16 个仿冒 RubyGems 软件包窃取浏览器凭据和加密钱包

网络安全研究人员标记了一个针对 RubyGems 用户的新抢注域名 (typosquatting) 活动，该活动使用一种基于 Windows 的信息窃取程序。

OpenSourceMalware 在 2026 年 8 月 15 日发现了这一活动，并以 StubMaker 为代号追踪该威胁。作为该活动的一部分而发布的完整软件包列表如下 -

• ubnuler
• ubnlder
• ri18nr
• reaker
• rakier
• orakw
• joxn
• ise18n
• ioe18n
• ie18u
• iai8n
• i1l8n
• i18om
• activesupmport
• brumdler
• brundlef

“这种新型恶意软件会收集浏览器凭据、加密货币钱包、助记词和 Telegram 数据，”安全研究员 Paul McCarty 表示。“所有恶意的 RubyGems 软件包似乎都是对热门 Ruby 依赖项的抢注域名攻击，但与我们从其他威胁行为者那里看到的巧妙的 SEO 驱动型抢注（例如，模仿热门 Node.js events 模块的 events-channel）不同，它们都是笨拙的拼写错误。”

这 16 个 gem 软件包由名为 “mod8rz41mje”（又名 Riley Miller）和 “rbq95bwt6q”（又名 Alex Davis）的用户发布。截至发稿时，这些软件包已从 RubyGems 中移除。

在至少两个案例中——brumdler 和 brundlef——威胁行为者被发现利用了 RubyGems 的一个已知行为，即一旦 gem 的所有版本都被移除，命名空间就可以被任何人申领。在这两个实例中，这些软件包最初由 “gemlewqqhu1”（又名 Taylor Moore）发布，随后被上述两个账户重新占领。

OpenSourceMalware 联合创始人 Jenn Gile 告诉 The Hacker News，尽管该活动很早就被瓦解，但由于 Ruby 通过软件包名称重用和未验证的作者字段而产生的“糟糕的设计选择”，它变得更加有效。

“当其中一个恶意 gem 被移除时，威胁行为者能够创建一个新的所有者账户，并在同一个软件包名称下发布一个新的恶意版本，”Gile 说。“本应永远消失的东西却死灰复燃，从而使更多的人受害。”

“攻击者为每个 gem 分配了不同的‘作者’名称，试图让它们看起来不相关，尽管它们都来自同一个所有者账户。这是因为作者字段是一个完全未经过验证的纯文本字段。它不必与所有者或任何其他内容匹配。”

从高层级来看，该攻击链利用 “extconf.rb” 钩子来触发执行钩子。类似于 npm 的生命周期钩子，“extconf.rb” 是在用户安装 gem 时自动运行的。该文件通常用于配置捆绑在 Ruby 软件包 “ext/” 目录内的 C、C++ 或 Rust 编写的原生扩展，并在 gem 安装期间进行编译。