Investigadores detectaron StubMaker, una campaña de typosquatting en RubyGems que distribuye un malware para Windows. Este programa roba credenciales de navegadores, billeteras de criptomonedas y datos de Telegram mediante paquetes con nombres similares a dependencias populares. Aunque los paquetes ya fueron eliminados, el ataque aprovechó fallos de diseño en la plataforma para reutilizar nombres de paquetes.







Investigadores de ciberseguridad han detectado una nueva campaña de typosquatting dirigida a los usuarios de RubyGems con un infostealer basado en Windows.

OpenSourceMalware, que descubrió la actividad el 15 de agosto de 2026 en su blog, está rastreando la amenaza bajo el nombre de StubMaker. La lista completa de paquetes publicados como parte de la campaña se encuentra en este enlace:

* ubnuler
* ubnlder
* ri18nr
* reaker
* rakier
* orakw
* joxn
* ise18n
* ioe18n
* ie18u
* iai8n
* i1l8n
* i18om
* activesupmport
* brumdler
* brundlef

"Este nuevo malware recolecta credenciales del navegador, monederos de criptomonedas, frases semilla y datos de Telegram", afirmó el investigador de seguridad Paul McCarty. "Todos los paquetes maliciosos de RubyGems parecen ser typosquats de dependencias populares de Ruby, pero en lugar de los typosquats inteligentes impulsados por SEO que hemos visto de otros actores de amenazas, estos son todos errores tipográficos torpes".

Las 16 gemas han sido publicadas por los usuarios llamados "mod8rz41mje" (alias Riley Miller) y "rbq95bwt6q" (alias Alex Davis). Al momento de escribir esto, los paquetes han sido eliminados de RubyGems.

En al menos dos casos –brumdler y brundlef– se ha descubierto que el actor de la amenaza aprovechó un comportamiento conocido de RubyGems que hace que un espacio de nombres esté disponible para que cualquiera lo reclame una vez que todas las versiones de una gema hayan sido eliminadas. En ambos casos, los paquetes fueron publicados originalmente por "gemlewqqhu1" (alias Taylor Moore) antes de ser reclamados por las dos cuentas mencionadas.

Jenn Gile, cofundadora de OpenSourceMalware, explicó que aunque la campaña fue interrumpida bastante pronto, se volvió más efectiva debido a las "malas decisiones de diseño" de Ruby a través de la reutilización de nombres de paquetes y un campo de autor no validado.

"Cuando una de las gemas maliciosas fue eliminada, el atacante pudo crear una nueva cuenta de propietario y publicar una nueva versión maliciosa bajo el mismo nombre de paquete", dijo Gile. "Lo que debería haber muerto para siempre fue revivido para comprometer a más personas".



"El atacante asignó un nombre de 'Autor' diferente para cada gema en un intento de hacer que parecieran no relacionadas, a pesar de que todas provenían de la misma cuenta de propietario. Esto se debe a que el campo de Autor es un campo de texto plano totalmente no validado. No tiene que coincidir con el Propietario ni con nada más".

La cadena de ataque, a alto nivel, utiliza un gancho "extconf.rb" para activar la ejecución. Similar a los ganchos de ciclo de vida de npm (aquí), "extconf.rb" se ejecuta automáticamente cuando instalas una gema. El archivo se utiliza normalmente para configurar extensiones nativas escritas en C, C++ o Rust.

En el caso de StubMaker, el gancho de Ruby actúa como un conducto para descargar un cargador basado en Rust de 22 MB desde un repositorio de GitHub, que a su vez lanza una carga útil de un stealer basado en Go ("wincfg") integrada en él. La cuenta de GitHub ("github[.]com/bebraz1") ya no es accesible.



El stealer, por su parte, incorpora una carga útil DLL ("abe_payload.dll") que se usa para extraer credenciales de navegadores basados en Chromium eludiendo las protecciones de cifrado vinculado a la aplicación (ABE) añadidas por Google.

También recopila datos de extensiones, historial de navegación y números de tarjetas de pago; busca monederos de criptomonedas y frases semilla; extrae datos de Telegram Desktop; reúne información del sistema y realiza una solicitud externa a "api.ipify[.]org" para obtener tu dirección IP pública.

Una vez capturados los datos, se suben a Gofile en un archivo ZIP protegido con contraseña y el enlace de descarga resultante se envía al atacante ("dresslee.com") a través de un canal HTTP no cifrado.

"StubMaker no construye nada; genera un Makefile con objetivos vacíos, más scripts de stub para Unix y Windows que no hacen más que devolver éxito, por lo que la fase de extensión informa de una compilación limpia mientras el trabajo real ocurre en el propio gancho del instalador", explicó McCarty.

"El nombre apunta a ese movimiento específico: fabricar una cadena de herramientas de compilación falsa para que una instalación maliciosa parezca rutinaria".

Campañas similares en npm

La revelación coincide con el descubrimiento de dos campañas de cadena de suministro de software dirigidas a npm:

* Un grupo de 21 paquetes de npm (aquí) que hicieron typosquatting de nombres de binarios de CLI expuestos por los paquetes con ámbito de Google para entregar un beacon post-instalación mínimo. "Los paquetes no suplantaron nombres de paquetes", dijo SafeDep, "se dirigieron al campo bin, la parte de package.json que define los nombres de los comandos ejecutables".

* Un grupo de forks de Baileys en npm (aquí) que realizan diversos comportamientos maliciosos: hacen que la cuenta de WhatsApp del instalador siga canales que el autor del paquete controla e inyectan la URL publicitaria del autor en cada imagen y vídeo que el bot envía.

"El monitoreo continuo del registro de npm registra 4.250 nombres de paquetes que contienen 'baileys' y otros 112 que contienen 'libsignal-node'", dijo SafeDep, añadiendo que el comportamiento malicioso se ha observado en 70 nombres de paquetes basados en Baileys a través de 343 versiones y 15 suplantadores de libsignal-node a través de 38 versiones.

Fuente:
THN