Investigadores han identificado módulos de lenguaje Go y bibliotecas npm que contienen un loader capaz de descargarse «Rekoobe», un backdoor ELF/PE de segunda fase.
Características del backdoor
En ciertas variantes, el loader puede ejecutar un wipe remoto mediante el comando rm -rf *.
Entre los nombres detectados figuran github.com/stripedconsu/linker, expertsandba/opt, ordinarymea/TNSR_IDS y cavernouskina/mcp-go.
Los paquetes naya-flore y nvlore-hsc están en npm.
Técnicas empleadas
Los atacantes emplean técnicas de Typosquatting en Go, creando repositorios con nombres verosímiles.
Al compilar, el código abre un shell, extrae el nombre de la región IPC (CVE-2025-23320) y descarga la carga ELF/PE desde dominios .icu y .tech.
Diferencias según sistema operativo
La carga cruzada se lleva a cabo de forma diferente según el sistema operativo: en Linux se ejecuta un bash script, mientras que en Windows se usa certutil.exe para traer el binario.
Funcionalidades de los paquetes npm
Los paquetes npm incluyen una función de kill switch. Se hacen pasar por librerías de WhatsApp y consultan una base de teléfonos indonesia. Si el número no está en la lista, disparan un borrado recursivo de archivos.
Riesgos identificados
El backdoor puede permitir la toma de control remota de estaciones de desarrollo y servidores CI/CD en sistemas Windows y Linux.
Recopila información del sistema y del navegador, facilitando el robo de credenciales y secretos.
En entornos locales, cuando se activa el wipe, puede producirse la eliminación de código fuente y artefactos.
La presencia de los módulos de Go en repositorios como GitHub facilita su propagación inadvertida, lo que representa un riesgo para la cadena de suministro.
Mitigaciones recomendadas
- Revisar las dependencias empleando herramientas como go audit, go.sum y npm audit, junto con escáneres de supply-chain (Socket, Snyk, osv-scanner).
- Fijar versiones y hashes (go mod vendor, npm shrinkwrap) ayuda a evitar descargas de nombres ambiguos.
- Usar sandboxing de builds: compilar en contenedores sin acceso privilegiado y con salida a Internet restringida.
- Monitorizar el tráfico saliente hacia dominios .icu y .tech, así como alertar sobre la creación de shells en sistemas de CI.
- Realizar un proceso rápido de deprecation: reportar y eliminar paquetes sospechosos de los registros oficiales antes de que alcancen descargas críticas.