OpenSSF und OpenJS erklären, dass weitere Softwareprojekte zum Zweck der Sabotage ins Visier genommen worden sein könnten. OpenSSF und OpenJS bestätigen, dass der Versuch, eine geheime Hintertür in XZ Utils einzuschleusen – einem kaum bekannten Programm, das in Linux-Betriebssystemen weltweit integriert ist – kein Einzelfall gewesen sein könnte. OpenSSF und OpenJS rufen alle Open-Source-Projektverantwortlichen zur Wachsamkeit gegenüber ähnlichen Übernahmeversuchen auf.
Nach der jüngsten Warnung zu XZ Utils haben die Verantwortlichen eines anderen Open-Source-Projekts offengelegt, dass sie möglicherweise ähnlichen Social-Engineering-Angriffen ausgesetzt waren. Weitere Software könnte zum Zweck der Sabotage ins Visier genommen worden sein. Die Open Source Security Foundation (OpenSSF) und die OpenJS Foundation, die mehrere Open-Source-Softwareprojekte (OSS) auf JavaScript-Basis unterstützen, haben gewarnt, dass der Social-Engineering-Versuch gegen die Datenkomprimierungsbibliothek XZ Utils im April 2024 kein Einzelfall gewesen sein könnte.
Sie erklärten, dass mindestens drei verschiedene JavaScript-Projekte von unbekannten Personen ins Visier genommen wurden, die verdächtige Änderungen forderten oder darum baten, als Verantwortliche für die gezielte Software benannt zu werden. Die Programmiersprache JavaScript ist das Herzstück der meisten modernen Webanwendungen und wird weltweit häufig eingesetzt. Omkhar Arasaratnam, Generaldirektor der Open Source Security Foundation, erklärte, dass allein eine der gezielten Softwareprojekte Dutzende Millionen Downloads pro Woche verzeichnete.
Auch lesen: SecureBrain schließt sich Hitachi Systems für verbesserte Cybersicherheit an Auch lesen: China vom Vereinigten Königreich und den USA mehrerer „böswilliger" Cyberangriffe beschuldigt Was zu beachten ist: OpenSSF und OpenJS warnen nun alle Open-Source-Projektverantwortlichen, auf ähnliche Übernahmeversuche zu achten, nachdem der OpenJS Cross-Project Council mehrere verdächtige E-Mails erhalten hatte, in denen die Aktualisierung eines seiner Projekte zur Behebung kritischer Schwachstellen gefordert wurde, ohne Details zu nennen.
OSS-Projektmitglieder sollten sich vor freundlicher, aber aggressiver und beharrlicher Verfolgung des Verantwortungsstatus durch neue oder relativ wenig dokumentierte Community-Mitglieder, neuen Anfragen und der Zustimmung durch öffentlich dokumentierte andere Community-Mitglieder hüten, bei denen es sich um gefälschte Konten handeln könnte. Arasaratnam empfiehlt, auf das eigene Bauchgefühl bei Interaktionen zu achten. Interaktionen, die Zweifel, ein Gefühl der Unzulänglichkeit oder des Nicht-Genugtuns für das Projekt hervorrufen, könnten Teil eines Social-Engineering-Angriffs sein.