悪意のあるGoモジュールが高度なサプライチェーン攻撃でディスク消去型Linuxマルウェアを配信

記事本文（要約）

サイバーセキュリティ研究者は、Linuxシステムを起動不能にする破壊的なペイロードを取得する3つの悪意あるGoモジュールを発見しました。これらのパッケージ「prototransform」、「go-mcp」、「tlsproxy」は、Linux環境を確認後、リモートサーバーから次の段階のペイロードを「wget」で取得し、システムのプライマリディスクをゼロで上書きする破壊的なシェルスクリプトを実行します。

また、複数の悪意あるnpmパッケージが、ニーモニックシードフレーズと暗号通貨の秘密鍵を盗む機能を持つことが判明しました。Pythonパッケージインデックス（PyPI）でも、同様の目的を持つ悪意あるパッケージが発見されており、大量にダウンロードされています。

さらに、GmailのSMTPサーバーとWebSocketを利用し、データの流出とリモートコマンド実行を行うパッケージも報告されました。これらは、Gmailのドメインを悪用して検出を回避しています。

開発者は、パッケージの信頼性を確認し、依存関係を定期的に監査することが推奨されます。また、異常な外部接続、特にSMTPトラフィックに注意を払いましょう。

※この要約はChatGPTを使用して生成されました。

公開日: Sat, 03 May 2025 20:01:00 +0530

Original URL: https://thehackernews.com/2025/05/malicious-go-modules-deliver-disk.html

詳細な技術情報

この文章におけるセキュリティ脆弱性と攻撃について、以下の重要な詳細情報を提供します。

CVE番号

現時点では、具体的なCVE番号は付与されていないようです。

脆弱性の仕組み

Goモジュールの脆弱性:

特定のGoモジュールが、Linuxシステム上で動作すると、リモートサーバーからペイロードを取得して実行します。このペイロードはシステムのプライマリディスクをゼロで上書きし、ブート不可にします。

npmおよびPyPIパッケージの脆弱性:

npmおよびPyPIリポジトリで、暗号通貨ウォレットからシードフレーズやプライベートキーを盗むための悪意のあるパッケージが発見されており、またデータ漏洩やリモートコマンドの実行を試みるパッケージもあります。

攻撃手法

オブスクエーションコードと次段階ペイロードの取得: 攻撃者は、高度にオブスクエートされたコードを用いて、リモートペイロードを取得・実行させ、Linuxシステムを破壊します。
SMTPサーバとWebSocketを利用したデータ漏洩: GmailのSMTPサーバを利用してデータを漏洩させ、WebSocketを通じて攻撃者がリモートからアクセスを確立します。