恶意Go模块被曝可擦除Linux系统数据

Socket安全团队披露，攻击者通过精心伪装的Go模块实施破坏性供应链攻击，其恶意代码可彻底清空Linux系统磁盘并导致永久性数据丢失。

攻击技术剖析

恶意模块完整路径：

1. 
github.com/truthfulpharm/prototransform


2. 
github.com/blankloggia/go-mcp


3. 
github.com/steelpoor/tlsproxy


1.模块伪装

• 仿冒合法库命名（如go-mcp、tlsproxy等）

• 利用Go生态去中心化特性，制造GitHub仓库命名空间混淆

• 非典型"仿拼写"攻击（typosquatting），而是通过语义相近名称诱导开发者

2.多阶段攻击链

• 先进行OS环境检测（仅Linux生效）

• 从攻击者服务器拉取二级载荷

• 执行不可逆磁盘覆写（/dev/sda清零操作）

3.毁灭性效果

• 主硬盘所有数据被二进制零覆盖

• 系统引导区被破坏导致无法启动

• 超越常规勒索软件，直接造成永久性数据毁灭

行业警示

• 命名空间混乱：Go模块直连GitHub的特性加剧了真假库辨识难度

• 攻击时效性：从依赖引入到系统瘫痪仅需单次构建触发

• 防御困境：传统代码审计难以发现高度混淆的恶意逻辑

防御建议

1. 建立模块白名单制度，禁用非权威来源依赖

2. 在隔离环境中执行CI/CD构建流程

3. 部署行为监控工具检测异常磁盘操作

"这类攻击将可信代码转化为毁灭性武器的能力，标志着供应链攻击进入新阶段。我们必须将自动化依赖分析、运行时监控深度集成到开发生命周期中。" ——Socket威胁研究团队