L'organizzazione OpenSSF (Open Source Security Foundation), fondata sotto l'egida della Linux Foundation per migliorare la sicurezza del software open source, ha avvertito la comunità della scoperta di attività legate ai tentativi di ottenere il controllo su popolari progetti open source, simile nello stile delle azioni dei malintenzionati durante la preparazione per l'inserimento di un backdoor nel progetto xz. Analogamente all'attacco su xz, individui sospetti, precedentemente poco coinvolti nello sviluppo, hanno cercato di utilizzare metodi di ingegneria sociale per raggiungere i loro obiettivi.
Gli aggressori hanno avviato una corrispondenza con membri del consiglio di amministrazione dell'organizzazione OpenJS Foundation, che funge da piattaforma neutrale per lo sviluppo collaborativo di progetti open source in JavaScript, come Node.js, jQuery, Appium, Dojo, PEP, Mocha e webpack. Nella corrispondenza, a cui hanno partecipato diversi sviluppatori esterni con passati sospetti nello sviluppo di software open source, sono stati compiuti tentativi di convincere la direzione della necessità di aggiornare uno dei popolari progetti JavaScript curati dall'organizzazione OpenJS.
Come motivo dell'aggiornamento è stata indicata la necessità di aggiungere "protezione contro eventuali vulnerabilità critiche". Tuttavia, non sono stati forniti dettagli sulla natura delle vulnerabilità. Per implementare le modifiche, lo sviluppatore sospetto ha proposto di includerlo tra coloro che accompagnano il progetto, nel quale aveva precedentemente partecipato solo marginalmente. Inoltre, scenari sospetti simili di imposizione del proprio codice sono stati identificati in altri due popolari progetti JavaScript, non collegati all'organizzazione OpenJS. Si presume che i casi non siano isolati e che coloro che accompagnano progetti open source debbano rimanere vigili nell'accettare codice e nell'approvare nuovi sviluppatori.
Tra i segnali che possono indicare attività malevole si annovera l'approccio amichevole, ma allo stesso tempo aggressivo e insistente, di partecipanti poco noti alla comunità verso i supervisori o i leader di progetto con l'intento di promuovere il proprio codice o di ottenere lo status di supervisore. È importante prestare attenzione anche alla comparsa di un gruppo di supporto attorno alle idee promosse, formato da identità fittizie che non hanno precedentemente partecipato allo sviluppo o che si sono unite di recente alla comunità.
Durante l'accettazione delle modifiche, è opportuno considerare come segnali di potenziali attività dannose i tentativi di includere dati binari nelle richieste di unione (ad esempio, nel caso di xz un backdoor è stato trasmesso negli archivi per testare il decompositore) o codice confuso o difficile da comprendere. Si dovrebbe prestare attenzione ai tentativi di modifica che riducono lievemente la sicurezza, inviati per valutare la reazione della comunità e verificare la presenza di individui che monitorano le modifiche (ad esempio, in xz la funzione Safe_fprintf è stata sostituita da fprintf). Anche le modifiche atipiche ai metodi di compilazione, costruzione e distribuzione del progetto, il coinvolgimento di artefatti di terze parti e la creazione di una sensazione di urgenza per accettare le modifiche dovrebbero sollevare sospetti.
Fonte: opennet.ru
