Вредоносный пакет обнаружен в экосистеме Go - обновление

Обновление 6 февраля: Google удалила пакет и предоставила следующее заявление:

Модуль был удален из прокси модуля Go и с GitHub, и мы добавили его в базу данных уязвимостей Go для всех, кто считает, что они могли быть затронуты. Мы решаем эту проблему с помощью таких исправлений, как анализ возможностей с помощью Capslock и проведение сравнений с deps.dev. Мы хотим поблагодарить Socket и участников команды Go, которые обнаружили модуль и занимаются его исправлением. Мы продолжим работать с широкой индустрией, чтобы повысить осведомленность об общих проблемах безопасности открытого кода, подобных этим, и о работе, проводимой в рамках таких инициатив, как SLSA и OpenSSF.

В экосистеме языка Go обнаружен вредоносный пакет typosquat. Пакет, содержащий бэкдор для удаленного выполнения кода, был обнаружен исследователями из компании Socket, занимающейся безопасностью приложений.

В сообщении в блоге Socket от 3 февраля говорится, что пакет выдает себя за широко используемый модуль базы данных Bolt. Пакет BoltDB широко распространен в экосистеме Go, от него зависят 8 367 пакетов, говорится в блоге. После того как вредоносная программа была закэширована в Go Module Mirror, тег git был стратегически изменен на GitHub, чтобы удалить следы вредоносного ПО и скрыть его от ручной проверки. Разработчики, которые вручную проверили github.com/boltdb-go/bolt на GitHub, не обнаружили следов вредоносного кода. Но при загрузке пакета через прокси-модуль Go была получена оригинальная версия с обратным доступом. Этот обман оставался незамеченным более трех лет, что позволило вредоносному пакету сохраниться в публичном репозитории.

Компания Socket добилась удаления пакета из зеркала модулей и сообщила о репозитории GitHub и учетной записи угрожающего лица, которые использовались для распространения вредоносного пакета boltdb-go. По данным Socket, эта атака является одним из первых задокументированных случаев использования плохим агентом бессрочного кэширования модулей на Go Module Mirror. Для снижения угроз, связанных с цепочкой поставок программного обеспечения, Socket советует разработчикам проверять целостность пакетов перед установкой. Они также должны анализировать зависимости на предмет аномалий и использовать инструменты безопасности, которые проверяют установленный код на более глубоком уровне. В компании Google, где был разработан Go, 5 февраля не смогли сразу же получить комментарий по поводу этой проблемы.