Beyond Takedown: Measuring Malicious Go Module Persistence in the Wild
Diese Arbeit enthüllt einen groß angelegten Go-Supply-Chain-Angriff, bei dem Angreifer legitime Module mit obfuskierter Malware neu verpacken, was zeigt, dass das alleinige Vertrauen auf GitHub-Suchen nicht ausreicht, um das volle Ausmaß der Kompromittierung zu erkennen, da über 99 % der entfernten bösartigen Artefakte weiterhin über Go-Proxies abrufbar bleiben.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich die Welt der Softwareentwicklung als eine riesige, belebte Bibliothek vor, in der Programmierer „Module“ (vorgeschriebene Codeblöcke) ausleihen, um ihre eigenen Anwendungen zu bauen. In der Programmiersprache Go hat diese Bibliothek einen sehr strengen Bibliothekar: den Go Proxy.
Hier ist die Geschichte eines jüngsten Raubüberfalls in dieser Bibliothek, einfach erzählt.
Der Raubüberfall: „Der gefälschte Buchclub“
Angreifer beschlossen, die Bibliothek zu bestehlen, aber sie brachen nicht die Türen auf. Stattdessen spielten sie ein Spiel der Identitätstäuschung.
- Der Aufbau: Sie fanden populäre, legitime Bücher (legitime Codemodule), denen alle vertrauten.
- Die Fälschung: Sie erstellten gefälschte Kopien dieser Bücher unter ihren eigenen Namen. In diesen gefälschten Büchern versteckten sie eine winzige, unsichtbare Falle.
- Die Falle: In der Go-Welt führt die Bibliothek automatisch einige Vorbereitungsaufgaben aus, wenn Sie ein Buch „importieren“ (ausleihen). Die Angreifer versteckten eine bösartige Anweisung innerhalb dieser Vorbereitungsaufgaben. Es war wie ein Buch, das, sobald man es öffnet, dem Computer heimlich den Befehl zuflüstert, einen Virus herunterzuladen und auszuführen.
- Der Hype: Um ihre gefälschten Bücher echt aussehen zu lassen, nutzten die Angreifer eine „Bot-Armee“, um ihnen tausende von „Stars“ (Likes) auf GitHub zu geben, um Entwickler in den Glauben zu versetzen: „Oh, das muss populär und sicher sein.“
Die Untersuchung: Zwei Wege des Hinsehens
Die Forscher (Minjae Bae und Carter Yagemann) wollten sehen, wie groß dieses Problem wirklich war. Sie benutzten zwei verschiedene Taschenlampen, um nach den Dieben zu suchen.
Taschenlampe 1: Die GitHub-Suche (Die „Regal“-Ansicht)
Sie durchsuchten manuell die Haupt-Hosting-Seite (GitHub), suchten nach verdächtigen Musten und folgten den „Star“-Verbindungen zwischen den Konten.
- Was sie fanden: Sie fanden 2.113 gefälschte Repositories.
- Das Problem: Diese Taschenlampe funktioniert nur, wenn das gefälschte Buch noch im Regal steht. Wenn das Bibliothekspersonal das Buch aus dem Regal entfernt oder wenn der Dieb das Buch gar nicht erst ins Hauptregal gestellt hat, sieht diese Taschenlampe nichts.
Taschenlampe 2: Der Proxy-Scan (Die „Zirkulations“-Ansicht)
Sie bauten einen speziellen Scanner namens GOAST (ein Roboter, der Code liest, ohne ihn auszuführen), um den Go Proxy zu scannen. Dies ist das Backup-System der Bibliothek. Es bewahrt eine perfekte, unveränderliche Kopie jedes Buches auf, das jemals ausgeliehen wurde, selbst wenn das ursprüngliche Buch vom Regal entfernt wurde.
- Was sie fanden: Sie fanden 2.289 bösartige Versionen.
- Die Überraschung: Die Proxy-Taschenlampe fand 83 % mehr bösartige Bücher als die GitHub-Taschenlampe. Viele dieser gefälschten Bücher waren gar nicht erst im Hauptregal zu finden oder wurden bereits entfernt, aber der Proxy bewahrte sie dennoch auf.
Die große Entdeckung: „Takedown“ bedeutet nicht „Behoben“
Dies ist der wichtigste Teil der Geschichte.
Normalerweise, wenn Sicherheitsteams ein schlechtes Buch finden, bitten sie die Bibliothek, es „take down“ zu nehmen (zu entfernen). Sie löschen das Repository auf GitHub. Sie denken: „Großartig, die Bedrohung ist gebeten.“
Die Forscher bewiesen, dass dies falsch ist.
Da der Go Proxy eine permanente, unveränderliche Kopie jedes Moduls aufbewahrt, löscht das Entfernen der Quelle auf GitHub nicht den Virus aus dem Ökosystem.
- Die Forscher fanden heraus, dass selbst nachdem die Repositories der Angreifer gelöscht oder gesperrt wurden (was sie auf GitHub „unsichtbar“ machte), 99,4 % dieser bösartigen Module immer noch über den Go Proxy verfügbar und herunterladbar waren.
- Es ist, als würde das Bibliothekspersonal ein gefälschtes Buch in den Müll werfen, aber der automatisierte Lieferdrohne der Bibliothek (der Proxy) hat immer noch eine perfekte Kopie in seinem Lagerhaus und liefert sie weiterhin an Kunden aus, die danach fragen.
Das Ergebnis
Die Forscher informierten das Bibliothekspersonal (GitHub und Google) über das Problem.
- GitHub entfernte 684 bösartige Repositories.
- Google (das Proxy-Team) bereinigte 1.377 bösartige Modulversionen aus ihrem permanenten Speicher.
Die Lehre
Man kann ein Problem der Software-Lieferkette nicht lösen, indem man nur die „Hosting“-Ebene (GitHub) bereinigt. Wenn die „Distribution“-Ebene (der Proxy) den schlechten Code behält, lebt die Bedrohung weiter. Um das Problem wirklich zu lösen, muss man sowohl das Regal als auch das Lagerhaus bereinigen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.