De ontwikkelaars van de Pidgin-berichtenclient, die werkt met netwerken zoals Jabber/XMPP, Bonjour, Gadu-Gadu, IRC, Novell GroupWise, Lotus Sametime en Zephyr, hebben malware ontdekt in de plugin ss-otr (ScreenShareOTR), die aanwezig was in de door de gemeenschap ontwikkelde plugincatalogus. De plugin werd op 6 juli geplaatst, was alleen in binaire vorm beschikbaar en voegde de mogelijkheid toe om het scherm te delen in Pidgin, gebruikmakend van het OTR-protocol (Off-the-Record). Op 16 augustus identificeerden beveiligingsonderzoekers malware-activiteit in ss-otr, die zich manifesteerde in het uitvoeren van een keylogger en het verzenden van screenshots naar externe servers.
Een analyse van de kwaadwillige wijzigingen uitgevoerd door ESET toonde aan dat in de bibliotheken pidgin-screenshare en libotr code aanwezig was voor het laden en uitvoeren van scripts en uitvoerbare bestanden van de server de aanvallers (jabberplugins.net). Voor Windows-gebruikers werd malware genaamd DarkGate van de server gedownload en geĆÆnstalleerd, dat modules ondersteunt voor het uitvoeren van een breed scala aan kwaadaardige handelingen, waaronder mining, toetsaanslagregistratie, organiseren van externe toegang, diefstal van persoonlijke gegevens, sleutels en wachtwoorden uit populaire applicaties. In de Linux-bundels was ook functionaliteit aanwezig voor het downloaden en uitvoeren van externe code (wat precies op systemen met Linux werd gedownload, is nog niet duidelijk).
Om het risico van soortgelijke incidenten in de toekomst te verminderen, zijn de ontwikkelaars van Pidgin van plan om alleen plugins op te nemen in de catalogus waarvan de code beschikbaar is onder open licenties die zijn goedgekeurd door de OSI. Ook is het plan om alleen naar externe plugins te verwijzen die een veiligheidscontrole hebben ondergaan.
Bron: opennet.ru
