Debian-ontwikkelaar en onderzoeker op het gebied van informatiebeveiliging Andres Freund meldt de ontdekking van een vermoedelijke backdoor in de broncode van xz versies 5.6.0 en 5.6.1.
De backdoor is een regel in een van de m4-scripts, die obfusceerde malware aan het eind van het configure-script toevoegt. Deze code past vervolgens een van de gegenereerde Makefile van het project aan, wat uiteindelijk leidt tot de opname van malware (verkleed als een testarchief bad-3-corrupt_lzma2.xz) in de binaire liblzma.
Het opmerkelijke aan dit incident is dat de malware zich van in de verspreide tar-archieven met broncode bevindt en niet in de git-repository van het project.
Er wordt gemeld dat de persoon namens wie de malware aan de repository van het project is toegevoegd, ofwel direct betrokken is bij het voorval, of het slachtoffer is geworden van een ernstige compromittering van zijn persoonlijke accounts (maar de onderzoeker neigt naar de eerste optie, aangezien deze persoon persoonlijk betrokken was bij verschillende discussies over de schadelijke wijzigingen).
In de link merkt de onderzoeker op dat de uiteindelijke bedoeling van de backdoor blijkbaar is om code in het sshd-proces in te injecteren en de controlecode van RSA-sleutels te manipuleren, en biedt verschillende manieren om indirect te controleren of de malware momenteel op uw systeem wordt uitgevoerd.
Volgens een nieuwsartikel van het openSUSE-project, vanwege de complexiteit van de backdoor-code en het vermeende mechanisme van exploitatie is het moeilijk vast te stellen of hij ooit 'gewerkt' heeft op deze machine, en beveelt een volledige herinstallatie van de OS aan met rotatie van alle relevante sleutels op alle machines die ooit besmette versies van xz hebben gehad.
Bron: linux.org.ru
