Go malware Campaign wird über Go Module und Terraform Lieferanten verteilt

Sicherheitsforscher haben eine Kampagne entdeckt, die eine Malware in Go through Go-Modulen und zum ersten Mal öffentlich dokumentiert über Lieferanten verteilt, die in der Terraform-Registrierung von HashiCorp veröffentlicht wurden. Was wird bestätigt? durch technische Analyse von verschiedenen Geräten (Aikido, JFrog, SafeDep und andere) ist, dass legitime Pakete wurden gehackt oder mit schädlichen Abhängigkeiten veröffentlicht, die, indem sie in Projekten, implementieren eine Go binäre, die Befehls- und Kontrollinfrastruktur mit früheren Versionen in npm und PyPI beobachtet.

Die Probe wurde in mindestens zwei Go-Modulen und zwei Terraform-Lieferanten gefunden - Vektoren, die es Angreifern ermöglichen, sowohl Entwickler als auch Infrastruktur-Umgebungen zu erreichen - und die Probe verwendet ausgeklügelte Mechanismen: zwei gleichzeitige C2-Kanäle (eines basierend auf einer Kette von Testnet-Blöcken und eine auf der Slack API), asymmetrische Kryptographie zum Schutz der Nutzlast- und Ausführungskontrollen, die nur die Nutzlast aktivieren. Das HashiCorp-Anbieterregister ist hier verfügbar: https: / / Registry.terraform.io /.

Wie es technisch funktioniert (durch die Analyse bestätigt): Beim Laufen sammelt Malware Systeminformationen (Hardware, SO, Hostname, Knotenverfügbarkeit) und sendet sie an einen Kanal, der vom Angreifer auf Slack über die API gesteuert wird (die Technik nutzt wiederholte Anrufe zu Endpoint-Gespräche). https: / / api.slack.com / Methoden / Gespräche. Geschichte. Dann erzeugt es einen ephemeren Schlüssel und kombiniert diesen Schlüssel mit zwei öffentlichen Schlüsseln der Angreifer, um gemeinsame Schlüssel, die Kommunikation zwischen Client und Bediener schützen. Parallel dazu konsultiert der Agent alle paar Sekunden einen intelligenten Vertrag im Etheum-Testnetzwerk (Arbitrum Sepolia, laut Berichten), der nach verschlüsselten Befehlen sucht, die als Go- oder JavaScript-Code entschlüsseln und ausführen können. Die Testnet-Beratung kann von Pfadfindern wie Sepolia überprüft werden: https: / / sepolia.etherscan.io /.

Eigenschaften, die die Analyse komplizieren: Ein Teil der Nutzlast wird mit asymmetrischem Schlüssel verschlüsselt und nur unter bestimmten Bedingungen (z.B. Auflösung eines bestimmten linearen Systems oder Leistung einer bestimmten kryptographischen Operation) abgebaut, was auf die Gestaltung für gerichtete Operationen hindeutet oder Forscher, die die Front ohne die kontextuellen Elemente, die die Nutzlast aktivieren, behindert. Berichte zeigen auch, dass Angreifer Mechanismen verwenden, um Download-Zähler durch GitHub-Actions-Arbeiter aufblasen, um das Aussehen der Legitimität zu suchen.

Dokumentierte Eingabevektoren umfassen Social Engineering-Techniken: falsche Stellenangebote, Remote-Interviews und Programmieraufgaben, die das Opfer zwingen, eine Abhängigkeit, die die Hintertür einführt. Sicherheitsausrüstung hat die gleiche Taktik für Repositorien und Pakete in npm, PyPI und jetzt Terraform / Go beobachtet, die ein Reuse-Muster der Software-Versorgungskette zeigt.

Wer es betrifft und warum es zählt: Entwickler, die Drittanbieter-Einheiten ohne ausreichende Audit, Ausrüstung mit Drittanbietern Terraform Lieferanten und Organisationen mit CI / CD-Läufern (GitHub Actions, etc.) enthalten, sind am meisten exponiert. Ein schädlicher Terraform-Lieferant hat das Potenzial, Produktionsgeheimnisse (z.B. Staaten, Anmeldeinformationen und Cloud-Lieferanten) direkter als eine Endbenutzer-Bibliothek zu erreichen, so dass die Entstehung manipulierter Lieferanten das operative Risiko erhöht.

Plausible reale Auswirkungen (bereinigt vs. geschätzt): bestätigt: System-Inventar-Exfiltration und Einrichtung von dualen C2-Kanälen; geschätzt: Ausführung von Modulen, die dynamisch von den Betreibern geliefert werden (die Forscher haben die Implantation zurückgewonnen, aber nicht immer der nachfolgende Code, so dass die endgültigen Aktionen, die die Angreifer auf kompromittierten Maschinen ausgeführt sind noch unsicher). Die Kombination eines toten Abfalls in Lockchain und einer zweiten Slack Channeling verringert das Risiko für den Betreiber, da die Aufträge verschlüsselt werden können, so dass nur bestimmte Kunden sie interpretieren, auch die Interferenzkapazität von Drittanbietern begrenzen.

Mehrere Teams haben Zufälle mit Kampagnen festgestellt, die auf DPRK-bezogene Akteure wie Graphalgo oder PolinRider zurückzuführen sind. Dies ist eine von externen Analysten vorgeschlagene Zuschreibung.(ReversingLabs, Aikido und andere haben es erwähnt) aber, wie immer in Cyber-Drei Berichte, technische Zuschreibung ist keine absolute Zertifizierung und sollte mit Vorsicht behandelt werden, bis mehr öffentliche und nachprüfbare operative Beweise gesammelt werden.

Was sollte der Leser jetzt tun (betonte und sofortige Maßnahmen): und den Bereich der Abhängigkeit und des CI auf pragmatische Weise zu reduzieren: 1) In kritischen Projekten vermeiden Sie Änderungen der Abhängigkeiten ohne menschliche Überprüfung: machen SCA (Software-Zusammensetzung Analyse) und vergleichen Sie Signaturen und Hashes; 2) Übernehmen und rotieren Sie Token und Anmeldeinformationen, die in Repositorien oder Aktionen ausgesetzt wurden, und begrenzen Sie den Umfang der CI-Läufer; 3) Aktivieren Sie MFA und vorzugsweise Sicherheitsschlüssel in Wartungs- und Repositorykonten; 4) Blockieren oder überwachen Sie ungewöhnliche Outgoing-Verbindungen von Builder-Konten

Darüber hinaus sollten Paketinhaber die Geschichte des Zugriffs auf ihre Konten überprüfen, unbefugte Verpflichtungen überprüfen und alle Anmeldeinformationen mit Zugriff auf mehrere Repositories drehen. Sicherheitsteams sollten Anomalien-Erkennung (Behavior-Signaturen, unerwartete Fortschritte, Zugriff auf Messaging-APIs und Anrufe in Testnets mit häufigen Bestäubungsmustern) bereitstellen und Playbooks vorbereiten, um C2-Kanäle auszuschalten (Token, Block-Kontrakte oder Adressen, die an bösartigen Kommunikationen beteiligt sind).

Informationen noch unsicher oder zu bestätigen: Die genauen Funktionen der Nutzlasten nach der wiedergewonnenen Implantation wurden von den Forschern nicht vollständig zurückgewonnen - sie sind verschlüsselt und nur entschlüsselt im Kontext - und die endgültige Beziehung zwischen allen genannten Kampagnen und einer festen geopolitischen Zuschreibung bleibt Gegenstand der Analyse. Es ist auch unsicher, welche Skalenangriffe mit Terraform-Lieferanten operieren: aktuelle Erkenntnisse zeigen konkrete Fälle, aber es gibt immer noch keine öffentlichen Beweise für massiven und anhaltenden Missbrauch in großem Umfang.

Diese Folge stärkt eine Schlüsselstunde: Die Software-Versorgungskette ist nicht mehr nur Bibliothekscode; sie umfasst Infrastrukturanbieter, CI-Läufer und Wartungskonten. Effektive Minderung erfordert technische Kontrollen, Kontohygiene und kontinuierliche Überwachung von Infrastruktureinheiten und Geräten.