16 Typosquatted RubyGems-Pakete stehlen Browser-Anmeldedaten und Krypto-Wallets

Cybersicherheitsforscher haben eine neue Typosquatting-Kampagne gemeldet, die RubyGems-Nutzer mit einem Windows-basierten Information-Stealer angreift.

OpenSourceMalware, das die Aktivität am 15. August 2026 entdeckte, verfolgt die Bedrohung unter dem Namen StubMaker. Die vollständige Liste der Pakete, die im Rahmen der Kampagne veröffentlicht wurden, finden Sie unten –

• ubnuler
• ubnlder
• ri18nr
• reaker
• rakier
• orakw
• joxn
• ise18n
• ioe18n
• ie18u
• iai8n
• i1l8n
• i18om
• activesupmport
• brumdler
• brundlef

„Diese neue Malware sammelt Browser-Anmeldedaten, Kryptowährungs-Wallets, Seed-Phrasen und Telegram-Daten“, sagte der Sicherheitsforscher Paul McCarty. „Alle bösartigen RubyGems-Pakete scheinen Typosquats populärer Ruby-Abhängigkeiten zu sein, aber anstatt der cleveren SEO-gesteuerten Typosquats, die wir von anderen Bedrohungsakteuren gesehen haben (z. B. events-channel, das das beliebte Node.js-Modul events imitiert), handelt es sich ausschließlich um plumpe Tippfehler.“

Die 16 Gems wurden von Benutzern namens „mod8rz41mje“ (alias Riley Miller) und „rbq95bwt6q“ (alias Alex Davis) veröffentlicht. Zum Zeitpunkt der Erstellung dieses Berichts wurden die Pakete von RubyGems entfernt.

In mindestens zwei Fällen – brumdler und brundlef – wurde festgestellt, dass der Bedrohungsakteur ein bekanntes RubyGems-Verhalten ausnutzt, das einen Namespace für jedermann zur Beanspruchung freigibt, sobald alle Versionen eines Gems entfernt wurden. In beiden Fällen wurden die Pakete ursprünglich von „gemlewqqhu1“ (alias Taylor Moore) veröffentlicht, bevor sie von den beiden oben genannten Konten zurückgefordert wurden.