Una nuova campagna di typosquatting sta colpendo la supply chain del software sfruttando il registro RubyGems e puntando in modo particolare gli sviluppatori che lavorano su Windows. Sono stati individuati 16 pacchetti malevoli con nomi molto simili a dipendenze Ruby popolari, creati per ingannare chi digita in modo impreciso il nome di una gem durante l’installazione.
Questo tipo di attacco alla catena di fornitura open source è pericoloso perché trasforma un gesto quotidiano come gem install in un vettore di infezione.
Il malware associato a questi pacchetti è un information stealer progettato per rubare credenziali salvate nel browser, dati di portafogli di criptovalute e seed phrase, oltre a informazioni legate a Telegram Desktop. La minaccia opera con una catena di esecuzione che sfrutta un comportamento automatico di RubyGems. In particolare viene usato il file extconf.rb, un hook che viene eseguito durante l’installazione della gem. Normalmente serve a configurare estensioni native, ma in questo caso viene trasformato in un meccanismo per avviare codice dannoso senza richiedere azioni aggiuntive.
Dettagli tecnici della catena di esecuzione
A livello tecnico, l’hook scarica un loader di grandi dimensioni distribuito tramite release su GitHub. Il loader, realizzato in Rust, avvia poi un payload stealer in Go. Una volta in esecuzione, il componente malevolo mira ai browser basati su Chromium come:
- Chrome
- Edge
- Brave
- Opera
- Vivaldi
- Altri browser Chromium-based
L’obiettivo è estrarre password, cookie, sessioni, cronologia e anche numeri di carte di pagamento. Particolarmente rilevante è la capacità di aggirare protezioni moderne legate alla cifratura dei dati del browser, aumentando il rischio di furto di account aziendali e personali.
Esfiltrazione dei dati e criticità di governance
Dopo la raccolta, i dati vengono compressi in un archivio ZIP protetto da password e caricati su un servizio di file hosting pubblico, mentre il link di download viene inviato al server dell’attaccante tramite HTTP non cifrato. La campagna evidenzia anche problemi di governance nei registri dei pacchetti, come il riuso dei nomi dopo la rimozione e campi autore non verificati, elementi che facilitano la ripubblicazione di versioni malevole e rendono più difficile la verifica dell’origine.