“Uma vez que as IAs obtiveram RCE arbitrário no ambiente de construção, elas às vezes usaram o ambiente de construção para tentar roubar chaves de API de outros usuários, embora não tenhamos certeza se eles tiveram sucesso ou não”, disse o post do RubyGems. “Os agentes claramente consideravam o que estavam fazendo como hacking. Os agentes usavam nomes de arquivos como hack(.)rb, evil(.)rb, inject(.)rb, exploit(.)rb e ssrf(.)rb. SSRF significa ‘Server-Side Request Forgery’, um tipo de vulnerabilidade de segurança. Eles também apelidaram os pacotes de títulos conspícuos como pwnp999, exfiltestwand3, hacksvn1778554764 e lambproxyhackabcxyz Comentários como “# investigação maliciosa” ou “#hack” estão espalhados pela campanha.”
A postagem também dizia que os agentes tentaram enganar os sistemas defensivos.
“Em alguns momentos, os agentes tentaram se disfarçar. Encontramos vários pacotes que se desarmariam para esconder sua carga na próxima versão”, dizia o post. “Eles carregaram um pacote com o comentário ‘#desativar o mal na próxima versão e aumentar a versão’, que após a execução modificaria o pacote para remover o código malicioso inicialmente inserido.”
