Исследователи в области кибербезопасности обнаружили новую атаку на цепочку поставок программного обеспечения, получившую кодовое название SleeperGem. Эта атака нацелена на экосистему Ruby и связана с публикацией трех вредоносных пакетов в репозитории RubyGems, целью которых является внедрение дополнительных вредоносных компонентов на машины разработчиков.

Вредоносные пакеты, о которых идет речь, включают git_credential_manager (версии 2.8.0, 2.8.1, 2.8.2, 2.8.3), которые были опубликованы 18 июля 2026 года. Также среди них находится пакет Dendreo (версии 1.1.3 и 1.1.4). Эти пакеты, по словам экспертов, могут использоваться для компрометации систем разработчиков и реализации дальнейших атак.

Атака SleeperGem представляет собой серьезную угрозу для разработчиков, работающих в экосистеме Ruby, так как вредоносные пакеты могут быть незаметно интегрированы в проекты, что делает их распространение особенно опасным. Исследователи отмечают, что такие атаки становятся все более распространенными, и разработчики должны быть особенно внимательны при установке новых зависимостей.

Специалисты рекомендуют разработчикам проверять подлинность пакетов и использовать инструменты для анализа безопасности, чтобы минимизировать риски. Также важно следить за обновлениями и рекомендациями от сообщества Ruby, чтобы быть в курсе последних угроз и уязвимостей.

На данный момент нет информации о том, какие конкретные последствия могут возникнуть в результате использования этих вредоносных пакетов, но эксперты предупреждают, что игнорирование данной угрозы может привести к серьезным проблемам безопасности в проектах, зависящих от RubyGems.

Источник новости:
The Hacker News

Читать полностью