Die Entwickler des Instant-Messaging-Clients Pidgin, der Netzwerke wie Jabber/XMPP, Bonjour, Gadu-Gadu, IRC, Novell GroupWise, Lotus Sametime und Zephyr unterstützt, haben bekannt gegeben, dass sie schadhafter Code im Plugin ss-otr (ScreenShareOTR) gefunden haben, das im Verzeichnis der von der Community entwickelten Plugins enthalten ist. Das Plugin wurde am 6. Juli im Verzeichnis platziert, nur in binärer Form verteilt und fügte Pidgin die Fähigkeit hinzu, Screen-Sharing über das OTR-Protokoll (Off-the-Record) anzubieten. Am 16. August entdeckten Sicherheitsexperten bösartige Aktivitäten im ss-otr, die sich in der Ausführung eines Keyloggers und dem Versand von Screenshots an externe Server äußerten.
Die Analyse der schädlichen Änderungen durch das Unternehmen ESET zeigte, dass in den Bibliotheken pidgin-screenshare und libotr Code zum Herunterladen und Ausführen von Skripten und ausführbaren Dateien von Server Angreifern (jabberplugins.net) vorhanden ist. Für Windows-Benutzer wurde über den Server schädliche Software namens DarkGate heruntergeladen und installiert, die Module für eine Vielzahl schädlicher Aktivitäten unterstützt, darunter Mining, Aufzeichnung von Tastatureingaben, Bereitstellung von Fernzugriff, Diebstahl persönlicher Daten, Schlüssel und Passwörter aus gängigen Anwendungen. In den Linux-Builds war ebenfalls eine Funktion zum Herunterladen und Ausführen von fremdem Code vorhanden (welcher Code genau auf die Systeme mit Linux geladen wurde, ist noch unklar).
Um das Risiko ähnlicher Vorfälle in Zukunft zu verringern, beabsichtigen die Entwickler von Pidgin, nur Plugins in das Verzeichnis aufzunehmen, deren Code unter offenen Lizenzen steht, die von der OSI genehmigt wurden. Es wird auch geplant, nur auf Drittanbieter-Plugins zu verweisen, für die eine Sicherheitsüberprüfung durchgeführt wurde.
Quelle: opennet.ru
