Organizace OpenSSF (Open Source Security Foundation), založená pod patronací Linux Foundation pro zvýšení bezpečnosti otevřeného softwaru, varovala komunitu před zjištěnou aktivitou souvisejícími s pokusy o kontrolu nad populárními otevřenými projekty, které připomínají styl jednání útočníků v procesu přípravy na vložení backdooru do projektu xz. Podobně jako při útoku na xz se podezřelé osoby, dříve nenaložící se vývojem, pokoušely použít metody sociálního inženýrství k dosažení svých cílů.
Útočníci zahájili korespondenci s členy správní rady organizace OpenJS Foundation, která slouží jako neutrální platforma pro spolupráci na otevřených JavaScript projektech, jako jsou Node.js, jQuery, Appium, Dojo, PEP, Mocha a webpack. V korespondenci, které se účastnilo několik externích vývojářů se spornou historií vývoje otevřeného softwaru, se pokoušeli přesvědčit vedení o nutnosti aktualizovat jeden z populárních JavaScript projektů spravovaných organizací OpenJS.
Jako důvod aktualizace byla uváděna potřeba přidání „ochrany proti jakýmkoli kritickým zranitelnostem“. Přitom nebyly uvedeny žádné podrobnosti o samotných zranitelnostech. Pro realizaci změn navrhl podezřelý vývojář zahrnout jej mezi osoby, které projekt doprovázejí, i když se na jeho vývoji dosud podílel pouze okrajově. Kromě toho byly podobné podezřelé scénáře vnucování vlastního kódu odhaleny také v dalších dvou populárních JavaScript projektech, které nejsou spojeny s organizací OpenJS. Předpokládá se, že případy nejsou ojedinělé a doprovázející otevřené projekty by měly dále být obezřetné při přijímání kódu a schvalování nových vývojářů.
Mezi znaky, které mohou naznačovat zlovolnou aktivitu, se zmiňuje přátelské, ale zároveň agresivní a neodbytné, obtěžování málo známých účastníků komunity vůči správcům nebo vedoucím projektů s myšlenkou propagace svého kódu nebo nabídky statusu správce. Pozornost je také třeba věnovat vzniku skupiny podpory kolem propagovaných myšlenek, složené z fiktivních osobností, které se dříve neúčastnily vývoje nebo se nedávno připojily ke komunitě.
Při přijímání změn by se mělo brát v úvahu jako znaky potenciálně škodlivých činností pokusy o začlenění binárních dat do žádostí o sloučení (například v xz byl zaveden zadní vchod v archivech pro testování dekompresoru) nebo zamotaného či těžko pochopitelného kódu. Je potřeba věnovat pozornost pokusům o změny, které mírně snižují bezpečnost, podávaným k posouzení reakcí komunity a prověření přítomnosti osob, které sledují změny (například v xz byla funkce Safe_fprintf nahrazena fprintf). Podezření by také měly vyvolávat netypické změny v metodách kompilace, sestavení a nasazení projektu, zapojení externích artefaktů a vyvolávání pocitu nutnosti urgentního přijetí změn.
Zdroj: opennet.ru
