Zlonamerni moduli Go širijo zlonamerno programsko opremo za brisanje diska v Linuxu

Raziskovalci kibernetske varnosti so nedavno odkrili tri škodljive module Go, ki uporabljajo zakrito kodo za pridobivanje nevarnih koristnih nalog, kar lahko nepopravljivo poškoduje sisteme Linux. Ti moduli so videti legitimni, vendar so zasnovani za izvajanje oddaljenih koristnih nalog, ki izbrišejo primarni disk sistema, zaradi česar ga ni mogoče zagnati.

Prepoznani nevarni paketi Go

Vpleteni so naslednji moduli Go:

github[.]com/truthfulpharm/prototransform

github[.]com/blankloggia/go-mcp

github[.]com/steelpoor/tlsproxy

Ti paketi vsebujejo zelo zapleteno kodo, ki je zasnovana za prenos in izvajanje koristnih tovorov, ko se izvaja v sistemu Linux.

Uničujoči koristni tovori prepišejo kritične podatke na disku

Poškodovana koda preveri, ali obstaja operacijski sistem Linux, in če ga zazna, z ukazom wget pridobi koristni tovor naslednje stopnje z oddaljenega strežnika. Ta koristni tovor je destruktivni skript lupine, ki prepiše primarni disk sistema (/dev/sda) z ničlami. Posledično sistem postane nezagonjen in nobena orodja za obnovitev podatkov ali forenzični procesi ne morejo obnoviti izgubljenih informacij, saj je disk nepovratno uničen. Ta metoda poudarja izjemna tveganja, ki jih predstavljajo napadi na dobavno verigo, kjer lahko legitimna koda povzroči katastrofalno škodo na strežnikih Linux in razvijalskih okoljih.

Naraščajoča grožnja zaradi goljufivih npm paketov

Poleg odkritja nevarnih modulov Go so odkrili tudi več škodljivih paketov npm. Ti paketi so zasnovani za zbiranje občutljivih informacij, ki lahko vključujejo mnemonične fraze in zasebne ključe kriptovalut, kar lahko privede do kraje digitalnih sredstev uporabnikov.

Identificirani sumljivi npm paketi

Naslednji npm paketi so bili označeni kot spremenjeni:

• kripto-šifriranje-ts
• test pogleda nativnega drsenja po strani za reakcijo
• bančni paket storitev
• buttonfactoryserv-paypal
• tommyboytesting
• skladnostreadserv-paypal
• oauth2-paypal
• plačilna platforma API storitve PayPal

• userbridge-paypal

• Uporabniški odnos-PayPal

Ti paketi so zlobno izdelani za izkoriščanje občutljivih informacij, kar predstavlja veliko grožnjo zasebnosti in varnosti uporabnikov.

Paketi PyPI, obremenjeni z zlonamerno programsko opremo, zbirajo podatke o kriptovalutah

Tudi v repozitoriju Python Package Index (PyPI) se je pojavil porast ogroženih paketov, namenjenih denarnicam s kriptovalutami. Ti paketi so bili od izdaje leta 2024 preneseni več kot 6800-krat in so zasnovani za krajo mnemoničnih fraz, s čimer ogrožajo uporabnikove kriptovalute.

Pomembni nevarni paketi PyPI

Dva ključna paketa, namenjena denarnicam s kriptovalutami, vključujeta:

• web3x
• tukajdenarnicabot

Ti paketi si prizadevajo izčrpati mnemonične fraze od uporabnikov in s tem ogroziti njihova digitalna sredstva. Poleg tega je bil odkrit še en sklop sedmih paketov PyPI, ki so bili zdaj odstranjeni, in so uporabljali Gmailove strežnike SMTP in WebSockets za krajo podatkov in vzpostavitev oddaljenega dostopa.

Izločanje podatkov iz Gmaila in izvajanje oddaljenih ukazov

Nevarni paketi PyPI uporabljajo trdo kodirane poverilnice za Gmail za prijavo v Gmailov strežnik SMTP in pošiljanje sporočila na drug Gmailov naslov, ki označuje uspešno kršitev. Po tem se vzpostavi povezava WebSocket, ki napadalcu omogoča vzdrževanje dvosmerne komunikacije z ogroženim sistemom.

Uporaba domen Gmail (smtp.gmail.com) naredi te napade bolj prikrite, saj jih korporativni posredniki in sistemi za zaščito končnih točk manj verjetno označijo kot sumljive, glede na zaupanje, povezano s storitvami Gmail.

Izstopajoč paket: cfc-bsb

Paket cfc-bsb je vreden omembe, saj ne vsebuje funkcionalnosti Gmaila, temveč uporablja logiko WebSocket za omogočanje oddaljenega dostopa in s tem zaobide tradicionalne ukrepe zaznavanja.

Kako ublažiti grožnje v dobavni verigi

Za zaščito pred temi škodljivimi paketi in drugimi grožnjami v dobavni verigi bi morali razvijalci sprejeti naslednje prakse:

• Preverjanje pristnosti paketa : Preverite zgodovino založnika in povezave do repozitorija GitHub, da zagotovite legitimnost paketa.

• Redno preverjajte odvisnosti : Redno preverjajte odvisnosti in se prepričajte, da so posodobljene in brez zlonamerne kode.

• Uveljavljanje strogega nadzora dostopa : Uvedite mehanizme strogega nadzora dostopa za zaščito zasebnih ključev in drugih občutljivih poverilnic.

Poleg tega morajo razvijalci biti pozorni na nenavadne odhodne povezave, zlasti promet SMTP, saj lahko napadalci za krajo podatkov uporabljajo legitimne storitve, kot je Gmail. Prav tako je ključnega pomena, da se paketu ne zaupa zgolj zato, ker obstaja že dolgo, ne da bi bil odstranjen, saj bi to lahko prikrilo nevarno dejavnost.