Haitalliset Go-moduulit levittävät levyjä pyyhkiviä Linux-haittaohjelmia

Kyberturvallisuustutkijat ovat äskettäin paljastaneet kolme haitallista Go-moduulia, jotka käyttävät hämärrettyä koodia hakeakseen vaarallisia hyötykuormia, mikä voi vahingoittaa Linux-järjestelmiä peruuttamattomasti. Nämä moduulit näyttävät olevan laillisia, mutta ne on suunniteltu suorittamaan etähyötykuormia, jotka tyhjentävät järjestelmän ensisijaisen levyn, jolloin se ei ole käynnistyskelpoinen.

Tunnistetut vaaralliset Go-paketit

Seuraavat Go-moduulit ovat kyseessä:

github[.]com/truthfulpharm/prototransform

github[.]com/blankloggia/go-mcp

github[.]com/steelpoor/tlsproxy

Nämä paketit sisältävät erittäin hämärrettyä koodia, joka on suunniteltu lataamaan ja suorittamaan hyötykuormia Linux-järjestelmässä.

Tuhoavat hyötykuormat korvaavat kriittiset levytiedot

Vaurioitunut koodi tarkistaa Linux-käyttöjärjestelmän varalta ja jos se havaitaan, se käyttää wget-komentoa seuraavan vaiheen hyötykuorman hakemiseen etäpalvelimelta. Tämä hyötykuorma on tuhoisa komentosarja, joka korvaa järjestelmän ensisijaisen levyn (/dev/sda) nollilla. Tämän seurauksena järjestelmästä tulee käynnistyskelvoton, eivätkä tietojen palautustyökalut tai rikostekniset prosessit voi palauttaa kadonneita tietoja, koska levy tuhoutuu peruuttamattomasti. Tämä menetelmä korostaa toimitusketjuhyökkäysten aiheuttamia äärimmäisiä riskejä, joissa laillinen koodi voi aiheuttaa katastrofaalisia vahinkoja Linux-palvelimille ja kehittäjäympäristöille.

Kasvava uhka petollisista npm-paketeista

Vaarallisten Go-moduulien lisäksi on havaittu useita haitallisia npm-paketteja. Nämä paketit on suunniteltu keräämään arkaluonteisia tietoja, kuten muistisanoja ja yksityisiä kryptovaluutta-avaimia, jotka voivat johtaa käyttäjien digitaalisten resurssien varastamiseen.

Epäilyttävät npm-paketit tunnistettu

Seuraavat npm-paketit on merkitty peukaloiduiksi:

• krypto-salaa-ts
• react-native-scrollpageview-testi
• pankkipakettipalvelu
• buttonfactoryserv-paypal
• tommyboytestaus
• compliancereadserv-paypal
• oauth2-paypal
• maksuapiplatformservice-paypal

• userbridge-paypal

• Käyttäjäsuhde-paypal

Nämä paketit on suunniteltu ilkeämielisesti arkaluonteisten tietojen vuotamiseen, mikä aiheuttaa valtavan uhan käyttäjien yksityisyydelle ja turvallisuudelle.

Haittaohjelmia sisältävät PyPI-paketit keräävät kryptovaluuttatietoja

Myös Python Package Index (PyPI) -arkistossa on havaittu kryptovaluuttalompakoille suunnattujen vaarantuneiden pakettien lisääntymistä. Näitä paketteja on ladattu yli 6 800 kertaa niiden julkaisun jälkeen vuonna 2024, ja ne on suunniteltu varastamaan muistisanoja, jotka vaarantavat käyttäjien kryptovaluuttavarannot.

Merkittäviä vaarallisia PyPI-paketteja

Kaksi keskeistä kryptovaluuttalompakoihin kohdistuvaa pakettia ovat:

• web3x
• herewalletbot

Näiden pakettien tarkoituksena on imeä käyttäjiltä muistisanoja, mikä vaarantaa heidän digitaalisen omaisuutensa. Lisäksi löydettiin seitsemän PyPI-paketin sarja, jotka on nyt poistettu. Paketteja käytettiin Gmailin SMTP-palvelimien ja WebSocketsien avulla tiedon vuotamiseen ja etäkäytön muodostamiseen.

Gmail-pohjainen tiedonsiirto ja etäkomentojen suorittaminen

Turvattomat PyPI-paketit käyttävät kovakoodattuja Gmail-tunnistetietoja kirjautuakseen Gmailin SMTP-palvelimelle ja lähettääkseen viestin toiseen Gmail-osoitteeseen merkiksi onnistuneesta murrosta. Tämän jälkeen muodostetaan WebSocket-yhteys, jonka avulla hyökkääjä voi ylläpitää kaksisuuntaista viestintää murtautuneen järjestelmän kanssa.

Gmail-verkkotunnusten (smtp.gmail.com) käyttö tekee näistä hyökkäyksistä huomaamattomampia, koska yritysten välityspalvelimet ja päätepisteiden suojausjärjestelmät merkitsevät niitä epäilyttäviksi vähemmän Gmail-palveluihin liittyvän luottamuksen vuoksi.

Erinomainen paketti: cfc-bsb

Paketti cfc-bsb on huomionarvoinen, koska se ei sisällä Gmail-toimintoja, vaan käyttää WebSocket-logiikkaa etäkäytön helpottamiseen ohittaen perinteiset tunnistusmenetelmät.

Kuinka lieventää toimitusketjun uhkia

Suojautuakseen näiltä haitallisilta paketeilta ja muilta toimitusketjun uhilta kehittäjien tulisi noudattaa seuraavia käytäntöjä:

• Varmista paketin aitous : Tarkista julkaisijan historia ja GitHub-arkiston linkit varmistaaksesi paketin aitouden.

• Tarkasta riippuvuudet säännöllisesti : Tarkasta riippuvuudet säännöllisesti ja varmista, että ne ovat ajan tasalla ja että niissä ei ole haitallista koodia.

• Käytä tiukkoja käyttöoikeuksien hallintamenetelmiä : Ota käyttöön tiukat käyttöoikeuksien hallintamenetelmät yksityisten avainten ja muiden arkaluonteisten tunnistetietojen suojaamiseksi.

Lisäksi kehittäjien tulisi pysyä valppaina epätavallisten lähtevien yhteyksien, erityisesti SMTP-liikenteen, varalta, sillä hyökkääjät voivat käyttää laillisia palveluita, kuten Gmailia, tiedon vuotamiseen. On myös tärkeää välttää paketin luottamista pelkästään siksi, että se on ollut olemassa pitkään poistamatta sitä, sillä tämä voi peittää vaarallisen toiminnan.