Investigadores de ciberseguridad han revelado detalles de un módulo Go malicioso diseñado para recopilar contraseñas, crear acceso persistente a través de SSH y ofrecer una puerta trasera de Linux llamada Rekoobe.

El módulo Go, github[.]com/xinfeisoft/crypto, se hace pasar por el código base legítimo «golang.org/x/crypto», pero inyecta código malicioso responsable de filtrar secretos ingresados ​​a través de solicitudes de contraseña del terminal a un punto final remoto, obtiene un script de shell en respuesta y lo ejecuta.

«Esta actividad encaja con la confusión del espacio de nombres y la suplantación del subrepositorio legítimo golang.org/x/crypto (y su espejo de GitHub github.com/golang/crypto)», Kirill Boychenko, investigador de seguridad de Socket dicho. «El proyecto legítimo identifica go.googlesource.com/crypto como canónico y trata a GitHub como un espejo, una distinción que el actor de amenazas abusa para hacer que github.com/xinfeisoft/crypto parezca rutinario en los gráficos de dependencia».

Específicamente, la puerta trasera se ha colocado dentro del archivo «ssh/terminal/terminal.go», de modo que cada vez que una aplicación víctima invoca ReadPassword() (una función supuestamente destinada a leer entradas como contraseñas desde una terminal) hace que esa información capture secretos interactivos.

La principal responsabilidad del script descargado es funcionar como un escenario de Linux, agregando la clave SSH de un actor de amenazas al archivo «/home/ubuntu/.ssh/authorized_keys», configurando las políticas predeterminadas de iptables en ACEPTAR en un intento de aflojar las restricciones del firewall y recuperando cargas útiles adicionales de un servidor externo mientras las disfrazan con la extensión .mp5.

De las dos cargas útiles, una es un asistente que prueba la conectividad a Internet e intenta comunicarse con una dirección IP («154.84.63[.]184») a través del puerto TCP 443. El programa probablemente funcione como un reconocimiento o cargador, señaló Socket.

Se ha evaluado que la segunda carga útil descargada es Rekoobe, un conocido troyano de Linux que ha sido detectado en la naturaleza. desde al menos 2015. El Puerta trasera es capaz de recibir comandos de un servidor controlado por un atacante para descargar más cargas útiles, robar archivos y ejecutar un shell inverso. En agosto de 2023, grupos de estados-nación chinos como APT31 han utilizado Rekoobe.

Mientras el paquete todavía permanece en la lista En pkg.go.dev, el equipo de seguridad de Go ha tomado medidas para bloquear el paquete como malicioso.

«Esta campaña probablemente se repetirá porque el patrón requiere poco esfuerzo y alto impacto: un módulo similar que conecta un límite de alto valor (ReadPassword), usa GitHub Raw como puntero giratorio, luego gira hacia curl | sh staging y entrega de carga útil de Linux», dijo Boychenko.

«Los defensores deben anticipar ataques similares a la cadena de suministro dirigidos a otras bibliotecas de ‘borde de credenciales’ (ayudantes de SSH, solicitudes de autenticación CLI, conectores de bases de datos) y más indirección a través de superficies de alojamiento para rotar la infraestructura sin volver a publicar el código».