16 gói RubyGems giả mạo đánh cắp thông tin trình duyệt và ví tiền mã hóa

Các nhà nghiên cứu an ninh mạng đã gắn cờ một chiến dịch typosquatting mới nhắm vào người dùng RubyGems bằng một phần mềm đánh cắp thông tin chạy trên Windows.

OpenSourceMalware, đơn vị đã đã phát hiện hoạt động này vào ngày 15 tháng 8 năm 2026, đang theo dõi mối đe dọa dưới biệt danh StubMaker. danh sách đầy đủ các gói được xuất bản như một phần của chiến dịch ở bên dưới -

• ubnuler
• ubnlder
• ri18nr
• reaker
• rakier
• orakw
• joxn
• ise18n
• ioe18n
• ie18u
• iai8n
• i1l8n
• i18om
• activesupmport
• brumdler
• brundlef

"Mã độc mới này thu thập thông tin xác thực trình duyệt, ví tiền điện tử, cụm từ hạt giống (seed phrases) và dữ liệu Telegram," nhà nghiên cứu bảo mật Paul McCarty cho biết. "Tất cả các gói RubyGems độc hại dường như là typosquat của các phụ thuộc Ruby phổ biến, nhưng thay vì các kiểu typosquat tinh vi dựa trên SEO mà chúng ta đã thấy từ các tác nhân đe dọa khác (ví dụ: events-channel bắt chước mô-đun events phổ biến của Node.js), chúng đều là những lỗi đánh máy vụng về."

16 gem này đã được xuất bản bởi các người dùng có tên "mod8rz41mje" (còn gọi là Riley Miller) và "rbq95bwt6q" (còn gọi là Alex Davis). Tính đến thời điểm viết bài, các gói này đã bị gỡ bỏ khỏi RubyGems.

Trong ít nhất hai trường hợp – brumdler và brundlef – tác nhân đe dọa đã được tìm thấy là lợi dụng một hành vi đã biết của RubyGems, cho phép bất kỳ ai cũng có thể xác nhận quyền sở hữu một không gian tên (namespace) sau khi tất cả các phiên bản của một gem đã bị gỡ bỏ. Trong cả hai trường hợp, các gói này ban đầu được xuất bản bởi "gemlewqqhu1" (còn gọi là Taylor Moore) trước khi chúng được thu hồi bởi hai tài khoản đã nêu trên.