Malware · 4 ore fa
Socket ha identificato strutil-core 1.0.1, un pacchetto Ruby malevolo rimosso da RubyGems circa cinque ore dopo la pubblicazione. Non risultano vittime né infezioni a valle confermate; il pacchetto era autonomo e non aveva dipendenze pubbliche note.
Durante l’installazione, il codice del pacchetto avvia un programma separato che raccoglie credenziali di sviluppatori, servizi cloud e strumenti AI. Prevede inoltre di modificare configurazioni e file di istruzioni usati dagli assistenti di programmazione. Le routine di propagazione e cancellazione dei file emergono dall’analisi del codice, ma non sono attività confermate su sistemi di vittime.
Il caso documenta quindi una release malevola, non una compromissione diffusa della supply chain Ruby. Per i team che usano assistenti AI, mostra come un pacchetto possa puntare anche alla loro configurazione locale e ai file dei repository, oltre che alle credenziali dello sviluppatore.
1 fonte che coprono questa storia
Shai-Hulud Descendant Surfaces in Malicious Ruby Gem That Steals Credentials and Poisons AI Tools
A malicious Ruby gem runs a credential-stealing worm during installation, poisons AI coding tools, and can wipe files when a stolen GitHub token is revoked.
Part of the PlainSec briefing for 2026-11-06