installation gefördert, was es gezielten bösartigen Paketen erleichtert, sich schnell zu verbreiten.

Fazit

Die RubyGems-Kampagne zum Diebstahl von Zugangsdaten ist eine deutliche Erinnerung an die Bedeutung regelmäßiger Überprüfungen von Abhängigkeiten und das Entfernen verdächtiger Pakete. Mit über 275.000 Downloads zeigt das Ausmaß des Angriffs, wie leicht bösartiger Code in vertrauenswürdige Ökosysteme eindringen kann. Entwickler sollten aktuelle Installationen überprüfen, Sicherheitstools aktualisieren und strengere Verfahren zur Paketüberprüfung einführen, um ähnliche Vorfälle in Zukunft zu verhindern.