Az iVentoy eszközkészletében, amelyet különféle operációs rendszerek hálózati indítására és telepítésére használnak, gyanús tevékenységet észleltek. Windows operációs rendszer hálózati indítása során az eszközkészlet a httpdisk.sys bináris meghajtó helyettesítését hajtotta végre, és a saját aláírt tanúsítványát a rendszer gyökértanúsítványai közé telepítette, amelyet a meghajtó digitális aláírásával való biztosítására használnak. A httpdisk.sys fájlt ellenőrző 70 antivírus csomag közül 31 figyelmeztetést adott ki kártevő jelenlétéről.
Ez a tevékenység potenciális hátsó bejárat terjesztési kísérletként értékelődött, és bizalmi kérdéseket vetett fel a nyílt Ventoy projekttel kapcsolatban. A helyzetet súlyosbította, hogy tavaly az XZ projekttel kapcsolatos hátsó bejárat után a közösség már felhívta a figyelmet a gyanús blobok beszerzésére a Ventoy forrásfájljának fájljai között.
A NixOS fejlesztői javasolták a Ventoy helyettesítését a nixpkgs tárolóban a fnr1r fork-ra (alternatívaként a glim is figyelembe vehető). A Ventoy és az iVentoy projekteket ugyanaz a szerző fejleszti, és hasonló célokat szolgálnak. Az eltérés abban áll, hogy a Ventoy teljesen nyílt, és USB meghajtókról történő operációs rendszerek indítására irányul, míg az iVentoy csak részben nyílt, és hálózati indítást céloz a PXE technológia felhasználásával.
Az iVentoy és Ventoy projektek szerzője is bekapcsolódott a probléma megvitatásába, aki elmagyarázta, hogy a httpdisk.sys meghajtó kódja nyílt, és maga a meghajtó a Windows diszk képek hálózati HTTP protokoll feletti felszerelésére szolgál, amelyet az iVentoy használ. a szerver A meghajtók és szkriptek rendszerbe való beillesztése indítás után dokumentált viselkedés.
A saját tanúsítvány, amellyel ezt a drivert aláírták, bekerült a gyökér tanúsítványok tárolójába, hogy lehetővé tegye a driver betöltését a Windows rendszer digitális aláírás szerinti ellenőrzésének megkerülésével. A tanúsítványt kizárólag egy egyszeri WinPE (Windows Preinstallation Environment) környezetbe illesztették be, amely a RAM-ban keletkezett. A rögzített telepítésekbe a disk-re nem történt beavatkozás. Azt állítják, hogy a következő iVentoy kiadásban a saját tanúsítvány beszúrását leállítják, mivel a driver betöltéséhez a WinPE teszt üzemmódban való indítását fogják használni.
A Ventoy-hoz kapcsolódó blobok (1, 2, 3) szállításával kapcsolatban a fejlesztő kijelentette, hogy ezek a bináris fájlok közvetlenül más nyílt projektektől származnak, és a Ventoy ezeket változtatások nélkül használja. A kész végrehajtható fájlokat az indítható rendszerek konfigurálása során alkalmazzák. Alternatív megoldásként javasolják, hogy ne használj kész összeállításokat, hanem készítsd el a Ventoy kiadásokhoz szükségeseket sajátkezűleg a GitHub CI segítségével.
Forrás: opennet.ru
