No conjunto de ferramentas iVentoy, utilizado para inicializar e instalar sistemas operacionais arbitrários pela rede, foi identificada atividade suspeita. Durante a inicialização pela rede do sistema operacional Windows, a ferramenta inseria um driver binário httpdisk.sys no sistema e implantava seu certificado autoassinado no repositório de certificados raiz do sistema, que era usado para assinar digitalmente o driver. 31 de 70 pacotes antivírus que verificaram o arquivo httpdisk.sys emitiram um alerta sobre a presença de malware.
Essa atividade foi interpretada como uma tentativa potencial de promover um backdoor, levantando questões sobre a confiança no projeto aberto Ventoy. A situação era ainda mais preocupante, pois no ano passado, após um incidente de backdoor no projeto XZ, a comunidade já havia chamado a atenção para a inclusão de blobs suspeitos na árvore de código-fonte do Ventoy.
Os desenvolvedores do NixOS propuseram substituir o Ventoy no repositório nixpkgs pelo fork fnr1r (o glim também pode ser considerado como alternativa). Os projetos Ventoy e iVentoy são desenvolvidos pelo mesmo autor e têm objetivos semelhantes. A diferença é que o Ventoy é totalmente aberto e focado na inicialização de sistemas operacionais a partir de dispositivos USB, enquanto o iVentoy é apenas parcialmente aberto e destina-se à inicialização pela rede utilizando a tecnologia PXE.
O autor dos projetos Ventoy e iVentoy se juntou à discussão sobre o problema e explicou que o código do driver httpdisk.sys é aberto, e que o próprio driver é destinado à montagem de imagens de disco no Windows pela rede via protocolo HTTP, que é utilizado no iVentoy para obter dados de instalação do Windows. servidor A injeção de drivers e scripts no sistema após a inicialização é um comportamento documentado.
O próprio certificado com o qual este driver foi assinado foi adicionado ao armazenamento de certificados raiz para permitir a carga do driver sem passar pela verificação de assinatura digital do sistema Windows. O certificado foi injetado apenas em um ambiente WinPE (Windows Preinstallation Environment) de uso único, criado na memória. Nenhuma alteração foi feita nas instalações permanentes do Windows no disco. Foi afirmado que na próxima versão do iVentoy, a injeção de seu próprio certificado será interrompida, pois a carga do driver será feita usando o WinPE em modo de teste.
Quanto ao fornecimento de blobs (1, 2, 3) no Ventoy, o desenvolvedor informou que esses arquivos binários foram obtidos diretamente de outros projetos de código aberto e que o Ventoy os utiliza sem modificações. Os arquivos executáveis prontos são utilizados durante a configuração dos sistemas inicializáveis. Como alternativa, sugere-se não utilizar compilações prontas, mas montá-las para os lançamentos do Ventoy de forma independente, com o auxílio do GitHub CI.
Fonte: opennet.ru
