tux-hacker
Hændelsen i XZ vil uden tvivl efterlade et spor , der vil blive husket i mange år, og som jeg nævnte dengang i en af de artikler, hvor vi delte opfølgningen på hændelsen, " er Jia Tans arbejde et af de bedste eksempler på anvendt social engineering " og vil danne grundlag for mange andre forsøg og sager, der vil komme frem i lyset i fremtiden.
Dette er noget, som udviklere, projekter og fonde er meget klare over lige nu , og at der på trods af den store indsats og de ændringer, de implementerer, er mange pakker og projekter, der mangler personale, og de vedligeholdere, de har, kan havne i noget, der ligner det, der skete med XZ.
Disse tilfælde er allerede begyndt at forekomme, og OpenSSF (Open Source Security Foundation, en enhed oprettet under Linux Foundation for at forbedre sikkerheden ved open source-software) er allerede begyndt at bemærke denne type aktivitet, da den for nylig udsendte en advarsel til fællesskabet om bekymrende aktiviteter relateret til forsøg på at tage kontrol over populære open source-projekter.
I en hændelse svarende til angrebet på xz blev det opdaget, at hidtil ukendte personer i open source-udviklingsmiljøet forsøgte at manipulere og kontrollere open source-softwareprojekter . Disse personer brugte social engineering-teknikker til at kommunikere med medlemmer af bestyrelsen for OpenJS Foundation, en neutral platform for JavaScript-udviklingsprojekter.
Disse personer omfattede tredjepartsudviklere med tvivlsomme resultater inden for open source-udvikling. I deres beskeder forsøgte de at overbevise OpenJS-ledelsen om det presserende behov for at opdatere et af de populære JavaScript-projekter. De hævdede, at opdateringen var nødvendig for at tilføje beskyttelse mod kritiske sårbarheder, selvom de ikke gav specifikke detaljer om disse sårbarheder.
For at implementere de foreslåede ændringer tilbød den mistænkte udvikler at blive inkluderet blandt projektets vedligeholdere, på trods af at han indtil da havde haft en begrænset rolle i udviklingen. Derudover blev lignende tilfælde af mistænkelige kodeforsøg opdaget i to andre populære JavaScript-projekter, der ikke er forbundet med OpenJS.
Derfor har OpenSSF (Open Source Security Foundation) og OpenJS (OpenJS Foundation) udsendt en advarsel til alle udviklere og vedligeholdere af open source-projekter om at være opmærksomme på følgende mistænkelige mønstre, der kan indikere et forsøg på at tage kontrol over projektet.
Hvordan beskytter du dit open source-projekt?
OpenSSF nævner, at på grund af den kollaborative karakter af open source-projekter, gør dette dem tilbøjelige til en række sårbarheder, som angribere kan drage fordel af, hvorfor det deler en liste over de mest almindelige sårbarheder, som angribere udnytter til at anvende sociale ingeniørarbejde.
Mistænkelige mønstre i forsøg:
- Forældede afhængigheder: En af de mest almindelige sårbarheder er brugen af forældede afhængigheder.
- Venlig, men aggressiv og vedvarende adfærd: Et relativt ukendt fællesskabsmedlem søger at gå efter vedligeholderen eller den enhed, der er vært for den (fond eller virksomhed).
- Anmodning om at blive forhøjet i rang: Nye eller ukendte personer ansøger om forfremmelse uden at have en væsentlig historie om bidrag til projektet.
- Godkendelse fra andre ukendte fællesskabsmedlemmer: Angribere kan bruge falske identiteter til at understøtte deres anmodninger og skabe en falsk følelse af tillid.
- Pull-anmodninger: Ondsindede filer kan være skjult i binære filer eller klatter, hvilket gør dem svære at opdage.
- Med vilje sløret eller svær at forstå kildekode: Målet er at gøre kodegennemgang vanskelig og skjule potentielle sårbarheder.
- Gradvis eskalering af sikkerhedsproblemer: Angriberen kan starte med at introducere mindre sårbarheder og derefter eskalere til mere alvorlige problemer.
- Afvigelse fra typiske projektkompilerings-, konstruktions- og implementeringspraksis: Disse afvigelser kan gøre det muligt at indsætte ondsindet kode i binære filer.
Falsk følelse af haster: Angriberen kan skabe et hastende miljø for at presse vedligeholderen til at udføre en overfladisk gennemgang af koden.
Disse social engineering-angreb søger at drage fordel af den følelse af pligt, som vedligeholdere har over for deres projekter og fællesskaber til at manipulere dem, da de ved at skabe pres for at indføre ændringer, løse sårbarheder eller give større tillid til et medlem i en meget insisterende den eller de ansvarlige ender med at give efter, før de verificerer eller udfører de relevante tests.
Hvis du er jegInteresseret i at lære mere om det, kan du tjekke detaljerne i følgende link.