Os desenvolvedores do cliente de mensagens instantâneas Pidgin, que suporta redes como Jabber/XMPP, Bonjour, Gadu-Gadu, IRC, Novell GroupWise, Lotus Sametime e Zephyr, anunciaram a descoberta de código malicioso no plugin ss-otr (ScreenShareOTR), presente no diretório de plugins desenvolvido pela comunidade. O plugin foi colocado no diretório em 6 de julho, distribuído apenas em formato binário, e adicionava ao Pidgin a capacidade de compartilhar a tela, utilizando o protocolo OTR (Off-the-Record). Em 16 de agosto, pesquisadores de segurança identificaram atividades maliciosas no ss-otr, que se manifestaram em um keylogger sendo ativado e enviando capturas de tela para servidores externos.
Uma análise de mudanças maliciosas realizada pela empresa ESET mostrou a presença de código nas bibliotecas pidgin-screenshare e libotr para baixar e executar scripts e arquivos executáveis de servidor atacantes (jabberplugins.net). Para usuários do Windows, o servidor baixou e instalou o malware padrão DarkGate, que suporta módulos para a realização de uma ampla gama de ações maliciosas, incluindo mineração, gravação da atividade do teclado, organização de acesso remoto, roubo de dados pessoais, chaves e senhas de aplicativos populares. As compilações para Linux também tinham funcionalidade para carregar e executar código de terceiros (o que exatamente foi baixado nos sistemas Linux ainda não está claro).
Para reduzir o risco de incidentes semelhantes no futuro, os desenvolvedores do Pidgin pretendem incluir no diretório apenas plugins cujo código esteja disponível sob licenças abertas aprovadas pela OSI. Também planejam referenciar apenas plugins de terceiros que tenham passado por uma verificação de segurança.
Fonte: opennet.ru
