Организация OpenSSF (Open Source Security Foundation), създадена под покровителството на Linux Foundation с цел повишаване на сигурността на отворения софтуер, предупреди общността за откритие на активност, свързана с опити за контролиране на популярни отворени проекти, напомняща по своя стил действията на злонамерени лица в процеса на подготовка за внедряване на бекдор в проект xz. По аналогия с атаката на xz, съмнителни личности, които преди това не са били значително ангажирани в разработката, се опитваха да използват методи на социална инженерия за постигане на целите си.
Атакуващите започнаха кореспонденция с членовете на управителния съвет на организацията OpenJS Foundation, която служи като неутрална платформа за съвместно разработване на отворени JavaScript проекти, като Node.js, jQuery, Appium, Dojo, PEP, Mocha и webpack. В кореспонденцията, в която участваха няколко външни разработчици с съмнителна история в разработката на отворен софтуер, бяха направени опити да убедят ръководството в необходимостта от актуализиране на един от популярните JavaScript проекти, курирани от организацията OpenJS.
Като причина за актуализацията бе посочено необходимостта от добавяне на "защита срещу всякакви критични уязвимости". При това не бяха предоставени подробности за същността на уязвимостите. За реализиране на промените, съмнителен разработчик предложи да бъде включен в екипа, който съпровожда проекта, в разработката на който преди е участвал само в малка степен. Освен това, подобни съмнителни сценарии на налагане на собствен код бяха открити и в още два популярни JavaScript проекта, не свързани с организацията OpenJS. Предполага се, че тези случаи не са единични и екипите, които работят по отворени проекти, следва да бъдат бдителни при приемането на код и утвърдяването на нови разработчици.
Сред възможните признаци, които могат да свидетелстват за злонамерена дейност, се споменава доброжелателно, но в същото време агресивно и настоятелно наближаване на непознати участници от общността към придружителите или ръководителите на проекти с идеята за промоция на своя код или предоставяне на статуса на придружител. Внимание следва да се обърне и на появата на подкрепяща група около промотираните идеи, съставена от въображаеми личности, които преди това не са участвали в разработването или наскоро са се присъединили към общността.
При приемането на промени следва да се разглеждат като предупреждения за потенциално вредни действия опити за включване на бинарни данни в исканията за сливане (например, в xz бекдорът бе предаден в архиви за тестване на разархиватора) или заплетен или труден за разбиране код. Следва да се обърне внимание на пробни опити за извършване на промени, минимално намаляващи безопасността, изпращани за оценка на реакцията на общността и проверка на наличието на лица, проследяващи промените (например, в xz функцията Safe_fprintf бе заменена с fprintf). Съмнение също така трябва да будят нетипични промени в методите на компилиране, сглобяване и разгръщане на проекта, ангажиране на трети страни и създаване на усещане за спешност на нуждата от приемане на промените.
Източник: opennet.ru
