Северокорейские хакеры распространяют Go-вредонос через реестр HashiCorp с помощью Terraform-провайдеров
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Исследователи кибербезопасности раскрыли Go-вредонос, распространяемый через два Terraform-провайдера и два Go-модуля в реестре HashiCorp, что стало первым случаем использования платформы для доставки вредоносных нагрузок. Вредонос пересекается с кампанией Graphalgo, приписываемой северокорейским злоумышленникам. Цепочка атаки использует зашифрованные нагрузки и каналы управления через Slack и тестовую сеть Ethereum Sepolia.
Ключевые факты
- Два Terraform-провайдера и два Go-модуля в реестре HashiCorp использовались для распространения Go-вредоноса, с количеством загрузок 222 и 1449 соответственно.
- Вредонос пересекается с кампанией Graphalgo, впервые задокументированной ReversingLabs в феврале 2026 года и приписываемой северокорейским злоумышленникам.
- Злоумышленники связывались с разработчиками через LinkedIn, Facebook и форумы вакансий, выдавая себя за несуществующие Web3-компании, и просили выполнить задания по кодированию с использованием вредоносных зависимостей.
- На этой неделе Checkmarx, JFrog и SafeDep выявили новые вредоносные npm-пакеты, доставляющие тот же вредонос, включая indexed-btree, mathsbase и graphcore-js.
- Имплант связывается с каналом Slack каждые 10 секунд и использует смарт-контракт в тестовой сети Ethereum Sepolia для управления.
Распространение вредоносных пакетов
Aikido идентифицировала Terraform-провайдеры gocommunity-io/dockerd и kreuzwenker/docker, а также Go-модули gocommunity.io/orderedbtree и gogets.dev/btreex как векторы распространения. Провайдеры имели 222 и 1449 загрузок соответственно, что указывает на активное использование разработчиками. Это первый случай, когда злоумышленники использовали централизованный репозиторий HashiCorp для доставки вредоносных нагрузок. Вредонос, распространяемый через эти пакеты, пересекается с кампанией Graphalgo, приписываемой северокорейским злоумышленникам.
Цепочка атаки и инфраструктура
По данным JFrog, полезная нагрузка расшифровывается только тогда, когда жертва решает линейную систему с определенной матрицей. Имплант получает команды от смарт-контракта в тестовой сети Ethereum Sepolia и держит второй канал связи открытым через Slack. Он опрашивает конечную точку Slack conversations.history каждые 10 секунд и выполняет действия в зависимости от типа пакета: Start, Chunk или End. SafeDep сообщила, что путь через блокчейн расшифровывает удаленные данные, записывает subwatcher и запускает его с помощью Node.js. Точные функции зашифрованной полезной нагрузки остаются неизвестными, поскольку она зашифрована асимметричной криптографией.
Социальная инженерия и npm-пакеты
Потенциальных разработчиков находили через LinkedIn, Facebook и форумы вакансий злоумышленники, выдававшие себя за несуществующие Web3-компании. Их просили выполнить задания по кодированию, предоставив безобидный репозиторий GitHub, который вводил вредоносное поведение через зависимость, опубликованную в npm или PyPI. На этой неделе Checkmarx, JFrog и SafeDep выявили новые вредоносные npm-пакеты, доставляющие тот же вредонос, включая indexed-btree, mathsbase и graphcore-js. В некоторых случаях выполнение вредоноса запускается только при выполнении определенной криптографической операции, что указывает на целенаправленную операцию.
1 источник
Время · отставание