Эксперты компании Intezer сообщают, что с 2017 года количество вредоносных программ, написанных на языке Go, увеличилось на 2000%, и в настоящее время такая малварь уже стала обычным явлением. Golang часто используют «правительственные» хакеры, злоумышленники более низкого уровня, а также специалисты по информационной безопасности (обычно для создания пентестерских инструментов).
Ранее специалисты уже отмечали, что в последние годы злоумышленники постепенно отошли от использования C и C ++, все чаще отдавая предпочтение Go, языку программирования, разработанному и запущенному Google в 2007 году. Хотя первый вредонос на Go появился еще в 2012 году, языку потребовалось время, чтобы завоевать такую популярность.
В своем отчете Intezer объясняет, что у этой популярности есть три основных причины. Первая из них, это простота кроссплатформенной компиляции, позволяющая разработчикам малвари один раз написать код, а затем сразу компилировать бинарники для разных платформ, включая Windows, Mac и Linux.
Вторая причина заключается в том, что бинарники на основе Go по-прежнему весьма сложно анализировать и реверсить, что позволяет хакерам поддерживать низкие уровни обнаружения для своей малвари.
Третья причина связана с тем, как в Go реализована поддержка работы с сетевыми пакетами и запросами:
«Go имеет хорошо написанный сетевой стек, с которым легко работать. Go стал одним из облачных языков программирования, на котором написано множество нативных облачных приложений. Например, Docker, Kubernetes, InfluxDB, Traefik, Terraform, CockroachDB, Prometheus и Consul — все они написаны на Go. Это имеет смысл, учитывая, что одной из причин создания Go было изобретение лучшего языка, который можно было бы использовать для замены внутренних сетевых служб C ++, используемых Google», — говорят исследователи.
Многие из написанных на Go вредоносов – это ботнеты, нацеленные на IoT-устройства и Linux, целью которых является либо установка криптовалютных майнеров, либо использование зараженных устройств для DDoS-атак. Кроме того, эксперты пишут, что все больше становится вымогателей, тоже написанных на языке Go.
В 2020 году Go-угроз было много, исследователи перечисляют лишь наиболее распространенные и заметные из них:
- Zebrocy— русскоязычная хак-группа APT28 создала версию малвари Zebrocy на базе Go;
- WellMess— русскоязычная хак-группа APT29 развернула обновленные версии малвари WellMess на базе Go;
- Godlike12— китайские хакеры использовали бэкдоры на основе Go для атак на тибетское сообщество;
- Go Loader— китайская Mustang Panda APT развернула новый загрузчик на базе Go.
- GOSH — известная хак-группа Carbanak использовала новый RAT GOSH, написанный на Go в августе прошлого года;
- Glupteba— появились новые версии загрузчика Glupteba;
- новый RAT, нацеленный на Linux-серверы под управлением Oracle WebLogic, был замечен Bitdefender;
- Go— обнаружены улучшенные версии малвари CryptoStealer.Go, предназначенной для кражи криптовалютных кошельков и паролей браузеров.
