GitHub bị lạm dụng để phát tán phần mềm độc hại nhắm vào máy chủ Linux

[WhiteHat Team]

Một cuộc tấn công chuỗi cung ứng nhắm vào các máy chủ Linux đã được phát hiện, sử dụng ba mô-đun Go độc hại được đăng tải trên GitHub.

Các mô-đun này chứa mã được che giấu kỹ lưỡng (highly obfuscated code) để tải và thực thi các payload từ xa, bao gồm một kịch bản xóa dữ liệu (wiper malware) nhắm vào thiết bị lưu trữ chính (/dev/sda), gây hỏng hệ điều hành và mất dữ liệu không thể khôi phục.

Cuộc tấn công có vẻ được thiết kế đặc biệt cho các máy chủ và môi trường phát triển dựa trên Linux, vì payload phá hoại- một script Bash có tên done.sh, sử dụng lệnh "dd" để thực hiện hành vi ghi đè dữ liệu. Hơn nữa, payload sẽ kiểm tra xem nó có đang chạy trong môi trường Linux không (runtime.GOOS == "linux") trước khi cố gắng thực thi.

Phân tích từ công ty bảo mật, chuỗi cung ứng Socket cho thấy lệnh này sẽ ghi đè toàn bộ dữ liệu trên đĩa bằng số 0, dẫn đến mất dữ liệu không thể phục hồi và hệ thống ngừng hoạt động hoàn toàn. Mục tiêu là thiết bị lưu trữ chính /dev/sda, nơi chứa dữ liệu hệ thống quan trọng, tập tin người dùng, cơ sở dữ liệu và cấu hình hệ điều hành.

Các nhà nghiên cứu đã phát hiện cuộc tấn công này vào tháng 4 và xác định ba mô-đun Go trên GitHub, hiện đã bị gỡ khỏi nền tảng:

• github[.]com/truthfulpharm/prototransform
• github[.]com/blankloggia/go-mcp
• github[.]com/steelpoor/tlsproxy

Cả ba mô-đun đều chứa mã bị làm rối, sau đó giải mã thành các lệnh dùng wget để tải xuống script xóa dữ liệu độc hại (sử dụng /bin/bash hoặc /bin/sh). Theo các nhà nghiên cứu của Socket, các payload sẽ được thực thi ngay lập tức sau khi tải về.

Các mô-đun Go độc hại có vẻ đã giả mạo các dự án hợp pháp:

• prototransform: công cụ chuyển đổi dữ liệu tin nhắn sang các định dạng khác nhau,
• go-mcp: một triển khai Go của Model Context Protocol,
• tlsproxy: công cụ proxy TLS cung cấp mã hóa cho máy chủ TCP và HTTP.

Kẻ tấn công lợi dụng điểm yếu trong hệ sinh thái Go, nơi cho phép tạo các mô-đun có tên gần giống mô-đun hợp pháp, để ngụy trang mã độc và chờ lập trình viên tích hợp vào dự án. Chỉ cần một lần tải và thực thi mô-đun độc hại cũng có thể dẫn đến mất toàn bộ dữ liệu.

Các chuyên gia bảo mật khuyến nghị:

• Các nhà phát triển cần xác minh tính xác thực của các mô-đun Go trước khi tích hợp vào dự án.
• Thiết lập quy trình kiểm tra bảo mật mã nguồn mở (OSS) trước khi đưa mô-đun vào môi trường phát triển hoặc sản xuất.