یک پکیج مخرب در اکوسیستم Ruby با نام strutil-core شناسایی شده است که با ظاهر یک ابزار کمکی بی‌خطر برای مدیریت متن، در واقع یک کرم (Worm) برای سرقت گسترده اعتبارنامه‌ها و ایجاد بک‌دور (Backdoor) در ابزارهای کدنویسی مبتنی بر هوش مصنوعی است.
مکانیسم حمله و سرقت داده‌ها
این حمله از طریق یک اسکریپت افزونه بومی (Native Extension) به نام extconf.rb انجام می‌شود. از آنجایی که RubyGems این فایل را در حین نصب اجرا می‌کند، بدافزار بدون نیاز به بارگذاری پکیج در اپلیکیشن، بلافاصله فعال می‌شود. این اسکریپت با دانلود محیط اجرای JavaScript (Bun)، پلود (Payload) خود را اجرا کرده و اقدام به سرقت اطلاعات از ۵۱ منبع مختلف از جمله AWS، npm، PyPI، Docker، Kubernetes، Claude و Codex می‌کند.
علاوه بر کلیدهای ابری، این بدافزار به دنبال توکن‌های ریجستری پکیج، کلیدهای SSH، اسرار (Secrets) در Vault، داده‌های مدیریت رمز عبور و کیف پول‌های ارز دیجیتال است. داده‌های سرقت شده به دامنه paleasbest[.]top ارسال می‌شوند.
هدف قرار دادن ابزارهای هوش مصنوعی
بخش نگران‌کننده این تحلیل، هدف قرار دادن تنظیمات ابزارهای کدنویسی هوش مصنوعی مانند Cursor، Claude و VS Code است. بدافزار با تزریق کدهای مخرب در فایل‌هایی نظیر settings.json، mcp.json و .aider.conf.yml، بک‌دورهایی ایجاد می‌کند که با باز کردن یک مخزن (Repository) آلوده در این ابزارها، مجدداً فعال می‌شوند. همچنین، این بدافزار از طریق فایل‌هایی مانند AGENTS.md، عوامل هوش مصنوعی (AI Agents) را فریب می‌دهد تا اسکریپت‌های مخرب را قبل از اجرای اولین دستور، اجرا کنند.
قابلیت تخریب (Wiper) و پایداری
این بدافزار دارای یک قابلیت بسیار خطرناک در قالب یک وایپر (Wiper) است: اگر کاربر اقدام به ابطال (Revoke) توکن GitHub سرقت شده کند، یک مانیتور به نام net-health-checker متوجه خطای ۴۰۱ یا ۴۰۳ شده و بلافاصله دستور حذف پوشه Home کاربر را اجرا می‌کند. این رفتار، اقدامات استاندارد امنیتی را به یک ابزار تخریب تبدیل می‌کند.
برای حفظ پایداری (Persistence)، یک بک‌دور پایتون به نام sync.py نصب می‌شود که دستورات خود را از طریق کامیت‌های (Commits) خاص در GitHub دریافت می‌کند.
اقدامات پیشنهادی برای تیم‌های امنیتی
- در صورت مشاهده پکیج
strutil-coreنسخه 1.0.1، سیستم را فوراً ایزوله کنید. - فایل‌های
net-health-checkerوpkg-runtimeرا شناسایی و حذف کنید. - بسیار مهم: پیش از ابطال توکن‌های GitHub، حتماً از یک دستگاه پاک (Clean Device) تمامی کلیدها را تغییر دهید (Rotate) تا از فعال شدن قابلیت وایپر جلوگیری شود.
- تنظیمات ابزارهای AI خود را برای وجود ورودی‌های مشکوک مانند
workspace-toolsبررسی کنید.
