U alatu iVentoy, koji se koristi za pokretanje i instalaciju raznih operativnih sustava putem mreže, otkrivena je sumnjiva aktivnost. Prilikom mrežnog pokretanja sustava Windows, alat je izvršio zamjenu binarnih drajvera httpdisk.sys u sustavu i instalirao svoj samopotpisani certifikat u sistemsko spremište korijenskih certifikata, koji se koristi za potpisivanje drajvera digitalnim potpisom. 31 od 70 antivirusnih paketa koji su provjeravali datoteku httpdisk.sys izdali su upozorenje o prisutnosti zlonamjernog softvera.
Ova aktivnost percipirana je kao potencijalni pokušaj uvođenja backdoora i otvorila je pitanje povjerenja u otvoreni projekt Ventoy. Situaciju je dodatno pogoršalo to što je prošle godine, nakon incidenta s backdoorom u projektu XZ, zajednica već obraćala pažnju na isporuku sumnjivih blobova u izvornoj strukturi projekta Ventoy.
Razvijači NixOS-a predložili su zamjenu Ventoy-a u repozitoriju nixpkgs s fork-om fnr1r (kao alternativa se također može razmotriti glim). Projekti Ventoy i iVentoy razvijeni su od strane istog autora i imaju sličnu namjenu. Razlike su u tome što je Ventoy potpuno otvoren i namijenjen pokretanju operativnih sustava s USB uređaja, dok je iVentoy djelomično otvoren i namijenjen za mrežno pokretanje korištenjem PXE tehnologije.
U raspravu o problemu uključio se autor projekata Ventoy i iVentoy, koji je pojasnio da je kod drajvera httpdisk.sys otvoren, a sam drajver je namijenjen montiranju diskovnih slika u Windows-u putem mreže preko HTTP protokola, što se koristi u iVentoy-u za dobivanje s poslužitelja instalacijskih podataka Windows-a. Zamjena drajvera i skripti u sustavu nakon pokretanja je dokumentirano ponašanje.
Vlastiti certifikat, pomoću kojeg je potpisan ovaj upravljački program, dodan je u spremište korijenskih certifikata kako bi se omogućilo učitavanje upravljačkog programa mimo primjenjivog sustava verifikacije programa putem digitalnog potpisa u Windowsu. Certifikat je bio korišten samo u jednokratnom okruženju WinPE (Windows Preinstallation Environment), koje se stvara u radnoj memoriji. Nema promjena u standardnim instalacijama Windowsa na disku. Objava je da će se u sljedećem izdanju iVentoy prestati koristiti vlastiti certifikat, jer će učitavanje upravljačkog programa biti omogućeno pokretanjem WinPE u testnom modu.
Što se tiče isporuke blobova (1, 2, 3) u Ventoy, programer je izjavio da su ti binarni datoteke direktno preuzete iz drugih otvorenih projekata i Ventoy ih koristi bez izmjena. Gotove izvršne datoteke se koriste u procesu postavljanja pokretnih sustava. Kao alternativna opcija sugerira se da se ne koriste gotove verzije, već da se sami sastave za izdanja Ventoy pomoću GitHub CI.
Izvor: opennet.ru
