В iVentoy беше открито подменяне на кореновия сертификат при стартиране на Windows

В инструментариума iVentoy, използван за зареждане и инсталиране на произволни операционни системи по мрежата, е установена подозрителна дейност. При зареждане на ОС Windows, инструментариумът е извършвал подмяна на системата с бинарен драйвер httpdisk.sys и е инсталирал самоподписания си сертификат в системното хранилище на кореновите сертификати, който се използва за удостоверяване на драйвера с цифров подпис. 31 от 70 антивирусни пакета, в които е бил проверен файлът httpdisk.sys, издадоха предупреждение за наличие на зловреден софтуер.

Подобна дейност беше възприета като потенциална опит за внедряване на бекдор и повдигна въпроса за доверието в открития проект Ventoy. Ситуацията беше усложнена от факта, че миналата година след инцидента с бекдора в проекта XZ, общността вече обърна внимание на доставка на съмнителни блоба в дървото на изходния код на Ventoy.

Разработчиците на NixOS предложиха да заменят Ventoy в репозитория nixpkgs с форк fnr1r (като алтернатива може да се разглежда и glim). Проектите Ventoy и iVentoy се развиват от един автор и имат сходно предназначение. Разликите са, че Ventoy е напълно отворен и е насочен към зареждане на операционни системи от USB носители, докато iVentoy е само частично отворен и е предназначен за зареждане по мрежата с използване на технология PXE.

Авторът на проектите Ventoy и iVentoy се включи в обсъждането на проблема и поясни, че кодът на драйвера httpdisk.sys е отворен, а самият драйвер е предназначен за монтиране на дискoви образи на Windows по мрежата чрез HTTP протокол, който се използва в iVentoy за получаване на сървър инсталационни данни на Windows. Подмяната на драйвери и скриптове в системата след зареждане е документирано поведение.

Собствен сертификат, чрез който беше подписан този драйвер, беше добавен в хранилището на кореновите сертификати, за да се осигури зареждането на драйвера в обход на прилаганата в Windows система за верификация на софтуера по цифрови подписи. Сертификатът се подаваше само в еднократно окружение WinPE (Windows Preinstallation Environment), създавано в оперативната памет. В инсталираните на диска стационарни версии на Windows не бяха правени промени. Обявено е, че в следващата версия на iVentoy подаването на собствен сертификат ще бъде прекратено, тъй като за осигуряване на зареждането на драйвера ще бъде използвано стартиране на WinPE в тестов режим.

По отношение на доставката на блобове (1, 2, 3) във Ventoy разработчикът заяви, че тези бинарни файлове са получени директно от други отворени проекти и Ventoy ги използва без промени. Готовите изпълними файлове се използват в процеса на настройка на зареждащите системи. Като алтернативен вариант се предлага да не се взимат готовите компилации, а да се събират сами за изданията на Ventoy с помощта на GitHub CI.

Източник: opennet.ru