악성 Go 모듈, 디스크 삭제 Linux 맬웨어 확산
사이버 보안 연구원들은 최근 난독화된 코드를 사용하여 안전하지 않은 페이로드를 가져오는 세 가지 유해한 Go 모듈을 발견했는데, 이는 Linux 시스템에 돌이킬 수 없는 손상을 입힐 수 있습니다. 이 모듈들은 정상적인 것처럼 보이지만, 시스템의 주 디스크를 삭제하여 부팅할 수 없게 만드는 원격 페이로드를 실행하도록 설계되었습니다.
목차
안전하지 않은 Go 패키지 식별
다음 Go 모듈이 관련되어 있습니다.
github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy
이러한 패키지에는 Linux 시스템에서 실행될 때 페이로드를 다운로드하고 실행하도록 설계된 매우 난독화된 코드가 포함되어 있습니다.
파괴적인 페이로드가 중요한 디스크 데이터를 덮어씁니다.
손상된 코드는 Linux 운영 체제를 확인하고, 탐지되면 wget을 사용하여 원격 서버에서 다음 단계 페이로드를 가져옵니다. 이 페이로드는 시스템의 주 디스크(/dev/sda)를 0으로 덮어쓰는 파괴적인 셸 스크립트입니다. 결과적으로 시스템은 부팅할 수 없게 되고, 디스크가 복구 불가능하게 파괴되므로 어떠한 데이터 복구 도구나 포렌식 프로세스도 손실된 정보를 복구할 수 없습니다. 이러한 방식은 합법적인 코드가 Linux 서버와 개발자 환경에 치명적인 피해를 입힐 수 있는 공급망 공격의 극심한 위험을 보여줍니다.
사기성 npm 패키지로 인한 위협 증가
안전하지 않은 Go 모듈 발견과 함께 여러 유해한 npm 패키지도 발견되었습니다. 이러한 패키지는 니모닉 시드 문구와 개인 암호화폐 키 등 민감한 정보를 수집하도록 설계되어 사용자의 디지털 자산을 탈취할 수 있습니다.
의심스러운 npm 패키지가 식별되었습니다.
다음 npm 패키지는 변조된 것으로 표시되었습니다.
- 암호화-암호화-ts
- react-native-scrollpageview 테스트
- 뱅킹번들서브
- 버튼팩토리서브-페이팔
- 토미보이테스팅
- 컴플라이언스리드서브-페이팔
- oauth2-페이팔
이러한 패키지는 민감한 정보를 빼내기 위해 사악하게 제작되었으며, 사용자의 개인정보 보호와 보안에 엄청난 위협을 초래합니다.
악성코드가 포함된 PyPI 패키지가 암호화폐 데이터를 수집합니다.
Python 패키지 인덱스(PyPI) 저장소에서도 암호화폐 지갑을 노리는 악성 패키지가 증가하고 있습니다. 이러한 패키지는 2024년 출시 이후 6,800회 이상 다운로드되었으며, 니모닉 시드 구문을 훔쳐 사용자의 암호화폐 보유 자산을 침해하도록 설계되었습니다.
주목할 만한 안전하지 않은 PyPI 패키지
암호화폐 지갑을 타겟으로 하는 두 가지 주요 패키지는 다음과 같습니다.
- 웹3x
- 여기월렛봇
이러한 패키지는 사용자의 니모닉 시드 문구를 빼돌려 디지털 자산을 위험에 빠뜨리는 것을 목표로 합니다. 또한, 현재 제거된 7개의 PyPI 패키지가 Gmail의 SMTP 서버와 웹소켓을 이용하여 데이터를 유출하고 원격 접근을 시도하는 것으로 밝혀졌습니다.
Gmail 기반 데이터 유출 및 원격 명령 실행
안전하지 않은 PyPI 패키지는 하드코딩된 Gmail 자격 증명을 사용하여 Gmail의 SMTP 서버에 로그인하고 다른 Gmail 주소로 메시지를 전송하여 침해 성공을 알립니다. 이후 웹소켓 연결이 설정되고, 공격자는 침해된 시스템과 양방향 통신을 유지할 수 있습니다.
Gmail 도메인(smtp.gmail.com)을 사용하면 이러한 공격이 더 은밀해집니다. Gmail 서비스와 관련된 신뢰로 인해 기업 프록시와 엔드포인트 보호 시스템에서 이러한 도메인을 의심스러운 것으로 표시할 가능성이 낮기 때문입니다.
뛰어난 패키지: cfc-bsb
cfc-bsb 패키지는 Gmail 기능이 없고 대신 WebSocket 논리를 사용하여 원격 액세스를 용이하게 하며 기존 탐지 방법을 우회한다는 점에서 주목할 만합니다.
공급망 위협을 완화하는 방법
이러한 유해한 패키지와 기타 공급망 위협으로부터 보호하기 위해 개발자는 다음과 같은 관행을 채택해야 합니다.
또한 개발자는 비정상적인 아웃바운드 연결, 특히 SMTP 트래픽에 대해 경계해야 합니다. 공격자는 Gmail과 같은 합법적인 서비스를 사용하여 데이터를 유출할 수 있기 때문입니다. 또한, 오랫동안 삭제되지 않은 패키지를 신뢰하는 것은 안전하지 않은 활동을 은폐할 수 있으므로 피하는 것이 중요합니다.
