{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Intentos de tomar control sobre proyectos de c\u00f3digo abierto similares al caso del paquete xz.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La organizaci\u00f3n OpenSSF (Open Source Security Foundation), creada bajo el patrocinio de la Linux Foundation para mejorar la seguridad del software de c\u00f3digo abierto, ha alertado a la comunidad sobre actividades relacionadas con intentos de obtener control sobre populares proyectos de c\u00f3digo abierto, que recuerdan el estilo de acci\u00f3n de los atacantes en la preparaci\u00f3n para insertar un backdoor en el proyecto xz. De manera similar al ataque a xz, individuos dudosos, que anteriormente no estaban profundamente involucrados en el desarrollo, intentaron emplear m\u00e9todos de ingenier\u00eda social para alcanzar sus objetivos. <\/p>\n
Los atacantes entablaron correspondencia con miembros del consejo directivo de la organizaci\u00f3n OpenJS Foundation, que sirve como plataforma neutral para el desarrollo colaborativo de proyectos de JavaScript de c\u00f3digo abierto, como Node.js, jQuery, Appium, Dojo, PEP, Mocha y webpack. En la correspondencia, en la que participaron varios desarrolladores externos con un historial dudoso en el desarrollo de software de c\u00f3digo abierto, se realizaron intentos para convencer a la direcci\u00f3n de la necesidad de actualizar uno de los populares proyectos de JavaScript supervisados por la organizaci\u00f3n OpenJS. <\/p>\n
La raz\u00f3n dada para la actualizaci\u00f3n fue la necesidad de a\u00f1adir \"protecci\u00f3n contra cualquier vulnerabilidad cr\u00edtica\". Sin embargo, no se proporcionaron detalles sobre la naturaleza de estas vulnerabilidades. Para llevar a cabo los cambios, el desarrollador sospechoso propuso ser incluido en el grupo que acompa\u00f1a el proyecto, en el cual anteriormente hab\u00eda tenido solo una participaci\u00f3n m\u00ednima. Adem\u00e1s, se han descubierto escenarios sospechosos similares de influencia de su c\u00f3digo en otros dos proyectos populares de JavaScript, que no est\u00e1n relacionados con la organizaci\u00f3n OpenJS. Se presume que estos casos no son aislados y quienes acompa\u00f1an proyectos abiertos deben mantener la vigilancia al recibir c\u00f3digo y al aprobar nuevos desarrolladores. <\/p>\n
Entre los signos que pueden indicar actividad maliciosa, se menciona el acoso amistoso pero a la vez agresivo y persistente de participantes poco conocidos de la comunidad hacia los mantenedores o l\u00edderes de proyectos con la idea de promocionar su c\u00f3digo o proporcionar el estatus de mantenedor. Tambi\u00e9n se debe prestar atenci\u00f3n a la aparici\u00f3n de un grupo de apoyo alrededor de las ideas promovidas, formado por identidades ficticias que anteriormente no hab\u00edan participado en el desarrollo o que se han unido recientemente a la comunidad. <\/p>\n
Al recibir cambios, se debe considerar como signos de posibles acciones maliciosas los intentos de incluir datos binarios en solicitudes de fusi\u00f3n (por ejemplo, en xz se transmiti\u00f3 un backdoor en archivos comprimidos para probar el descompresor) o c\u00f3digo complicado o dif\u00edcil de entender. Se debe prestar atenci\u00f3n a los intentos de realizar cambios que disminuyan ligeramente la seguridad, enviados para evaluar la reacci\u00f3n de la comunidad y comprobar la presencia de personas que rastreen los cambios (por ejemplo, en xz, la funci\u00f3n Safe_fprintf fue reemplazada por fprintf). Tambi\u00e9n deben levantar sospechas los cambios at\u00edpicos en los m\u00e9todos de compilaci\u00f3n, construcci\u00f3n y despliegue del proyecto, la implicaci\u00f3n de artefactos de terceros y la creaci\u00f3n de una sensaci\u00f3n de urgencia para aceptar cambios. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"