L'organizzazione OpenSSF (Open Source Security Foundation), creata sotto l'egida della Linux Foundation per migliorare la sicurezza del software open source, ha avvisato la comunità riguardo l'attività sospetta legata ai tentativi di ottenere il controllo su progetti open source popolari, simile allo stile degli aggressori nella preparazione per l'inserimento di un backdoor nel progetto xz. Analogamente all'attacco su xz, individui discutibili, precedentemente poco coinvolti nello sviluppo, hanno cercato di utilizzare metodi di ingegneria sociale per raggiungere i loro obiettivi.
Gli aggressori hanno avviato una comunicazione con i membri del consiglio di amministrazione dell'OpenJS Foundation, che funge da piattaforma neutrale per lo sviluppo collaborativo di progetti JavaScript open source, come Node.js, jQuery, Appium, Dojo, PEP, Mocha e webpack. Nella corrispondenza, che ha coinvolto diversi sviluppatori esterni con una storia discutibile nello sviluppo di software open source, sono stati fatti tentativi per convincere i dirigenti della necessità di aggiornare uno dei popolari progetti JavaScript gestiti dall'OpenJS Foundation.
Come motivazione per l'aggiornamento è stata indicata la necessità di aggiungere "protezione contro tutte le vulnerabilità critiche". Tuttavia, non sono stati forniti dettagli sulla natura delle vulnerabilità. Per implementare le modifiche, il sospetto sviluppatore ha proposto di essere incluso tra i responsabili del progetto, nel quale in precedenza aveva avuto solo una piccola partecipazione. Inoltre, sono stati identificati scenari sospetti simili di imposizione del proprio codice in altri due progetti JavaScript popolari, non correlati all'organizzazione OpenJS. Si ipotizza che tali casi non siano isolati e che i curatori dei progetti open source non debbano abbassare la guardia quando si tratta di accettare codice e approvare nuovi sviluppatori.
Tra i segnali che possono indicare attività dannosa, si menziona l'approccio benevolo, ma al contempo aggressivo e insistente, di partecipanti poco noti nella comunità verso i manutentori o i leader dei progetti, con l'idea di promuovere il proprio codice o di ottenere lo status di manutentore. Si dovrebbe anche prestare attenzione alla creazione di un gruppo di supporto attorno alle idee promosse, formato da personalità inventate, che non hanno mai partecipato allo sviluppo o che si sono recentemente unite alla comunità.
Quando si ricevono modifiche, bisogna considerarle come segnali di potenziali attività dannose, come tentativi di includere dati binari nelle richieste di fusione (ad esempio, nel caso di xz, il backdoor è stato trasmesso in archivi per testare il decompattatore) o codice confuso o difficile da comprendere. È importante prestare attenzione ai tentativi di apportare modifiche che riducano leggermente la sicurezza, inviati per valutare la reazione della comunità e verificare la presenza di persone che monitorano le modifiche (ad esempio, in xz la funzione Safe_fprintf è stata sostituita da fprintf). Cambiamenti atipici nei metodi di compilazione, costruzione e distribuzione del progetto, l'uso di artefatti esterni e la creazione di un senso di urgenza nell'accettare modifiche devono anche suscitare sospetti.
Fonte: opennet.ru
