Knapp 24 Stunden nach der Ankündigung waren Neuregistrierungen weiterhin deaktiviert. Nach Einschätzung der RubyGems-Verantwortlichen dürften sie noch zwei bis drei Tage gesperrt bleiben, bis die Ratenbegrenzung für die Kontoerstellung verschärft und ein Schutz durch eine Web Application Firewall (WAF) aktiviert ist.
Im Kern des Vorfalls stand das massenhafte Hochladen von Schrottpaketen durch automatisierte Konten. Mehr als 500 solcher Pakete wurden während des Angriffs eingestellt, einige davon mit Exploits versehen. Die Betreiber betonten auf ihrer Statusseite, dass „Gem-Installationen und -Veröffentlichungen für bestehende Nutzer unbeeinträchtigt“ blieben.
Anders als bei vielen Vorfällen in der Software-Lieferkette zielte der Angriff offenbar nicht auf die Anwender der Plattform. Maciej Mensfeld vom Sicherheitsteam von RubyGems erklärte auf X, die Attacke habe sich gegen RubyGems selbst gerichtet: Die Angreifer hätten XSS-Angriffe und das Abgreifen von Daten versucht.
Mensfeld äußerte zugleich einen Verdacht, den er ausdrücklich nicht belegen konnte: „Meine Sorge bei diesem RubyGems-Angriff ist, dass er etwas Raffinierteres verdecken könnte. Kein Beweis, nur die Intuition eines Sicherheitsforschers. Ich hoffe, ich irre mich.“
Die Untersuchung des Vorfalls ist noch nicht abgeschlossen. Nach bisherigem Stand wurden die bösartigen Pakete aus der Registry entfernt, und Hinweise auf eine Kompromittierung bestehender Pakete oder eine gezielte Beeinträchtigung von Endnutzern liegen nicht vor.