Zlonamjerni Go moduli šire zlonamjerni softver za brisanje diska na Linuxu
Istraživači kibernetičke sigurnosti nedavno su otkrili tri štetna Go modula koji koriste maskirani kod za dohvaćanje nesigurnih podataka, što može nepovratno oštetiti Linux sustave. Čini se da su ovi moduli legitimni, ali su dizajnirani za izvršavanje udaljenih podataka koji brišu primarni disk sustava, čineći ga nepokretljivim.
Sadržaj
Identificirani nesigurni Go paketi
Sljedeći Go moduli su uključeni:
github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy
Ovi paketi sadrže visoko obfusiran kod, koji je dizajniran za preuzimanje i izvršavanje korisnih tereta kada se pokreće na Linux sustavu.
Destruktivni korisni tereti prepisuju kritične podatke na disku
Oštećeni kod provjerava postoji li Linux operativni sustav i, ako se otkrije, koristi wget za dohvaćanje sljedećeg sadržaja s udaljenog poslužitelja. Ovaj sadržaj je destruktivni shell skript koji prepisuje primarni disk sustava (/dev/sda) nulama. Kao rezultat toga, sustav se ne može pokrenuti i nikakvi alati za oporavak podataka ili forenzički procesi ne mogu vratiti izgubljene informacije jer je disk nepovratno uništen. Ova metoda ističe ekstremne rizike koje predstavljaju napadi na lanac opskrbe, gdje legitimni kod može uzrokovati katastrofalnu štetu Linux poslužiteljima i razvojnim okruženjima.
Rastuća prijetnja od lažnih npm paketa
Uz otkriće nesigurnih Go modula, otkriveno je i više štetnih npm paketa. Ovi paketi dizajnirani su za prikupljanje osjetljivih informacija, koje mogu uključivati mnemoničke fraze i privatne ključeve kriptovalute, što može dovesti do krađe digitalne imovine korisnika.
Identificirani sumnjivi npm paketi
Sljedeći npm paketi su označeni kao neovlašteno mijenjani:
- kripto-šifriranje-ts
- test pregleda stranice za pomicanje react-native
- bankovni paket usluga
- buttonfactoryserv-paypal
- tommyboytesting
- compliancereadserv-paypal
- oauth2-paypal
- plaćanjeapiplatformservice-paypal
- userbridge-paypal
- Odnos s korisnikom - PayPal
Ovi paketi su zlobno izrađeni kako bi izvukli osjetljive informacije, predstavljajući ogromnu prijetnju privatnosti i sigurnosti korisnika.
PyPI paketi opterećeni zlonamjernim softverom prikupljaju podatke o kriptovalutama
Repozitorij Python Package Index (PyPI) također je zabilježio porast kompromitiranih paketa usmjerenih na kriptovalutne novčanike. Ovi paketi preuzeti su više od 6800 puta od svog izlaska 2024. godine i dizajnirani su za krađu mnemoničkih sjemenskih fraza, ugrožavajući kriptovalute korisnika.
Značajni nesigurni PyPI paketi
Dva ključna paketa usmjerena na kriptovalutne novčanike uključuju:
- web3x
- ovdje novčanikbot
Ovi paketi imaju za cilj krađu mnemoničkih fraza od korisnika, ugrožavajući njihovu digitalnu imovinu. Osim toga, otkriven je još jedan skup od sedam PyPI paketa, koji su sada uklonjeni, a koji koriste Gmailove SMTP poslužitelje i WebSocketse za krađu podataka i uspostavljanje udaljenog pristupa.
Izbacivanje podataka temeljenih na Gmailu i izvršavanje udaljenih naredbi
Nesigurni PyPI paketi koriste ugrađene Gmail vjerodajnice za prijavu na Gmailov SMTP poslužitelj i slanje poruke na drugu Gmail adresu kako bi se naznačila uspješna kompromitacija. Nakon toga se uspostavlja WebSocket veza, što napadaču omogućuje održavanje dvosmjerne komunikacije s kompromitiranim sustavom.
Korištenje Gmail domena (smtp.gmail.com) čini ove napade prikrivenijima, jer je manje vjerojatno da će ih korporativni proxyji i sustavi zaštite krajnjih točaka označiti kao sumnjive, s obzirom na povjerenje povezano s Gmail uslugama.
Izvanredni paket: cfc-bsb
Paket cfc-bsb je značajan jer ne sadrži Gmail funkcionalnost, već koristi WebSocket logiku za olakšavanje udaljenog pristupa, zaobilazeći tradicionalne mjere detekcije.
Kako ublažiti prijetnje lancu opskrbe
Kako bi se zaštitili od ovih štetnih paketa i drugih prijetnji lancu opskrbe, programeri bi trebali usvojiti sljedeće prakse:
- Provjera autentičnosti paketa : Provjerite povijest izdavača i poveznice na GitHub repozitorij kako biste osigurali legitimnost paketa.
- Redovito provjeravajte ovisnosti : Rutinski provjeravajte ovisnosti i provjerite jesu li ažurne i bez zlonamjernog koda.
- Provedite stroge kontrole pristupa : Implementirajte mehanizme stroge kontrole pristupa kako biste zaštitili privatne ključeve i druge osjetljive vjerodajnice.
Osim toga, programeri bi trebali biti oprezni zbog neobičnih odlaznih veza, posebno SMTP prometa, jer napadači mogu koristiti legitimne usluge poput Gmaila za krađu podataka. Također je ključno izbjegavati povjeravanje paketu samo zato što postoji već dugo vremena, a da nije uklonjen, jer bi to moglo prikriti nesigurnu aktivnost.
