Grupos de código aberto encontram mais ataques deliberados a software

Grupos de código aberto encontram mais ataques deliberados a software é perfilado pela BTW Media porque evidências publicadas o vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

OpenSSF e OpenJS dizem que mais projetos de software podem ter sido alvo de sabotagem. OpenSSF e OpenJS afirmam que a tentativa de inserir um backdoor secreto no XZ Utils, um programa pouco conhecido que está integrado em sistemas operacionais Linux em todo o mundo, pode não ser um incidente isolado. OpenSSF e OpenJS estão conclamando todos os mantenedores de código aberto a ficarem alertas para tentativas semelhantes de tomada de controle. Na esteira do recente susto com o XZ Utils, mantenedores de outro projeto de código aberto vieram a público dizer que podem ter sofrido ataques de engenharia social semelhantes.

Mais software pode ter sido alvo de sabotagem A Open Source Security Foundation (OpenSSF) e a OpenJS Foundation, que apoiam vários projetos de software de código aberto baseados em JavaScript, alertaram que a tentativa de engenharia social contra a biblioteca de compressão de dados XZ Utils em abril de 2024 pode não ser um incidente isolado. Elas afirmaram que pelo menos três projetos JavaScript distintos foram alvo de pessoas não identificadas que exigiam modificações suspeitas ou solicitavam ser designadas como mantenedoras do software alvo.

A linguagem de programação JavaScript impulsiona a maioria das aplicações web modernas e é amplamente utilizada em todo o mundo. Omkhar Arasaratnam, gerente geral da Open Source Security Foundation, declarou que um dos softwares alvo registrou dezenas de milhões de downloads por semana.

Leia também: SecureBrain se junta à Hitachi Systems para reforçar a segurança cibernética Leia também: China acusada pelo Reino Unido e EUA de múltiplos ataques cibernéticos ‘maliciosos’ O que observar OpenSSF e OpenJS agora estão alertando todos os mantenedores de código aberto para ficarem atentos a tentativas semelhantes de tomada de controle, depois que o OpenJS Cross Project Council recebeu vários e-mails suspeitos solicitando que um de seus projetos fosse atualizado para corrigir vulnerabilidades críticas, sem fornecer detalhes específicos.

Os membros de projetos OSS devem estar atentos a tentativas amigáveis, porém agressivas e persistentes, de obter o status de mantenedor por parte de novos membros ou membros da comunidade com documentação pública relativamente recente, pedidos inesperados de promoção, e endossos de outros membros da comunidade com documentação pública que podem ser contas sock puppet. Arasaratnam diz para prestar atenção em como as interações fazem você se sentir. Interações que criam insegurança, sentimentos de inadequação e a sensação de não estar fazendo o suficiente pelo projeto podem fazer parte de um ataque de engenharia social.