セキュリティ研究者らは、SleeperGemと名付けられた連携型RubyGemsサプライチェーン攻撃を発見しました。悪意あるパッケージのリリースを通じて、開発者のマシンに永続的なバックドアが仕込まれていたことが分かっています。
2026年7月1818日から7月1919日にかけて、攻撃者はgit_credential_manager、Dendreo、fastlane-plugin-run_tests_firebase_testlabという3つのRubyGemsパッケージのトロイの木馬化バージョンを公開しました。
これらのパッケージは、対応するGitHubリポジトリにソースコードのコミットやリリースタグが存在しないまま、RubyGems.orgに直接アップロードされていました。
今回のキャンペーンは、CI/CDインフラではなく開発者自身を標的とするよう設計されているようです。
この悪意あるGemは継続的インテグレーション環境の環境変数を確認し、GitHub Actions、GitLab CI、CircleCIといったプラットフォームを検知すると動作を停止します。
しかし開発者のノートPC上では、パッケージがネイティブのデーモンをダウンロードして起動し、複数の永続化メカニズムを確立したうえで、権限昇格を試みます。
git_credential_managerパッケージは特に巧妙で、その名称はマイクロソフトの正規ツールであるGit Credential Managerを偽装しています。
研究者らはまた、Dendreoが202020202020年以降休眠状態にあったものの、突然2件のリリースを受け取ったことにも注目しています。同時に、fastlaneプラグインの悪意あるバージョン0.3.20.3.20.3.2には、対応する上流のGitHubタグが存在していませんでした。
悪意あるGemに含まれるコードはごくわずかで、主にローダーとして機能します。
git_credential_managerのバージョン2.8.22.8.22.8.2以降では、ユーザーがGemをインストールした時だけでなく、アプリケーションがライブラリを要求(require)した時点でもペイロードが実行されます。
ローダーは子プロセスとしてRubyプロセスを起動し、埋め込まれたインストールスクリプトを実行します。このスクリプトは、攻撃者が管理するForgejoホストであるgit.disroot.orgに接続します。
そこから、deploy.shという名前のシェルスクリプトと、git-credential-managerを装ったネイティブバイナリという2つのコンポーネントを取得します。
このマルウェアは、TLS証明書の検証を無効化した状態でRubyのHTTPクライアントを利用します。さらにUser-AgentにはGitを使用し、通信を通常のGit関連の接続に見せかけています。
このキャンペーンは、GITHUB_ACTIONS、GITLAB_CI、CIRCLECIを含む約303030個のCI関連環境変数を確認します。いずれかが存在する場合、マルウェアはペイロードのダウンロードや展開を行わずに終了します。
この挙動により、自動化されたパッケージビルドやセキュリティテスト中に検知される可能性が低くなります。
また、主なリスクは開発者のワークステーションへと移ります。攻撃者はそこで、ソースコード、SSH鍵、クラウド認証情報、Gitトークン、ブラウザに保存された機密情報、デプロイ用の認証情報などを見つけ出す可能性があります。
StepSecurityは、Harden-Runnerを監査モードで使用してこの挙動を検証しました。
同社のテレメトリは、Rubyプロセスがgit.disroot.orgに接続し、deploy.shとデーモンバイナリをダウンロードし、そのバイナリを隠しユーザーディレクトリにコピーして起動したうえで、systemdとcronによる永続化を仕込む様子を捉えていました。
組織はGemfile.lockファイルを確認し、影響を受けるバージョンが含まれていないか調べるとともに、エンドポイント上の~/.local/share/gcm/、不審なgit-credential-managerユーザーサービス、cronエントリを点検する必要があります。また、/usr/local/sbin/ping6に予期しないsetuidシェルが存在しないかも確認すべきです。
悪意あるリリースのいずれかをインストールまたはrequireしたマシンは、侵害を受けたものとして扱う必要があります。
セキュリティチームは、該当するGemと展開された成果物を削除し、永続化の仕組みを無効化したうえで、git.disroot.orgへのネットワーク接続を調査し、影響を受けた端末からアクセス可能なすべての認証情報をローテーションする必要があります。
より強力な予防的防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/ottercookie-svg-attack-targets-developers/