OpenSSF (Open Source Security Foundation), som er oprettet under Linux Foundation for at forbedre sikkerheden i open source-software, har advaret samfundet om, at der er blevet opdaget aktivitet, der er relateret til forsøg på at få kontrol over populære open source-projekter. Dette minder om handlingerne fra angribere, der forberedte sig på at indsætte en bagdør i projektet xz. På samme måde som angrebet på xz forsøgte tvivlsomme personer, der tidligere ikke var dybt involveret i udviklingen, at bruge metoder til social engineering for at nå deres mål.
Angriberne indgik i korrespondance med medlemmer af bestyrelsen for OpenJS Foundation, som fungerer som en neutral platform for samarbejdsudvikling af open source JavaScript-projekter som Node.js, jQuery, Appium, Dojo, PEP, Mocha og webpack. I korrespondancen, hvor flere eksterne udviklere med en tvivlsom historie inden for open source-udvikling deltog, blev der gjort forsøg på at overbevise ledelsen om nødvendigheden af at opdatere et af de populære JavaScript-projekter, der er kurateret af OpenJS.
Årsagen til opdateringen blev angivet som nødvendigheden af at tilføje «beskyttelse mod kritiske sårbarheder». Der blev dog ikke givet nogen detaljer om, hvad sårbarhederne gik ud på. For at gennemføre ændringerne foreslog den mistænkelige udvikler at inkludere sig selv blandt dem, der skulle ledsage projektet, som han tidligere kun havde deltaget i i begrænset omfang. Desuden er lignende mistænkelige scenarier for tvang af sin egen kode blevet identificeret i yderligere to populære JavaScript-projekter, der ikke er relateret til OpenJS. Det antages, at sådanne tilfælde ikke er isolerede, og at dem, der følger open source-projekter, bør forblive årvågne, når de modtager kode og godkender nye udviklere.
Blandt tegnene, der kan indikere skadelig aktivitet, nævnes det, at ukendte medlemmer af fællesskabet kan udvise en venlig, men samtidig aggressiv og insisterende adfærd over for projektes tilsynsførende eller ledere for at fremme deres kode eller tilbyde tilsynsstatus. Der bør også rettes opmærksomhed mod dannelsen af støttegrupper omkring de promoverede idéer, dannet af opdigtede personer, der tidligere ikke har deltaget i udviklingen eller som for nylig er blevet en del af fællesskabet.
Når der modtages ændringer, skal man se det som tegn på potentielt skadelig adfærd, når der forsøges at inkludere binære data i anmodninger om sammenlægning (f.eks. i xz blev en bagdør overført i arkiver til test af dekompressoren) eller forvirrende eller svært forståelig kode. Der bør være opmærksomhed på forsøg på at foreslå ændringer, der i mindre grad nedsætter sikkerheden, som sendes for at vurdere fællesskabets reaktion og kontrollere, om der er nogen, der overvåger ændringer (f.eks. i xz blev funktionen Safe_fprintf erstattet med fprintf). Der bør også være mistanke om usædvanlige ændringer af kompilering, bygning og udrulning af projektet, involvering af tredjeparts artefakter, og at der skabes en følelse af hast med hensyn til ændringernes vedtagelse.
Kilde: opennet.ru
