Pacchetti Go Malevoli Prendono di Mira Linux e macOS

La minaccia emergente dei pacchetti Go malevoli

I ricercatori di sicurezza di Socket hanno recentemente scoperto una sofisticata campagna di malware che prende di mira l’ecosistema Go. L’attore della minaccia ha pubblicato almeno sette pacchetti malevoli sul Go Module Mirror, impersonando librerie Go ampiamente utilizzate per installare malware nascosto su sistemi Linux e macOS.

Tecniche di typosquatting e obiettivi della campagna

I pacchetti malevoli utilizzano tecniche di typosquatting per imitare librerie popolari come “hypert” e “layout”. Quattro pacchetti (github.com/shallowmulti/hypert, github.com/shadowybulk/hypert, github.com/belatedplanet/hypert e github.com/thankfulmai/hypert) impersonano la legittima libreria github.com/areknoster/hypert, mentre altri tre (github.com/vainreboot/layout, github.com/ornatedoctrin/layout e github.com/utilizedsun/layout) si mascherano da github.com/loov/layout.

Questa campagna sembra mirare specificamente agli sviluppatori del settore finanziario, sfruttando la popolarità di Go in questo ambito. L’obiettivo è diffondere un malware loader che può potenzialmente rubare dati sensibili o credenziali.

Meccanismi di offuscamento e esecuzione del payload

I pacchetti malevoli utilizzano sofisticate tecniche di offuscamento basate su array di stringhe per nascondere le loro vere intenzioni. All’importazione, eseguono una funzione nascosta che costruisce ed esegue un comando shell per scaricare ed eseguire uno script remoto.

Processo di infezione in più fasi

1. Download iniziale dello script (a31546bf)
2. Attesa di un’ora prima di procedere
3. Recupero di un file ELF denominato f0eee999 da vari domini
4. Esecuzione del file ELF se non già in esecuzione

Il file ELF mostra inizialmente un comportamento malevolo minimo, come la lettura di /sys/kernel/mm/transparent_hugepage/, suggerendo che potrebbe essere un cryptominer o un loader che rimane dormiente fino a quando non vengono soddisfatte condizioni specifiche.

Infrastruttura coordinata e persistenza

L’attore della minaccia dimostra un alto livello di coordinamento e persistenza:

• Uso ripetuto di nomi file identici (a31546bf, f0eee999)
• Tecniche di offuscamento coerenti
• Molteplici domini di fallback

Questa configurazione permette all’avversario di cambiare rapidamente quando un dominio o un repository viene inserito in blacklist o rimosso.

Somiglianza con domini legittimi

Il dominio malevolo alturastreet[.]icu presenta una somiglianza superficiale con alturacu.com, il portale legittimo di online banking di Altura Credit Union. Ciò suggerisce un potenziale tentativo di sfruttare il riconoscimento del marchio per campagne di typosquatting o spear phishing mirate agli sviluppatori del settore finanziario.

Misure di protezione e best practices

Per proteggersi da queste minacce, gli sviluppatori dovrebbero implementare diverse misure di sicurezza:

1. Strumenti di scansione in tempo reale

Utilizzare strumenti automatizzati per rilevare e bloccare pacchetti typosquattati o malevoli prima che vengano integrati nei progetti. Socket raccomanda l’uso della loro app GitHub, CLI o estensione web per questo scopo.

2. Audit del codice approfonditi

Condurre revisioni regolari e approfondite del codice per identificare eventuali anomalie o comportamenti sospetti.

3. Gestione attenta delle dipendenze

• Verificare l’integrità dei pacchetti prima dell’installazione
• Monitorare attentamente i nuovi repository
• Scrutinare qualsiasi pacchetto che imiti da vicino il nome di una libreria nota

4. Ambienti isolati per i test

Eseguire l’audit di nuovi moduli in ambienti isolati per limitare potenziali danni in caso di infezione.

5. Sistemi di rilevamento e risposta degli endpoint

Implementare robusti sistemi EDR (Endpoint Detection and Response) per identificare e bloccare attività sospette in tempo reale.

6. Monitoraggio di rete avanzato

Utilizzare soluzioni di monitoraggio di rete per rilevare comunicazioni anomale o tentativi di connessione a domini malevoli noti.

Implicazioni per la sicurezza della supply chain software

Questa campagna mette in evidenza i rischi persistenti nella catena di approvvigionamento del software, in particolare negli ecosistemi open-source. Gli sviluppatori devono rimanere vigili e adottare misure di sicurezza proattive per proteggersi da tali minacce.

Strategie di mitigazione a lungo termine

1. Implementare processi di verifica rigorosi per tutti i pacchetti di terze parti
2. Mantenere un inventario aggiornato di tutte le dipendenze utilizzate nei progetti
3. Utilizzare strumenti di analisi statica e dinamica del codice per identificare vulnerabilità
4. Stabilire politiche di gestione delle dipendenze che limitino l’uso di pacchetti non verificati
5. Formare regolarmente gli sviluppatori sulle best practices di sicurezza e sulle minacce emergenti

L’evoluzione delle minacce nell’ecosistema Go

Man mano che l’ecosistema Go continua a crescere, mantenere la sicurezza richiede una vigilanza continua, controlli migliorati e consapevolezza di come gli avversari sfruttano i canali di distribuzione open source.

Tendenze emergenti

1. Aumento degli attacchi mirati a linguaggi e framework specifici
2. Maggiore sofisticazione nelle tecniche di offuscamento del malware
3. Sfruttamento di librerie popolari per massimizzare l’impatto
4. Uso di tecniche di social engineering per ingannare gli sviluppatori

Consigli per gli sviluppatori Go

1. Utilizzare sempre fonti ufficiali per scaricare pacchetti e librerie
2. Verificare l’autenticità dei pacchetti confrontando i checksum
3. Implementare il pinning delle versioni per le dipendenze critiche
4. Eseguire regolarmente scansioni di sicurezza sui progetti Go
5. Mantenere aggiornati Go e tutti i pacchetti utilizzati
6. Utilizzare strumenti di analisi statica specifici per Go come gosec

La scoperta di questa campagna di malware sottolinea l’importanza di mantenere un ecosistema di moduli sicuro attraverso controlli di sicurezza migliorati e consapevolezza delle tattiche avversarie. Gli sviluppatori e le organizzazioni devono rimanere informati e implementare pratiche di sicurezza robuste per salvaguardare i loro progetti e infrastrutture contro sofisticati attacchi alla catena di approvvigionamento.

Man mano che il panorama delle minacce si evolve, è fondamentale adottare un approccio proattivo alla sicurezza, combinando strumenti automatizzati, formazione continua e collaborazione all’interno della comunità Go per identificare e mitigare rapidamente le nuove minacce.

Implementando queste misure e rimanendo vigili, gli sviluppatori possono contribuire a creare un ecosistema Go più sicuro e resiliente, proteggendo non solo i propri progetti ma anche l’intera comunità dagli attacchi sempre più sofisticati che prendono di mira le catene di approvvigionamento del software.

Fonte: https://gbhackers.com/7-malicious-go-packages-target-linux-macos