Ruby

Uma nova campanha de ataque à cadeia de suprimentos de software foi identificada, utilizando pacotes ‘sleeper’ para disseminar cargas maliciosas que possibilitam o roubo de credenciais, manipulação de ações do GitHub e persistência SSH. A atividade foi atribuída à conta do GitHub ‘BufferZoneCorp’, que publicou repositórios associados a gems Ruby e módulos Go maliciosos. Os pacotes foram removidos do RubyGems e os módulos Go foram bloqueados. Os gems Ruby têm como objetivo automatizar o roubo de credenciais durante a instalação, coletando variáveis de ambiente, chaves SSH e segredos da AWS, que são exfiltrados para um endpoint controlado pelo atacante. Os módulos Go, por sua vez, têm capacidades mais amplas, como manipular fluxos de trabalho do GitHub Actions e adicionar chaves SSH para acesso remoto ao host comprometido. Os usuários que instalaram os pacotes são aconselhados a removê-los, revisar acessos não autorizados e rotacionar credenciais expostas.