xz 패키지의 경우와 유사하게 오픈 소스 프로젝트에 대한 제어권을 얻으려는 시도

오픈 소스 소프트웨어의 보안을 개선하기 위해 Linux Foundation의 후원으로 설립된 OpenSSF(오픈 소스 보안 재단)는 그 스타일을 연상시키는 인기 있는 오픈 소스 프로젝트에 대한 통제권을 얻으려는 시도와 관련된 활동 식별에 대해 커뮤니티에 경고했습니다. xz 프로젝트에 백도어 설치를 준비하는 과정에서 공격자가 취한 행동에 대해 알아봅니다. xz에 대한 공격과 유사하게, 이전에 개발에 깊이 관여하지 않은 의심스러운 개인은 목표를 달성하기 위해 사회 공학 방법을 사용하려고 시도했습니다.

공격자는 Node.js, jQuery, Appium, Dojo, PEP, Mocha 및 webpack과 같은 개방형 JavaScript 프로젝트의 공동 개발을 위한 중립 플랫폼 역할을 하는 OpenJS Foundation 운영 위원회 구성원과 서신을 교환했습니다. 의심스러운 오픈 소스 개발 이력을 가진 여러 타사 개발자가 포함된 서신은 OpenJS 조직에서 선별한 인기 JavaScript 프로젝트 중 하나를 업데이트해야 한다는 점을 경영진에게 설득하려고 시도했습니다.

업데이트 이유는 “중요한 취약점에 대한 보호”를 추가해야 하기 때문이라고 밝혔습니다. 그러나 취약점의 본질에 대한 세부 정보는 제공되지 않았습니다. 변경 사항을 구현하기 위해 의심스러운 개발자는 이전에 그가 작은 부분만 맡았던 개발에서 그를 프로젝트의 유지 관리 담당자에 포함시키겠다고 제안했습니다. 또한 OpenJS 조직과 관련되지 않은 두 개의 인기 있는 JavaScript 프로젝트에서 코드를 적용하는 유사한 의심스러운 시나리오가 식별되었습니다. 사례가 분리되지 않고 오픈 소스 프로젝트의 유지관리자는 코드를 수락하고 새로운 개발자를 승인할 때 경계심을 유지해야 한다고 가정합니다.

악의적인 활동을 나타낼 수 있는 징후에는 선의를 가지고 있지만 동시에 공격적이고 끈질긴, 잘 알려지지 않은 커뮤니티 구성원이 코드를 홍보하거나 관리자 자격을 부여하려는 아이디어로 관리자나 프로젝트 관리자에게 접근하려는 노력이 포함됩니다. 또한 이전에 개발에 참여하지 않았거나 최근 커뮤니티에 합류한 가상의 개인으로 구성된 지원 그룹이 홍보되는 아이디어를 중심으로 출현하는 데에도 주의를 기울여야 합니다.

변경 사항을 수락할 때 병합 요청에 바이너리 데이터를 포함시키려는 시도(예: xz에서는 압축 풀기 테스트를 위해 백도어가 아카이브에 제출됨) 또는 혼란스럽거나 이해하기 어려운 코드를 포함하려는 잠재적인 악의적 활동 시도의 징후로 고려해야 합니다. 커뮤니티 반응을 측정하고 변경 사항을 추적하는 사람들이 있는지 확인하기 위해 제출된 사소한 보안 손상 변경 사항에 대한 시험 시도를 고려해야 합니다(예: xz가 Safe_fprintf 함수를 fprintf로 대체함). 또한 프로젝트 컴파일, 조립 및 배포 방법의 비정형 변경, 타사 아티팩트 사용 및 변경 사항을 긴급하게 채택해야 한다는 느낌이 높아지는 경우에도 의심을 불러일으킬 수 있습니다.

출처 : opennet.ru