Die Organisation OpenSSF (Open Source Security Foundation), die unter dem Schutz der Linux Foundation zur Verbesserung der Sicherheit von Open Source-Software gegründet wurde, hat die Gemeinschaft über die Entdeckung von Aktivitäten informiert, die mit dem Versuch, die Kontrolle über beliebte Open-Source-Projekte zu übernehmen, in Verbindung stehen und an die Methoden von Angreifern erinnern, die sich auf den Einbau eines Backdoors in das Projekt xz vorbereiten. In Anlehnung an den Angriff auf xz haben fragwürdige Figuren, die zuvor nicht tief in die Entwicklung involviert waren, versucht, soziale Ingenieurmethoden zu nutzen, um ihre Ziele zu erreichen.
Die Angreifer traten in einen Austausch mit Mitgliedern des Vorstands der OpenJS Foundation, die als neutrale Plattform für die gemeinschaftliche Entwicklung von Open-JavaScript-Projekten wie Node.js, jQuery, Appium, Dojo, PEP, Mocha und webpack fungiert. In dieser Korrespondenz, an der mehrere externe Entwickler mit fragwürdiger Historie in der Entwicklung von Open-Source-Software beteiligt waren, wurden Versuche unternommen, das Management von der Notwendigkeit zu überzeugen, eines der beliebten JavaScript-Projekte, das von der OpenJS-Organisation betreut wird, zu aktualisieren.
Der Grund für das Update war die Notwendigkeit, "Schutz vor kritischen Schwachstellen" hinzuzufügen. Allerdings wurden keine Details zur Art der Schwachstellen genannt. Um die Änderungen umzusetzen, schlug der suspekte Entwickler vor, in das Projektteam aufgenommen zu werden, an dessen Entwicklung er zuvor nur geringfügig beteiligt war. Darüber hinaus wurden ähnliche verdächtige Szenarien zur Durchsetzung seines Codes in zwei weiteren beliebten JavaScript-Projekten, die nicht mit der OpenJS-Organisation verbunden sind, festgestellt. Es wird angenommen, dass diese Fälle nicht einmalig sind und die Betreuer öffentlicher Projekte bei der Annahme von Code und der Genehmigung neuer Entwickler wachsam bleiben sollten.
Einige Anzeichen, die auf böswillige Aktivitäten hindeuten könnten, umfassen wohlwollendes, aber gleichzeitig aggressives und aufdringliches Verhalten unbekannter Mitglieder der Community gegenüber den Begleitern oder Projektleitern mit der Idee, ihren Code zu fördern oder den Status eines Begleiters zu erhalten. Auch sollte auf das Auftreten einer Unterstützergruppe um die geförderten Ideen geachtet werden, die aus fiktiven Personen besteht, die zuvor nicht an der Entwicklung beteiligt waren oder sich erst kürzlich der Community angeschlossen haben.
Bei Änderungen sollten diese als Anzeichen potenziell schädlicher Aktivitäten interpretiert werden, wie beispielsweise der Versuch, binäre Daten in Merge-Anfragen einzufügen (zum Beispiel wurde im xz Backdoor in Archiven zur Prüfung des Entpackers übergeben) oder durch komplexen oder schwer verständlichen Code. Besondere Aufmerksamkeit sollte den Testversuchen geschenkt werden, die geringfügige Änderungen an der Sicherheit vornehmen, um die Reaktion der Gemeinschaft zu beobachten und um zu analysieren, ob es Personen gibt, die Änderungen verfolgen (zum Beispiel wurde im xz die Funktion Safe_fprintf durch fprintf ersetzt). Auch ungewöhnliche Änderungen bei den Kompilierungs-, Build- und Bereitstellungsmethoden des Projekts, die Einbeziehung externer Artefakte und das Erzeugen eines dringenden Bedarfs zur Annahme von Änderungen sollten Misstrauen erwecken.
Quelle: opennet.ru
