En rotcertifikatinsättning har upptäckts i iVentoy vid start av Windows

I verktyget iVentoy, som används för att ladda och installera valfria operativsystem via nätverket, har misstänksam aktivitet upptäckts. Vid nedladdning av Windows-operativsystemet genomförde verktyget en injektion av den binära drivrutinen httpdisk.sys och installerade sitt självsignerade certifikat i systemets lagring av rotcertifikat, vilket används för att signera drivrutinen med en digital signatur. 31 av 70 antiviruspaket som kontrollerade filen httpdisk.sys gav en varning om förekomst av skadlig programvara.

Liknande aktivitet togs emot som ett potentiellt försök att främja en bakdörr och väckte frågor om förtroendet för det öppna projektet Ventoy. Situationer förvärrades av att gemenskapen redan förra året uppmärksammade leveransen av misstänkta blobar i källkodsträdet för Ventoy efter incidenten med bakdörren i projektet XZ.

Utvecklarna av NixOS föreslog att ersätta Ventoy i lagerförrådet nixpkgs med forken fnr1r (som alternativ kan glim också övervägas). Projekten Ventoy och iVentoy utvecklas av samma författare och har liknande syften. Skillnaderna är att Ventoy är helt öppet och syftar till att ladda operativsystem från USB-enheter, medan iVentoy är endast delvis öppet och avsett för nätverksladdning med hjälp av PXE-teknik.

Författaren av projekten Ventoy och iVentoy deltog i diskussionen om problemet och förklarade att koden för drivrutinen httpdisk.sys är öppen, och att själva drivrutinen är avsedd för att montera disksbilder i Windows över nätverket ovanför HTTP-protokollet, vilket används i iVentoy för att hämta installationsdata för Windows. servern Injektion av drivrutiner och skript i systemet efter start är ett dokumenterat beteende.

Det egna certifikatet, som användes för att signera denna drivrutin, har lagts till i lagret för rotcertifikat för att möjliggöra laddning av drivrutinen utan att den verifiering av programvara som är baserad på digitala signaturer som används av Windows påverkas. Certifikatet användes endast i en engångs WinPE-miljö (Windows Preinstallation Environment) som skapades i RAM-minnet. Det gjordes inga ändringar i stationära installationer av Windows som lagrades på disken. Det har rapporterats att i nästa version av iVentoy kommer användningen av sitt eget certifikat att upphöra, eftersom laddning av drivrutinen kommer att göras med WinPE i testläge.

När det gäller leveransen av blobbar (1, 2, 3) till Ventoy har utvecklaren meddelat att dessa binärfiler har erhållits direkt från andra öppna projekt och att Ventoy använder dem utan några ändringar. De färdiga körbara filerna används i konfigurationsprocessen av startbara system. Som ett alternativ föreslås att man inte använder de färdiga paketen, utan istället bygger dem för Ventoys releaser själv med hjälp av GitHub CI.

Källa: opennet.ru