BC: новый троян с GitHub заменяет нулевыми байтами все данные при заражении Linux

Специалисты по кибербезопасности из компании Socket выявили на платформе GitHub три вредоносных программных модуля, написанных на языке Go. При попадании в среду операционной системы Linux эти модули приводят к необратимому уничтожению всей информации на системном диске. Об этом сообщает издание BleepingComputer (BC).

Согласно анализу Socket, вредоносные модули внешне не вызывают подозрений, однако содержат скрытый функционал для определения операционной системы. В случае обнаружения среды Linux, с удаленного сервера загружается следующий этап атаки – деструктивный шелл-скрипт. Этот скрипт целенаправленно перезаписывает содержимое основного системного накопителя, обычно обозначаемого как /dev/sda, заполняя его нулевыми байтами. В результате такого воздействия система полностью теряет способность к загрузке, а восстановление уничтоженных данных становится принципиально невозможным.

Аналитики подчеркивают, что данный деструктивный скрипт, вероятно, нацелен на серверные инфраструктуры или среды разработки, использующие Linux. Этот случай служит наглядным подтверждением растущей угрозы атак на цепочки поставок программного обеспечения, когда код, кажущийся надежным и безопасным, на деле может нести катастрофические риски.

Исследователи привели адреса репозиториев на GitHub, где размещались обнаруженные вредоносные пакеты: github[.]com/truthfulpharm/prototransform, github[.]com/blankloggia/go-mcp, github[.]com/steelpoor/tlsproxy. На момент публикации новости все указанные репозитории были удалены или стали недоступны.

Проблема также затрагивает особенности экосистемы языка программирования Go. Отмечается ее высокая популярность и активное использование публичных репозиториев, таких как GitHub, разработчиками, привлекаемыми простотой и гибкостью языка. Однако именно эта открытость становится мишенью для злоумышленников. По мнению экспертов, отсутствие единой централизованной системы оценки безопасности в этой экосистеме, в сочетании с легкостью создания вредоносных модулей с названиями, похожими на популярные легитимные пакеты, создает значительные риски для пользователей.