Nel toolkit iVentoy, utilizzato per il caricamento e l'installazione di sistemi operativi via rete, è stata rilevata un'attività sospetta. Durante il caricamento via rete di Windows, il toolkit effettuava un'inserzione nel sistema del driver binario httpdisk.sys e installava nel repository di sistema i certificati radice del proprio certificato autofirmato, utilizzato per attestare il driver con una firma digitale. 31 dei 70 pacchetti antivirus in cui è stato controllato il file httpdisk.sys hanno emesso un avviso sulla presenza di malware.
Tale attività è stata vista come un potenziale tentativo di promuovere un backdoor e ha sollevato preoccupazioni sulla fiducia nel progetto open source Ventoy. La situazione era aggravata dal fatto che lo scorso anno, dopo l'incidente con il backdoor nel progetto XZ, la comunità aveva già prestato attenzione alla fornitura di blob sospetti nell'albero dei sorgenti di Ventoy.
Gli sviluppatori di NixOS hanno proposto di sostituire Ventoy nel repository nixpkgs con il fork fnr1r (come alternativa può essere considerato anche glim). I progetti Ventoy e iVentoy sono sviluppati dallo stesso autore e hanno uno scopo simile. Le differenze sono che Ventoy è completamente open e mira a caricare sistemi operativi da dispositivi USB, mentre iVentoy è solo parzialmente open e destinato al caricamento via rete utilizzando la tecnologia PXE.
L'autore dei progetti Ventoy e iVentoy ha partecipato alla discussione del problema, spiegando che il codice del driver httpdisk.sys è open e che il driver stesso è destinato al montaggio in Windows delle immagini disco via rete tramite il protocollo HTTP, utilizzato in iVentoy per ricevere i dati di installazione di Windows. server L'inserimento di driver e script nel sistema dopo il caricamento è un comportamento documentato.
Il certificato proprio, con cui è stato firmato questo driver, è stato aggiunto al deposito dei certificati radice per consentire il caricamento del driver bypassando la verifica delle firme digitali applicata dal sistema Windows. Il certificato era utilizzato solo in un ambiente WinPE (Windows Preinstallation Environment) temporaneo, creato nella memoria. Non sono state apportate modifiche alle installazioni di Windows permanenti su disco. È stato annunciato che nella prossima versione di iVentoy l'uso del proprio certificato sarà interrotto, poiché per garantire il caricamento del driver verrà utilizzato l'avvio di WinPE in modalità test.
Riguardo alla fornitura dei blob (1, 2, 3) in Ventoy, lo sviluppatore ha dichiarato che questi file binari sono stati ottenuti direttamente da altri progetti open source e Ventoy li utilizza senza modifiche. I file eseguibili pronti vengono utilizzati durante la configurazione dei sistemi avviabili. Come alternativa, viene suggerito di non utilizzare build pronte, ma di assemblarle per le versioni di Ventoy in modo autonomo tramite GitHub CI.
Fonte: opennet.ru
