Die Organisation OpenSSF (Open Source Security Foundation), die unter dem Patronat der Linux Foundation gegründet wurde, um die Sicherheit von Open-Source-Software zu verbessern, hat die Community vor der Entdeckung von Aktivitäten gewarnt, die mit dem Versuch, die Kontrolle über beliebte Open-Source-Projekte zu übernehmen, in einem Stil verbunden sind, der an die Vorgehensweise von Angreifern erinnert, die sich auf die Einführung eines Backdoors im xz-Projekt vorbereiten. Ähnlich wie bei dem Angriff auf xz versuchten zweifelhafte Personen, die zuvor nicht stark in die Entwicklung involviert waren, soziale Ingenieurmethoden zu nutzen, um ihre Ziele zu erreichen.
Die Angreifer traten in Kontakt mit Mitgliedern des Vorstands der OpenJS Foundation, die als neutrale Plattform für die gemeinsame Entwicklung offener JavaScript-Projekte wie Node.js, jQuery, Appium, Dojo, PEP, Mocha und webpack fungiert. In der Korrespondenz, an der mehrere Drittentwickler mit fragwürdiger Vergangenheit in der Entwicklung von Open-Source-Software beteiligt waren, wurden Versuche unternommen, die Leitung von der Notwendigkeit zu überzeugen, eines der beliebten JavaScript-Projekte, die von der OpenJS-Organisation betreut werden, zu aktualisieren.
Als Grund für das Update wurde die Notwendigkeit genannt, "Schutz vor kritischen Sicherheitsanfälligkeiten" hinzuzufügen. Dabei wurden keine Einzelheiten zu den Art der Schwachstellen genannt. Um die Änderungen umzusetzen, schlug der verdächtige Entwickler vor, ihn in die Gruppe der Projektbetreuer aufzunehmen, an deren Entwicklung er zuvor nur geringfügig beteiligt war. Darüber hinaus wurden ähnliche verdächtige Szenarien, in denen versucht wurde, eigenen Code aufzuzwingen, auch in zwei weiteren beliebten JavaScript-Projekten festgestellt, die nicht mit der OpenJS-Organisation verbunden sind. Es wird vermutet, dass es sich nicht um Einzelfälle handelt und dass die Projektbetreuer von Open-Source-Projekten bei der Annahme von Code und der Genehmigung neuer Entwickler wachsam bleiben sollten.
Unter den Anzeichen, die auf böswillige Aktivitäten hindeuten könnten, wird das freundliche, aber gleichzeitig aggressive und aufdringliche Verhalten wenig bekannter Community-Mitglieder gegenüber den Begleitern oder Projektleitern erwähnt, um ihren Code oder den Status des Begleitens zu fördern. Auch die Bildung einer Unterstützergruppe um die geförderten Ideen, die aus fiktiven Persönlichkeiten besteht, die zuvor nicht an der Entwicklung beteiligt waren oder sich erst kürzlich der Community angeschlossen haben, sollte beachtet werden.
Bei der Annahme von Änderungen sollten Versuche, binäre Daten in Merge-Anfragen einzufügen (z. B. wurde im xz-Bedrohungsfall ein Hintertür in Archiven für die Tests des Entpackers übergeben), oder unklarer oder schwer verständlicher Code als Anzeichen für potenziell schädliche Aktivitäten wahrgenommen werden. Besondere Aufmerksamkeit sollte auf Testversuche gerichtet werden, die sicherheitsmindernde Änderungen beinhalten, um die Reaktionen der Community und das Vorhandensein von Personen, die Änderungen verfolgen, zu überprüfen (z. B. wurde im xz die Funktion Safe_fprintf durch fprintf ersetzt). Auch untypische Änderungen an den Methoden zur Kompilierung, dem Aufbau und der Bereitstellung des Projekts, die Einbeziehung externer Artefakte und das Schüren eines Gefühls der Notwendigkeit für eine dringende Annahme von Änderungen sollten misstrauisch gemacht werden.
Quelle: opennet.ru
