go-mal-pkgs

Ein Sicherheitstool zur Erkennung bösartiger Go-Pakete, indem Prüfsummen in go.sum mit dem ursprünglichen Quellcode abgeglichen werden – unter Umgehung des Go-Module-Proxy-Cache.

Überblick

Dieses Tool schützt vor Supply-Chain-Angriffen, die den Go-Module-Proxy-Cache ausnutzen, wie kürzlich durch das bösartige Paket github.com/boltdb-go/bolt demonstriert wurde. Diese Angriffe nutzen den unbegrenzten Caching-Mechanismus des Go-Module-Proxys aus, um bösartigen Code auszuliefern, selbst nachdem das Quell-Repository bereinigt wurde.

Weitere Details zu dieser Art von Angriff finden Sie unter:

• Socket – Go-Supply-Chain-Angriff: Bösartiges Paket nutzt Go-Module-Proxy-Caching zur Persistenz

Das Tool funktioniert folgendermaßen:

1. Es liest die go.sum-Datei aus Ihrem Go-Projekt
2. Es ruft den ursprünglichen Quellcode direkt aus den Repositories ab (unter Umgehung des Go-Module-Proxys)
3. Es berechnet Prüfsummen mit dem offiziellen Algorithmus von Go
4. Es vergleicht die Prüfsummen, um etwaige Abweichungen zu erkennen, die auf kompromittierte Pakete hinweisen könnten

Installation

go install github.com/knqyf263/go-mal-pkgs@latest

Verwendung

Grundlegende Verwendung:

go-mal-pkgs /pfad/zu/ihrem/go/projekt

Das Tool analysiert die go.sum-Datei Ihres Projekts und überprüft die Integrität jedes Moduls.

Beispielausgabe

Erfolgreiche Überprüfung:

$ go-mal-pkgs /pfad/zu/projekt
Checking golang.org/x/[email protected]...
✅ Verified golang.org/x/[email protected]
Checking github.com/stretchr/[email protected]...
✅ Verified github.com/stretchr/[email protected]

Erkennung eines potenziell bösartigen Pakets:

$ go-mal-pkgs /pfad/zu/kompromittiertem-projekt
Checking github.com/boltdb-go/[email protected]...
⚠️  WARNING: checksum mismatch for github.com/boltdb-go/[email protected]:
expected: h1:abc123def456...
actual: h1:xyz789uvw012...

So funktioniert es

Das Tool implementiert Go's Prüfsummen-Verifikationsalgorithmus mithilfe des Pakets golang.org/x/mod/sumdb/dirhash. Wenn es eine Abweichung zwischen der Prüfsumme in Ihrer go.sum-Datei und der aus dem Quell-Repository berechneten Prüfsumme erkennt, könnte dies auf Folgendes hinweisen:

1. Ein kompromittiertes Modul im Go-Module-Proxy-Cache
2. Ein bösartiges Paket, das manipuliert wurde
3. Einen Typosquatting-Angriff (wie im Fall boltdb-go/bolt)
4. Andere Supply-Chain-Sicherheitsprobleme

Einschränkungen

• Das Tool unterstützt derzeit nur Module, die auf GitHub gehostet werden
• go.mod-Prüfsummen werden derzeit nicht verifiziert
• Für den Abruf des Quellcodes ist eine Netzwerkverbindung erforderlich

Hinweis

Dies ist ein experimentelles Tool, das als Proof of Concept als Reaktion auf die jüngste Ausnutzung des Go-Module-Proxy-Cache erstellt wurde. Die gesamte Codebasis wurde mit dem KI-Assistenten Claude 3.5 Sonnet generiert.