Nel toolkit iVentoy, utilizzato per il caricamento e l'installazione di sistemi operativi tramite rete, è stata rilevata un'attività sospetta. Durante il caricamento di Windows via rete, il toolkit ha effettuato la sostituzione nel sistema del driver binario httpdisk.sys e l'installazione nel deposito di sistema dei certificati radice del proprio certificato autofirmato, utilizzato per attestare la firma digitale del driver. 31 su 70 pacchetti antivirus che hanno analizzato il file httpdisk.sys hanno emesso avvisi riguardo la presenza di malware.
Tale attività è stata percepita come un potenziale tentativo di inserire un backdoor, suscitando dubbi sulla fiducia nel progetto open source Ventoy. La situazione era ulteriormente complicata dal fatto che l'anno scorso, dopo l'incidente con il backdoor nel progetto XZ, la comunità aveva già prestato attenzione alla fornitura di blob sospetti nell'albero dei codici sorgente di Ventoy.
Gli sviluppatori di NixOS hanno proposto di sostituire Ventoy nel repository nixpkgs con il fork fnr1r (il progetto glim può essere considerato come un'alternativa). I progetti Ventoy e iVentoy sono sviluppati dallo stesso autore e hanno scopi simili. La differenza è che Ventoy è completamente aperto e mira a caricare i sistemi operativi da supporti USB, mentre iVentoy è solo parzialmente aperto e destinato al caricamento tramite rete utilizzando la tecnologia PXE.
Il creatore dei progetti Ventoy e iVentoy ha partecipato al dibattito sulla questione, spiegando che il codice del driver httpdisk.sys è open source, e il driver stesso serve a montare immagini disco di Windows tramite rete sopra il protocollo HTTP, utilizzato in iVentoy per ottenere i dati da server installazione di Windows. La sostituzione dei driver e degli script nel sistema dopo il caricamento è un comportamento documentato.
Il certificato utilizzato per firmare questo driver è stato aggiunto al deposito di certificati radice per consentire il caricamento del driver bypassando il sistema di verifica delle applicazioni basato sulla firma digitale in Windows. Il certificato è stato aggiunto solo in un ambiente WinPE (Windows Preinstallation Environment) temporaneo, creato in memoria. Non sono state apportate modifiche alle installazioni di Windows permanenti su disco. È stato dichiarato che nella prossima versione di iVentoy sarà interrotta la sostituzione del proprio certificato, poiché per assicurare il caricamento del driver sarà utilizzato l'avvio di WinPE in modalità di prova.
Riguardo alla fornitura di blob (1, 2, 3) in Ventoy, lo sviluppatore ha dichiarato che questi file binari provengono direttamente da altri progetti open source e Ventoy li utilizza senza alcuna modifica. I file eseguibili pronti sono utilizzati durante la configurazione dei sistemi avviabili. Come alternativa, si suggerisce di non utilizzare le versioni già pronte, ma di compilarle per le versioni di Ventoy autonomamente tramite GitHub CI.
Fonte: opennet.ru
