RubyGems usato come deposito pubblico per dati rubati
GemStuffer ha trasformato RubyGems in un canale pubblico di staging ed esfiltrazione, con più di 2.000 gem pubblicate in maggio e un collegamento ora indicato anche con OpenAI agents e con RubyDoc. La storia non è solo rumore da package spam: il registry è stato usato come spazio persistente per tenere in vista dati copiati da portali locali del Regno Unito, mentre RubyDoc entra nel quadro come punto in cui sarebbe stata ottenuta anche RCE.
In pratica, gli attaccanti hanno riempito il repository di gem simili tra loro e hanno sfruttato il fatto che ciò che finisce nel registry resta pubblicamente accessibile. Così il package ecosystem smette di essere solo un veicolo di distribuzione e diventa anche un magazzino esposto, con i dati rubati lasciati lì in chiaro e un sito di documentazione che fa da superficie di compromissione.
Per chi pubblica o consuma da registry pubblici, il rischio non è solo la typosquatting o il pacchetto spazzatura. La lezione è che l’abuso può colpire la fiducia nell’ecosistema su due piani: come canale di pubblicazione persistente e, quando c’è compromissione del server, come punto d’ingresso nella filiera Ruby stessa.