LinuxおよびmacOSユーザーを標的にしたマルウェアが発見されました。攻撃者は人気のGoパッケージ（例：HypertとLayout）をタイポスクワッティングして、これらのシステムにマルウェアを配布しています。
タイポスクワッティングとは？
タイポスクワッティングとは、人気のあるウェブサイトやソフトウェアパッケージの名前の誤字・脱字を利用した攻撃手法です。攻撃者は、開発者や一般ユーザーが間違えやすいスペルミスや類似した名前のドメインやパッケージを登録し、正規のものと勘違いさせることを狙います。例えば、正規のパッケージ名が「hypertext」であれば、「hyprtext」や「hipertext」などの類似名を作成します。開発者がうっかりコマンドラインでミスタイプすると、悪意のあるパッケージをダウンロードしてしまいます。
影響を受けるシステムは何か？
影響を受けるシステムは主にLinuxおよびmacOSベースのシステムで、特にGo言語を使用している開発者がターゲットとなっています。これらのマルウェアパッケージは、HTTP APIクライアントのテストやレイアウト管理などのために一般的に使用されているGoライブラリを偽装しています。
対策
対策として、以下が挙げられます。
- 悪意のあるパッケージの削除要請（Go Module Mirrorから）
- リアルタイムスキャニングツールの導入、および依存関係管理によるタイポスクワッティング試行の防止
タイポスクワッティングを防ぐ効果的な方法は、「手動での偶発的なミスを防ぐシステマチックなアプローチ」を取ることです。開発者が直接コマンドでパッケージを追加するのではなく、パッケージ管理システムなどを使って導入するアプローチを取ることが重要です。
この脆弱性で何が起こるか？
この脅威により、攻撃者はリモートコード実行（RCE）を可能にし、システム上で悪意のあるスクリプトをダウンロードおよび実行することができます。特に、ELF形式のマルウェアをLinuxおよびmacOSシステムにインストールし、持続的な攻撃を行うための基盤を築くことが可能です。
ELF形式のマルウェアとは？
主にLinux、Unix、およびmacOSなどのUNIX系オペレーティングシステムで使用される実行可能ファイルの標準フォーマットです。windowsなどではexe拡張子を持つファイルにあたります。
ELF形式のマルウェアは特に、サーバー環境やクラウドインフラストラクチャなど、現代のクラウドネイティブインフラで注意が必要です。
タイポスクワッティングはパッケージ名を少し変更するだけで新たな脅威をばら撒くことができるため、同様の手法がGoエコシステム内で今後も広まる可能性があることを示唆しています。
開発者は、このような攻撃に対抗するために、上記の対策を積極的に導入することをお勧めいたします。