מה אתה צריך לדעת על תוכנות זדוניות מבוססות Golang

Golang הופכת להיות שפת התכנות הנבחרת עבור מפתחי תוכנות זדוניות רבות. על פי חברת אבטחת הסייבר Intezer, חלה עלייה של כמעט 2000 אחוז במספר זני התוכנה הזדונית מבוססת Go שנמצאו בטבע מאז 2017.

מספר ההתקפות המשתמשות בסוג זה של תוכנות זדוניות צפוי לגדול בשנתיים הקרובות. מה שהכי מדאיג הוא שאנחנו רואים שחקני איומים רבים שמכוונים למספר מערכות הפעלה עם זנים מבסיס קוד יחיד של Go.

הנה כל מה שאתה צריך לדעת על האיום המתעורר הזה.

מה זה גולנג?

גו (aka Golang) היא שפת תכנות קוד פתוח שעדיין חדשה יחסית. הוא פותח על ידי רוברט גריזמר, רוב פייק וקן תומפסון בגוגל בשנת 2007, אם כי הוא הוצג לציבור רק רשמית בשנת 2009.

הוא פותח כחלופה ל- C ++ ו- Java. המטרה הייתה ליצור משהו שהוא פשוט לעבוד איתו וקל לקריאה למפתחים.

קָשׁוּר: למד את השפה של Android בעזרת הכשרה זו למפתחים של Google Go

מדוע פושעי רשת משתמשים בגולנג?

יש היום אלפי תוכנות זדוניות מבוססות גולנג בטבע. הן כנופיות פריצה בחסות המדינה והן בחסות המדינה, השתמשו בה כדי לייצר שורה של זנים, כולל סוסים טרויאניים מרחוק (RAT), גנבים, כורי מטבעות ורשתות רבות אחרות.

מה שהופך סוג זה של תוכנות זדוניות לחזק יותר הוא הדרך בה היא יכולה למקד ל- Windows, MacOS ו- Linux באמצעות אותו בסיס קוד. המשמעות היא שמפתח תוכנות זדוניות יכול לכתוב קוד פעם אחת ואז להשתמש בבסיס הקוד היחיד הזה כדי להרכיב קבצים בינאריים למספר פלטפורמות. באמצעות קישור סטטי, קוד שנכתב על ידי מפתח עבור לינוקס יכול לפעול ב- Mac או Windows.

ראינו כורי קריפטו מבוססי-go המכוונים הן למכונות Windows והן לינוקס, כמו גם לגנבי מטבעות קריפטוגרפיים מרובי פלטפורמות עם אפליקציות טרויאניות הפועלות במכשירי MacOS, Windows ו- Linux.

מלבד צדדיות זו, זנים שנכתבו ב- Go הוכיחו כי הם גם גנבים מאוד.

רבים חדרו למערכות ללא גילוי בעיקר מכיוון שתוכנות זדוניות שנכתבו ב- Go הן גדולות. גם בגלל קישור סטטי, בינאריות ב- Go הן יחסית גדולות יותר בהשוואה לשפות אחרות. שירותי תוכנת אנטי-וירוס רבים אינם מצוידים לסרוק קבצים מגושמים זה.

יתר על כן, לרוב האנטי-וירוסים קשה יותר למצוא קוד חשוד ב- Go בינארי מכיוון שהם נראים שונה בהרבה תחת ניפוי באגים בהשוואה לאחרים שנכתבו בשפות רגילות יותר.

זה לא עוזר שתכונות של שפת תכנות זו הופכות את הקבצים הבינאריים של Go ליותר קשה להנדסה לאחור ולניתוח.

בעוד כלים רבים להנדסה לאחור מצוידים היטב בניתוח בינאריות שהורכבו מ- C או C ++, בינאריות מבוססות Go עדיין מציבות אתגרים חדשים עבור מהנדסים לאחור. זה שמר על שיעורי זיהוי של תוכנות זדוניות של Golang נמוכים במיוחד.

זנים זדוניים מבוססי תוכנה וקטורי התקפה

לפני 2019, האיתור בתוכנות זדוניות שנכתבו ב- Go היה אולי נדיר, אך בשנים האחרונות חלה עלייה מתמדת בזני התוכנה הזדונית המבוססת על מגעים.

חוקר תוכנה זדונית מצא כ -10,700 זנים ייחודיים של תוכנות זדוניות שנכתבו ב- Go in the wild. הנפוץ ביותר מבין אלה הם RATs ו- דלתות אחוריות אך בחודשים האחרונים ראינו גם הרבה מאוד תוכנות כופר ערמומיות שנכתבו ב- Go.

ElectroRAT

גניבת מידע אחת כזו שנכתבה בגולאנג היא ElectroRAT החודרנית ביותר. אמנם יש רבים מגניבי המידע המגעילים האלה בסביבה, אך מה שהופך את זה ליותר ערמומי הוא כיצד הוא מכוון למספר מערכות הפעלה.

קמפיין ElectroRAT, שהתגלה בדצמבר 2020, כולל תוכנות זדוניות מבוססות-פלטפורמות Go בעלות ארסנל של יכולות אכזריות המשותפות לגירסת Linux, MacOS ו- Windows.

תוכנה זדונית זו מסוגלת לבצע רישום מפתח, לצלם צילומי מסך, להעלות קבצים מדיסקים, להוריד קבצים ולבצע פקודות מלבד המטרה הסופית שלה לרוקן את ארנקי המטבעות.

קָשׁוּר: ElectroRAT תוכנות זדוניות הממוקדות בארנקי מטבעות מטבעות

הקמפיין הנרחב שלדעתו נותר בלתי מזוהה במשך שנה כלל טקטיקות מורכבות עוד יותר.

האחרון כלל יצירת אתר מזויף וחשבונות מזויפים של מדיה חברתית, יצירת שלוש אפליקציות נפרדות הנגועות בטרויאנים הקשורות ל- cryptocurrency (כל אחת מהן מיקוד ל- Windows, Linux ו- MacOS), קידום האפליקציות המוכתמות בפורומים של קריפטו ובלוקצ'יין כמו Bitcoin Talk, ופיתוי קורבנות אל האפליקציה הטרויאנית דפי אינטרנט.

ברגע שמשתמש מוריד ואז מפעיל את האפליקציה, ממשק משתמש נפתח בזמן שהתוכנה הזדונית מסתננת ברקע.

RobbinHood

זֶה תוכנות כופר מרושעות עלה לכותרות בשנת 2019 לאחר שכה את מערכות המחשוב של בולטימור.

עברייני הסייבר שעומדים מאחורי זן רובינודה דרשו 76,000 דולר לפענוח הקבצים. מערכות הממשלה ניתנו באופן לא מקוון ויצא משירות במשך כמעט חודש, ועל פי הדיווחים העירייה הוציאה 4.6 מיליון דולר ראשוניים לשחזור הנתונים במחשבים המושפעים.

נזקים עקב אובדן הכנסות עשויים לעלות לעיר יותר - עד 18 מיליון דולר על פי מקורות אחרים.

המקודד במקור בשפת התכנות Go, תוכנת הכופר Robbinhood הצפינה את נתוני הקורבן ואז צירפה את שמות הקבצים של קבצים שנפגעו באמצעות הסיומת .Robbinhood. לאחר מכן הוא הניח קובץ הפעלה וקובץ טקסט על שולחן העבודה. קובץ הטקסט היה פתק הכופר עם דרישות התוקפים.

זברסי

בשנת 2020, מפעילת תוכנות זדוניות, Sofacy, פיתחה גרסה של Zebrocy שנכתבה ב- Go.

הזן התחבש כמסמך של Microsoft Word והופץ באמצעות פתיונות פישינג של COVID-19. זה עבד כמוריד שאסף נתונים מהמערכת של המארח הנגוע ואז העלה את הנתונים האלה לשרת הפקודה והשליטה.

קָשׁוּר: היזהר מ- 8 הונאות הסייבר COVID-19 האלה

ארסנל זברוסי, המורכב מטפטפות, דלתות אחוריות ומורדות, נמצא בשימוש שנים רבות. אך גרסת ה- Go שלה התגלתה רק בשנת 2019.

היא פותחה על ידי קבוצות פשיעת סייבר הנתמכות על ידי המדינה וכוונה בעבר למשרדי ענייני חוץ, שגרירויות וארגוני ממשלה אחרים.

עוד Golang תוכנות זדוניות לבוא בעתיד

תוכנות זדוניות מבוססות Go הולכות וגוברות והופכות ללא הרף לשפת התכנות המתאימה לשחקני האיומים. יכולתו למקד למספר פלטפורמות ולהישאר בלתי מזוהה לאורך זמן הופכת אותה לאיום רציני הראוי לתשומת לב.

פירוש הדבר שכדאי להדגיש שעליך לנקוט באמצעי זהירות בסיסיים כנגד תוכנה זדונית. אל תלחץ על קישורים חשודים כלשהם או הורד קבצים מצורפים מאימיילים או מאתרים - גם אם הם מגיעים ממשפחתך וחבריך (שעשויים כבר להיות נגועים).

האם אבטחת הסייבר יכולה לעמוד בקצב? העתיד של תוכנות זדוניות ואנטי-וירוס

תוכנות זדוניות מתפתחות כל הזמן, מה שמאלץ את מפתחי האנטי-וירוס לשמור על הקצב. תוכנות זדוניות חסרות תיקים, למשל, אינן נראות לעין - אז איך נוכל להתגונן מפניה?

על הסופר