{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Pr\u00f3by przej\u0119cia kontroli nad otwartymi projektami, podobne do przypadku pakietu xz.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Organizacja OpenSSF (Open Source Security Foundation), utworzona pod auspicjami Linux Foundation w celu zwi\u0119kszenia bezpiecze\u0144stwa otwartego oprogramowania, ostrzeg\u0142a spo\u0142eczno\u015b\u0107 o ujawnieniu aktywno\u015bci zwi\u0105zanej z pr\u00f3bami przej\u0119cia kontroli nad popularnymi otwartymi projektami, przypominaj\u0105cej styl dzia\u0142ania przest\u0119pc\u00f3w w trakcie przygotowa\u0144 do wprowadzenia tylnego wej\u015bcia w projekt xz. Podobnie jak w ataku na xz, podejrzane osoby, kt\u00f3re wcze\u015bniej nie by\u0142y g\u0142\u0119boko zaanga\u017cowane w rozw\u00f3j, pr\u00f3bowa\u0142y u\u017cy\u0107 metod in\u017cynierii spo\u0142ecznej, aby osi\u0105gn\u0105\u0107 swoje cele. <\/p>\n
Napastnicy nawi\u0105zali kontakt z cz\u0142onkami zarz\u0105du organizacji OpenJS Foundation, kt\u00f3ra pe\u0142ni rol\u0119 neutralnej platformy dla wsp\u00f3lnego rozwoju otwartych projekt\u00f3w JavaScript, takich jak Node.js, jQuery, Appium, Dojo, PEP, Mocha i webpack. W korespondencji, w kt\u00f3rej uczestniczy\u0142o kilku zewn\u0119trznych programist\u00f3w z podejrzan\u0105 histori\u0105 w zakresie rozwijania otwartego oprogramowania, podejmowane by\u0142y pr\u00f3by przekonania kierownictwa o konieczno\u015bci aktualizacji jednego z popularnych projekt\u00f3w JavaScript, zarz\u0105dzanych przez OpenJS. <\/p>\n
Za przyczyn\u0119 aktualizacji wskazano konieczno\u015b\u0107 dodania \"ochrony przed wszelkimi krytycznymi lukami bezpiecze\u0144stwa\". Jednocze\u015bnie nie podano \u017cadnych szczeg\u00f3\u0142\u00f3w dotycz\u0105cych samej natury luk. Aby wprowadzi\u0107 zmiany, podejrzany deweloper zaproponowa\u0142, aby w\u0142\u0105czy\u0107 go w grono wsp\u00f3\u0142pracownik\u00f3w projektu, w kt\u00f3rego opracowanie wcze\u015bniej bra\u0142 jedynie niewielki udzia\u0142. Ponadto podobne podejrzane scenariusze narzucania swojego kodu zidentyfikowano w dw\u00f3ch innych popularnych projektach JavaScript, kt\u00f3re nie s\u0105 zwi\u0105zane z organizacj\u0105 OpenJS. Zak\u0142ada si\u0119, \u017ce przypadki te nie s\u0105 odosobnione, a osoby zarz\u0105dzaj\u0105ce otwartymi projektami powinny zachowa\u0107 czujno\u015b\u0107 przy przyjmowaniu kodu i zatwierdzaniu nowych deweloper\u00f3w. <\/p>\n
W\u015br\u00f3d oznak, kt\u00f3re mog\u0105 \u015bwiadczy\u0107 o z\u0142o\u015bliwej aktywno\u015bci, wymienia si\u0119 przyjazne, ale jednocze\u015bnie agresywne i natarczywe zachowanie ma\u0142o znanych uczestnik\u00f3w spo\u0142eczno\u015bci wobec opiekun\u00f3w lub lider\u00f3w projekt\u00f3w, kt\u00f3rzy promuj\u0105 sw\u00f3j kod lub oferuj\u0105 status opiekuna. Nale\u017cy r\u00f3wnie\u017c zwr\u00f3ci\u0107 uwag\u0119 na pojawienie si\u0119 grupy wsparcia wok\u00f3\u0142 promowanych idei, sk\u0142adaj\u0105cej si\u0119 z fikcyjnych postaci, kt\u00f3re wcze\u015bniej nie bra\u0142y udzia\u0142u w rozwoju lub niedawno do\u0142\u0105czy\u0142y do spo\u0142eczno\u015bci. <\/p>\n
Przy wprowadzaniu zmian nale\u017cy traktowa\u0107 jako oznaki potencjalnie szkodliwych dzia\u0142a\u0144 pr\u00f3by do\u0142\u0105czenia do wniosk\u00f3w o scalenie danych binarnych (na przyk\u0142ad w xz backdoor zosta\u0142 przekazany w archiwach do testowania dekompresora) lub zawi\u0142ego czy trudnego do zrozumienia kodu. Nale\u017cy zwr\u00f3ci\u0107 uwag\u0119 na pr\u00f3bne zamiany zmian, kt\u00f3re nieznacznie obni\u017caj\u0105 bezpiecze\u0144stwo, wysy\u0142ane w celu oceny reakcji spo\u0142eczno\u015bci i sprawdzenia obecno\u015bci os\u00f3b \u015bledz\u0105cych zmiany (na przyk\u0142ad w xz funkcja Safe_fprintf zosta\u0142a zmieniona na fprintf). Podejrzenia powinny r\u00f3wnie\u017c budzi\u0107 nietypowe zmiany w metodach kompilacji, budowania i wdra\u017cania projektu, zaanga\u017cowanie zewn\u0119trznych artefakt\u00f3w oraz wra\u017cenie pilnej potrzeby przyj\u0119cia zmian. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"