A organização OpenSSF (Open Source Security Foundation), criada sob a égide da Linux Foundation para aumentar a segurança do software open source, alertou a comunidade sobre atividades relacionadas a tentativas de controle sobre projetos abertos populares, que lembram o estilo de ação de criminosos no processo de preparação para a inserção de um backdoor no projeto xz. De forma análoga ao ataque ao xz, indivíduos duvidosos, anteriormente pouco envolvidos no desenvolvimento, tentaram usar métodos de engenharia social para alcançar seus objetivos.
Os atacantes iniciaram uma correspondência com membros do conselho de administração da OpenJS Foundation, que atua como uma plataforma neutra para o desenvolvimento colaborativo de projetos open source em JavaScript, como Node.js, jQuery, Appium, Dojo, PEP, Mocha e webpack. Na correspondência, que envolveu vários desenvolvedores externos com um histórico duvidoso em desenvolvimento de software open source, houve tentativas de convencer a liderança sobre a necessidade de atualizar um dos projetos JavaScript populares supervisionados pela OpenJS.
Como razão para a atualização, foi mencionada a necessidade de adicionar "proteção contra quaisquer vulnerabilidades críticas". No entanto, não foram fornecidos detalhes sobre a natureza das vulnerabilidades. Para implementar as mudanças, o desenvolvedor suspeito sugeriu ser incluído entre os colaboradores do projeto, no qual ele anteriormente tinha apenas uma pequena participação. Além disso, cenários suspeitos semelhantes de imposição de seu código foram identificados em mais dois projetos JavaScript populares, não relacionados à OpenJS. Supõe-se que estes casos não sejam isolados e que os colaboradores de projetos abertos devam permanecer vigilantes ao aceitar código e aprovar novos desenvolvedores.
Entre os sinais que podem indicar atividade maliciosa, menciona-se a abordagem amistosa, mas ao mesmo tempo agressiva e insistente, de participantes pouco conhecidos da comunidade em relação aos mantenedores ou líderes de projetos, visando promover seu próprio código ou oferecer o status de mantenedor. Também deve-se prestar atenção ao surgimento de um grupo de apoio em torno das ideias promovidas, formado por identidades fictícias que não haviam participado antes do desenvolvimento ou que se juntaram recentemente à comunidade.
Ao aceitar alterações, devem ser consideradas como sinais de potenciais ações maliciosas tentativas de inclusão de dados binários em pull requests (por exemplo, no caso do xz, um backdoor foi introduzido em arquivos para testar o descompactador) ou código confuso ou difícil de entender. Atenção deve ser dada a tentativas iniciais de fazer alterações que reduzam levemente a segurança, enviadas para avaliar a reação da comunidade e verificar a presença de pessoas monitorando as mudanças (por exemplo, no xz, a função Safe_fprintf foi substituída por fprintf). Também devem levantar suspeitas alterações atípicas nos métodos de compilação, construção e implantação do projeto, uso de artefatos externos e a criação de uma sensação de urgência para a aceitação das mudanças.
Fonte: opennet.ru
