Im Tool iVentoy, das zum Laden und Installieren beliebiger Betriebssysteme über das Netzwerk verwendet wird, wurde verdächtige Aktivität festgestellt. Beim Laden des Windows-Betriebssystems führte das Tool die Substitution eines binären Treibers httpdisk.sys durch und installierte sein selbstsigniertes Zertifikat im System-Speicher für Root-Zertifikate, das zur Signierung des Treibers verwendet wird. 31 von 70 Antiviren-Paketen, die die Datei httpdisk.sys überprüften, gaben eine Warnung über das Vorhandensein von Malware aus.
Eine derartige Aktivität wurde als potenzieller Versuch zur Verbreitung eines Backdoors wahrgenommen und warf Fragen zur Vertrauenswürdigkeit des Open-Source-Projekts Ventoy auf. Die Situation wurde dadurch verschärft, dass die Community im letzten Jahr nach dem Vorfall mit einem Backdoor im Projekt XZ bereits auf die Bereitstellung verdächtiger Blobs im Quellbaum von Ventoy aufmerksam gemacht hatte.
Die Entwickler von NixOS haben vorgeschlagen, Ventoy im nixpkgs-Repository durch den Fork fnr1r zu ersetzen (als Alternative kann auch glim betrachtet werden). Die Projekte Ventoy und iVentoy werden von demselben Autor entwickelt und haben ein ähnliches Ziel. Der Unterschied besteht darin, dass Ventoy vollständig offen ist und darauf abzielt, Betriebssysteme von USB-Medien zu starten, während iVentoy nur teilweise offen ist und für das Starten über das Netzwerk unter Verwendung der PXE-Technologie gedacht ist.
Der Autor der Projekte Ventoy und iVentoy hat sich in die Diskussion über das Problem eingeschaltet und erklärt, dass der Code des Treibers httpdisk.sys offen ist und der Treiber zum Bereitstellen von disk image files über das HTTP-Protokoll in Windows gedacht ist, was in iVentoy für den Erhalt von Windows-Installationsdaten verwendet wird. Server Die Einfügung von Treibern und Skripten in das System nach dem Booten ist ein dokumentiertes Verhalten.
Das eigene Zertifikat, mit dem dieser Treiber signiert wurde, wurde dem Stammzertifikat-Speicher hinzugefügt, um die Treiberinstallation unabhängig von der in Windows verwendeten Verifikation digitaler Signaturen zu ermöglichen. Das Zertifikat wurde nur in einer temporären WinPE-Umgebung (Windows Preinstallation Environment) verwendet, die im Arbeitsspeicher erstellt wurde. In den auf Festplatten installierten Windows-Versionen wurden keine Änderungen vorgenommen. Es wird angekündigt, dass in der nächsten Version von iVentoy die Verwendung des eigenen Zertifikats eingestellt wird, da für die Treiberinstallation der Testmodus von WinPE genutzt werden wird.
Bezüglich der Bereitstellung von Blobs (1, 2, 3) in Ventoy erklärte der Entwickler, dass diese Binärdateien direkt aus anderen Open-Source-Projekten stammen und Ventoy sie unverändert verwendet. Die bereitgestellten ausführbaren Dateien werden während der Einrichtung von bootfähigen Systemen verwendet. Alternativ wird empfohlen, keine fertigen Builds zu nutzen, sondern die Releases von Ventoy selbst mit GitHub CI zu erstellen.
Quelle: opennet.ru
