RubyGemsで人気ライブラリを偽装する16件の不正パッケージが判明、ブラウザ認証情報や暗号資産の窃取を狙う

要点

• Ruby向けパッケージ管理リポジトリ「RubyGems」にて、人気ライブラリの名称を偽装した16件の悪意あるgemが確認された。

• 「StubMaker」と呼ばれるこの攻撃は、Windows環境を標的としてブラウザの保存認証情報や暗号資産ウォレット、Telegramデータなどを窃取する。

• パッケージ導入時に自動実行されるスクリプトから外部ローダーをダウンロードし、多段階でスティーラーを実行する構造を持っていた。

• Chromium系ブラウザの暗号化保護を回避する機能を備え、盗み出したデータはファイル共有サービス経由で攻撃者へ送信されていた。

• 不正パッケージはすでに削除されているが、削除済み名前空間の再取得や未検証の作者名欄といったリポジトリの仕様が悪用されていた。

• オープンソースのRuby向けパッケージリポジトリ「RubyGems」において、著名なライブラリの名称に酷似させた16件の悪意あるパッケージが公開されていたことが明らかになった。セキュリティ調査組織のOpenSourceMalwareが2026年8月15日に発見し、セキュリティメディアのThe Hacker Newsなどが報じている。一連の攻撃活動は「StubMaker」と命名されており、Windows環境で動作する情報窃取マルウェア（インフォスティーラー）を感染させる目的で配布されていた。

タイポスクワッティングによる16件の偽装パッケージ

今回の攻撃では、ユーザーの入力ミスを突いて不正なプログラムを導入させる「タイポスクワッティング（著名な名前に似せた偽名を登録する手法）」が用いられていた。確認された16件のパッケージ名は以下の通りである。

• ubnuler
• ubnlder
• ri18nr
• reaker
• rakier
• orakw
• joxn
• ise18n
• ioe18n
• ie18u
• iai8n
• i1l8n
• i18om
• activesupmport
• brumdler
• brundlef

セキュリティ研究者のPaul McCarty氏（別名6mile）によると、検索エンジンの上位表示などを狙った巧妙な偽装ではなく、単純なタイプミスを拾い上げるような文字列で構成されていたという。これらのパッケージは「mod8rz41mje（別名Riley Miller）」および「rbq95bwt6q（別名Alex Davis）」という2つのアカウントから公開されていた。なお、該当パッケージはすべてRubyGemsからすでに削除（yank）されている。

パッケージ再利用と作者名偽装を許す仕様の悪用

今回の事案では、RubyGemsのシステム仕様の隙が悪用されていたことも判明している。「brumdler」および「brundlef」の2件では、全バージョンが削除されたパッケージ名を第三者が再取得できる仕様が利用されていた。元々は「gemlewqqhu1（別名Taylor Moore）」というアカウントが公開していたものが削除された後、今回の攻撃者アカウントによって再び登録されていた。

OpenSourceMalwareの共同創設者であるJenn Gile氏は、早期に検知されたものの、パッケージ名の再利用や未検証の作者名フィールドといった仕様によって攻撃の有効性が高まってしまったと指摘する。Gile氏によれば、削除されて完全に消滅するはずだったパッケージ名が別アカウントで再取得され、再び悪用される状態が生じていた。また、作者名（Author）欄は所有者アカウントとの一致が検証されないプレーンテキスト形式であるため、同一のアカウントから公開されたgemでありながら、それぞれ異なる作者名を割り当てて無関係に見せかける偽装が行われていた。

自動実行フックを起点とする多段階の攻撃プロセス

StubMakerの感染プロセスは、gemのインストール時に自動実行される「extconf.rb」フックを起点としていた。このファイルは通常、パッケージに含まれるC言語やRustなどのネイティブ拡張をビルド・設定するために使用される。

StubMakerではこのフックが悪用され、GitHubのリリース（現在はアクセス不能の「github[.]com/bebraz1」）から約22MBのRust製ローダーが取得される。このローダーが、内部に埋め込まれたGo言語製のスティーラー「wincfg」を展開して起動する仕組みとなっていた。なお、パッケージ自体は実際のビルドを行わず、空のターゲットを持つMakefileや成功ステータスのみを返すスタブスクリプトを生成し、エラーを出さずに処理を完了させていた。

ブラウザ保護の回避と広範な機密情報の窃取

実行されたスティーラーには「abe_payload.dll」というDLLペイロードが含まれていた。これはGoogleが導入した保護機能「App-Bound Encryption（ABE、アプリに紐づく暗号化）」を回避し、Chromium系ブラウザから保存された認証情報を抽出する。対象となるブラウザには、Google Chrome、Microsoft Edge、Brave、Opera、Opera GX、Vivaldi、Yandex、Avast、AVG、CCleaner Browserが含まれる。

さらに、ブラウザの拡張機能データ、閲覧履歴、クレジットカード番号のほか、暗号資産ウォレット、シードフレーズ、Telegram Desktopのデータ、システム情報などを収集し、外部API（api.ipify[.]org）を通じて被害者のパブリックIPアドレスも取得していた。

収集されたデータはパスワード付きZIPファイルに圧縮されてファイル共有サービス「Gofile」にアップロードされ、そのダウンロードリンクが暗号化されていない平文のHTTP通信で攻撃者サーバー（dresslee.com）へ送信される設計となっていた。