OpenSourceMalware ha individuato 16 pacchetti RubyGems typosquattati che distribuiscono uno stealer per Windows e raccolgono credenziali del browser, wallet crypto, seed phrase e dati Telegram. La storia non è solo di nomi simili a gem popolari: mostra due punti deboli del registro che aiutano la campagna a durare.
RubyGems esegue codice del gem durante l’installazione, e lascia riutilizzare un nome quando tutte le versioni di quel gem sono state yanked. Così un pacchetto rimosso può tornare sotto un nuovo owner account e colpire nuove installazioni; in almeno due casi gli stessi nomi sono stati reclamati dopo il yank e riusati per ripubblicare la minaccia.
Per chi installa gem da RubyGems nei flussi di sviluppo o CI, soprattutto su endpoint Windows, il rischio non è solo il typosquat iniziale. Un nome rimosso non è per forza morto, e la fase di installazione può restare il punto in cui il package compromette credenziali e asset.
Un package registry può restare un canale di compromissione anche dopo il ritiro del gem malevolo.