Pesquisadores de cibersegurança identificaram uma nova campanha de typosquatting voltada a usuários do RubyGems e distribuindo um infostealer para Windows.
A OpenSourceMalware, que detectou a atividade em 15/08/2026, está acompanhando a ameaça sob o nome StubMaker. A lista completa dos pacotes publicados como parte da campanha é a seguinte:
ubnuler
ubnlder
ri18nr
reaker
rakier
orakw
joxn
ise18n
ioe18n
ie18u
iai8n
i1l8n
i18om
activesupmport
brumdler
brundlef
“Esse novo malware coleta credenciais de navegador, carteiras de criptomoedas, seed phrases e dados do Telegram”, afirmou o pesquisador de segurança Paul McCarty, também conhecido como 6mile. “Todos os pacotes maliciosos do RubyGems parecem ser typosquats de dependências populares em Ruby, mas, em vez dos typosquats mais sofisticados impulsionados por SEO que já vimos em outros threat actors, como o events-channel imitando o popular módulo events do Node.js, eles são apenas erros de digitação bastante toscos.”
Os 16 gems foram publicados por usuários chamados “mod8rz41mje”, também identificado como Riley Miller, e “rbq95bwt6q”, também identificado como Alex Davis. No momento da publicação, os pacotes já haviam sido removidos do RubyGems.
Em pelo menos dois casos, brumdler e brundlef, o threat actor explorou um comportamento conhecido do RubyGems que libera um namespace para qualquer pessoa reivindicar depois que todas as versões de um gem são removidas. Em ambos os casos, os pacotes haviam sido publicados originalmente por “gemlewqqhu1”, também identificado como Taylor Moore, antes de serem reaproveitados pelas duas contas citadas.
Jenn Gile, cofundadora da OpenSourceMalware disse que, embora a campanha tenha sido interrompida relativamente cedo, ela se tornou mais eficaz por causa de “más escolhas de design” do Ruby, relacionadas à reutilização de nomes de pacotes e a um campo de autor sem validação.
“Quando um dos gems maliciosos foi removido, o threat actor conseguiu criar uma nova conta de proprietário e publicar uma nova versão maliciosa sob o mesmo nome de pacote”, disse Gile. “O que deveria ter sido encerrado para sempre foi reativado para comprometer mais pessoas.”
“O atacante atribuiu um nome de ‘Author’ diferente para cada gem na tentativa de fazê-los parecer independentes, embora todos viessem da mesma conta de proprietário. Isso acontece porque o campo Author é um campo de texto simples totalmente sem validação. Ele não precisa corresponder ao Owner nem a mais nada.”
A cadeia de ataque, em alto nível, usa um gancho extconf.rb para disparar a execução. Assim como os ganchos de ciclo de vida do npm, o extconf.rb é executado automaticamente quando um usuário instala um gem. O arquivo normalmente é usado para configurar extensões nativas escritas em C, C++ ou Rust, empacotadas dentro de um pacote Ruby no diretório ext/ e compiladas durante a instalação do gem.
No caso do StubMaker, o gancho em Ruby serve como ponto de passagem para buscar um loader de 22 MB baseado em Rust a partir de uma versão publicada no GitHub, que por sua vez inicia um payload de infostealer em Go incorporado a ele, chamado wincfg. A conta no GitHub, github[.]com/bebraz1, não está mais acessível.
O infostealer inclui um payload em DLL, abe_payload.dll, usado para extrair credenciais de navegadores baseados em Chromium, como Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi, Yandex, Avast, AVG e CCleaner Browser, burlando proteções de criptografia vinculadas ao aplicativo, conhecidas como ABE, adicionadas pelo Google.
Ele também coleta dados de extensões, histórico de navegação e números de cartões de pagamento; procura carteiras de criptomoedas e seed phrases; extrai dados do Telegram Desktop; reúne informações do sistema; e faz uma requisição externa para api.ipify[.]org para obter o endereço IP público da vítima.
Depois que os dados relevantes são capturados, eles são enviados ao Gofile em um arquivo ZIP protegido por senha, e o link de download resultante é enviado ao threat actor, dresslee.com, por um canal HTTP sem criptografia.
“O StubMaker não constrói nada. Ele gera um Makefile com alvos vazios para all, install e clean, além de scripts stub para Unix e Windows que não fazem nada além de retornar sucesso. Assim, a fase de extensão relata uma compilação limpa, enquanto o trabalho real, o beacon da plataforma, a busca do loader para Windows e a execução, acontece no próprio gancho do instalador”, explicou McCarty.
“O nome aponta para esse movimento específico: fabricar uma cadeia de ferramentas de compilação falsa para fazer uma instalação maliciosa parecer rotineira, em vez de apenas descrever mais um pacote RubyGems com typosquatting.”
A divulgação coincide com a descoberta de duas campanhas de supply chain de software voltadas ao npm:
Um cluster de 21 pacotes npm que fazia typosquatting de nomes de binários CLI expostos pelos pacotes com escopo do Google para entregar um beacon mínimo de pós-instalação. “Os pacotes não imitavam nomes de pacotes”, disse a SafeDep. “Eles miravam o campo bin, a parte do package.json que define os nomes dos comandos executáveis. Todo pacote com escopo que declara uma entrada bin cria um nome sem escopo que qualquer pessoa pode registrar. Nenhuma das mitigações padrão contra dependency confusion, como publicação com escopo, listas de permissão do registro ou fixação via lockfile, cobre essa lacuna.”
Um cluster de forks de Baileys no npm que adota uma variedade de comportamentos maliciosos, como fazer de forma oculta a conta do WhatsApp do instalador seguir canais controlados pelo autor do pacote e injetar a URL de publicidade do autor em todas as imagens e vídeos enviados pelo bot.
“O monitoramento contínuo do registro npm registra 4.250 nomes de pacotes que contêm baileys e outros 112 que contêm libsignal-node”, afirmou a SafeDep, acrescentando que o comportamento malicioso já foi observado em 70 nomes de pacotes baseados em Baileys, distribuídos em 343 versões, e em 15 imitadores de libsignal-node, distribuídos em 38 versões.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...