Mã độc Go được phát tán qua Terraform Providers độc hại trên HashiCorp Registry
"Researchers reported Go-based malware distributed through two malicious Terraform providers and two Go modules hosted via the HashiCorp registry, marking a new supply-chain delivery vector. The malware overlaps with the Graphalgo campaign and uses dual C2 channels, including blockchain dead drops on Ethereum testnets and Slack-based command handling; no CVE was cited, and the primary impact is credential theft, remote command execution, and targeted payload delivery. No patch or fix was described in the article."
Rủi ro chuỗi cung ứng phần mềm tăng cao; có thể dẫn đến đánh cắp thông tin xác thực, thực thi lệnh từ xa và triển khai tải trọng theo mục tiêu.
Có thể ảnh hưởng đến môi trường phát triển và quy trình triển khai nếu dependency độc hại lọt vào hệ thống; làm tăng chi phí kiểm tra, cô lập và ứng phó sự cố.
Các nhà nghiên cứu an ninh đã phát hiện mã độc viết bằng Go được phân phối qua hai Terraform providers và hai Go modules trên HashiCorp Registry, cho thấy một kênh tấn công chuỗi cung ứng mới. Các gói bị phát hiện gồm gocommunity-io/dockerd, kreuzwenker/docker, gocommunity.io/orderedbtree và gogets.dev/btreex. Mã độc này có dấu hiệu trùng lặp với chiến dịch Graphalgo, vốn trước đó đã được ghi nhận là nhắm tới các nhà phát triển thông qua các gói giả mạo trên npm và PyPI.
Theo mô tả, mã độc sử dụng hai kênh C2: một kênh dựa trên blockchain dead drop trên Ethereum testnet và một kênh điều khiển qua Slack. Khi chạy, nó thu thập thông tin hệ thống, gửi dữ liệu về kênh Slack do kẻ tấn công kiểm soát, sau đó tạo khóa tạm thời để trao đổi lệnh. Một số lệnh được mã hóa và chỉ giải mã trong điều kiện cụ thể, cho thấy đây có thể là chiến dịch nhắm mục tiêu.
Khuyến nghị cho đội kỹ thuật: kiểm tra nguồn gốc dependency, rà soát Terraform providers và Go modules đang dùng, theo dõi hoạt động bất thường liên quan đến Slack API, Ethereum testnet và tiến trình Node.js/Go không mong đợi, đồng thời chặn hoặc cô lập các gói có dấu hiệu độc hại.