Un modulo Go “utile” per brute-force SSH si rivela un’arma per rubare credenziali

Se pensavi di scaricare un tool Go per testare la robustezza delle tue connessioni SSH, ripensaci: dietro il nome innocuo golang-random-ip-ssh-bruteforce si nasconde un modulo dannoso che ti tradisce. Scoperto da ricercatori di Socket.dev e riportato da The Hacker News il 24 agosto 2025, questo pacchetto inganna gli utenti facendosi passare per uno strumento di brute-force SSH, ma in realtà estrae credenziali e le invia a un bot Telegram sotto il controllo dell’attaccante. Il suo funzionamento è subdolo: genera in loop infiniti indirizzi IPv4 casuali, scansiona la porta 22 in cerca di servizi SSH aperti e tenta l’accesso usando una lista semplice con combinazioni tipo “root:root”, “admin:1234”, “root:password” e simili. Se l’accesso ha successo anche una sola volta, il target IP, lo username e la password vengono inviati immediatamente al bot Telegram @sshZXC_bot, e il pacchetto si interrompe. Il modulo ignora completamente la verifica della chiave host impostando ssh.InsecureIgnoreHostKey, permettendo connessioni SSH anche senza autenticazione del server: una scelta pericolosa, chiara compromissione della sicurezza.

Il responsabile, noto come IllDieAnyway (alias G3TT) su GitHub, ha pubblicato il modulo il 24 giugno 2022. Anche se il suo account GitHub è ora inaccessibile, il pacchetto continua a essere disponibile tramite pkg.go.dev. Socket.dev ha analizzato il codice e sottolinea che l’attaccante, presumibilmente di lingua russa, sfrutta l’infrastruttura ignara degli utenti per distribuire il rischio: il brute-force viene eseguito da altri, ma ogni successo viene incanalato verso un unico bot Telegram, continuando sotto le spoglie di traffico HTTPS indisturbato.

Per gli operatori che lo eseguono inconsapevolmente, l’effetto è devastante: credono di condurre un test di penetrazione oppure una ricerca legittima, ma in realtà stanno consegnando credenziali a un criminale informatico. Il caso è un monito chiaro: la fiducia nell’open-source è fondamentale, ma non deve mai sostituire la prudenza. Prima di installare ed eseguire moduli poco conosciuti è indispensabile controllare il codice, verificare la reputazione dell’autore e usare strumenti di sicurezza in grado di bloccare comportamenti sospetti. Un pacchetto può sembrare un semplice aiuto per i tuoi test, ma nascondere un malware pronto a trasformarti in complice inconsapevole di un attacco.