گزارش‌های امنیتی جدید نشان می‌دهد که نسخه‌های 1.00 از ماژول IO::Socket::SSL::SelfCertificate در زبان Perl حاوی کدهای مخرب است که منجر به اجرای دستورات Python از طریق یک URL مبهم‌سازی شده (Obfuscated) می‌شود.
جزئیات فنی حمله
بر اساس تحلیل‌های صورت گرفته، تابع generate_certificate در این ماژول، یک اسکریپت Python را که در قالب یک فایل گواهینامه (Certificate) ذخیره شده است، اجرا می‌کند. این اسکریپت تلاش می‌کند کدهای مخربی را از یک آدرس HTTP سخت‌افزاری (Hardcoded) دریافت کند. برای دور زدن سیستم‌های شناسایی، این URL با استفاده از کدگذاری Base64 مبهم‌سازی شده است.
تاثیرات امنیتی
پس از دریافت پاسخ از سرور مهاجم، بدنه پاسخ (Response Body) مستقیماً اجرا می‌شود. این موضوع منجر به پیامدهای زیر می‌گردد:
- اجرای کد دلخواه (Arbitrary Code Execution): مهاجم می‌تواند هر دستوراتی را با سطح دسترسی کاربری جاری اجرا کند.
- حمله بدون فایل (Fileless Attack): از آنجایی که اسکریپت نهایی مستقیماً در حافظه اجرا می‌شود و روی میزبان ذخیره نمی‌گردد، شناسایی آن توسط ابزارهای امنیتی سنتی دشوارتر است.
در نسخه‌های آسیب‌پذیر، هیچ‌گونه اسکریپت تست یا مکانیزم اعتبارسنجی برای جلوگیری از این رفتار مشاهده نشده است.
