Инцидент с XZ Utils: как дошли до жизни такой

Часть 1. История с бэкдором в XZ — первоначальный анализ
Часть 2. Инцидент с XZ Utils: как дошли до жизни такой (социальная инженерия в инциденте с проектом XZ)
Часть 3. Бэкдор в XZ: анализ перехватчика

Передовые APT-группировки проводят довольно интересные кампании социальной инженерии, чтобы добраться до хорошо защищенных целей. Например, в инцидентах на Ближнем Востоке тщательно продуманные ответы прицельно выбранным жертвам на профильных форумах и последующие обсуждения ПО для моделирования подземных железнодорожных систем на сторонних ресурсах, позволили внедрить импланты Green Lambert. В инциденте с XZ Utils тоже чувствуются многолетняя подготовка и большое терпение со стороны злоумышленников. Атака была заранее спланирована, хотя и несколько неуклюже реализована.

В ходе этой недавно раскрытой кампании в XZ Utils, проект с открытым кодом с более чем десятилетней историей, постепенно вводили удаленных пользователей и определенные посылы в коммуникации с мейнтейнером Лассе Коллином (Lasse Collin), чтобы в конечном итоге внедрить вредоносный код. Сам бэкдор был добавлен в феврале и марте 2024 года, в основном пользователем по имени Цзя Чон Тан (Jia Cheong Tan, скорее всего, это вымышленное имя). Конечной целью было скрытное развертывание бэкдора, доступного исключительно атакующим, в sshd путем вмешательства в процесс сборки XZ Utils и последующего внедрения вредоносного кода, содержащего бэкдор, в популярные дистрибутивы Linux в рамках масштабной атаки на цепочки поставок.

Хотя такой целенаправленный и интерактивный подход к социальной инженерии в целом не нов, конкретный его вариант можно назвать неординарным. Особого внимания также заслуживает то обстоятельство, что вредоносный код добавлялся в процесс сборки ПО буквально у всех на виду. Из более ранних примеров подобных крупномасштабных атак на цепочку поставок с вмешательством в процесс сборки взлом XZ Utils напоминает разве что о компрометацию группой CozyDuke/DarkHalo/APT29/NOBELIUM инфраструктуры компании Solarwinds, где закрепившийся в системе имплант SUNSPOT отслеживал сборку ПО Solarwinds и внедрял вредоносный код при каждом ее выполнении. Только в нашем случае вредоносные изменения вносились в исходный код проекта вручную.

Ключевым отличием инцидента с Solarwinds от предыдущих атак на цепочку поставок был скрытый и продолжительный доступ злоумышленника к исходному коду и среде разработки. В инциденте с XZ Utils такой длительный доступ был получен посредством социальной инженерии и сохранялся благодаря действиям вымышленных личностей, происходившим у всех на виду.

Одно из лучших общедоступных хронологических описаний инцидента с XZ Utils в разрезе социальной инженерии опубликовал Расс Кокс (Russ Cox), исследователь Google. Мы настоятельно рекомендуем ознакомиться с его статьей, о которой сам Кокс пишет: «В этой публикации я проследил подробную хронологию этой атаки, которая берет начало в конце 2021 года, с точки зрения социальной инженерии».

Сингапурец, индиец и немец заходят в билд…

Летом 2022 года три личности — Цзя Тан / Цзя Чон Тан, Деннис Энс (Dennis Ens) и Джигар Кумар (Jigar Kumar) — оказывали давление на создателя и мейнтейнера XZ Utils Лассе Коллина, чтобы заставить его передать под их контроль свой проект. У этих пользователей есть аккаунты GitHub, IRC и электронной почты с похожими схемами именования, они вели переписку по электронной почте в рассылках для разработчиков проекта XZ Utils и последующих мейнтейнеров и писали программный код. Целью этих личностей было предоставить полный доступ к исходникам XZ Utils пользователю по имени Цзя Тан и незаметно внедрить в этот инструментарий вредоносный код. Личности даже переписывались друг с другом в почтовых тредах о том, что нужно заменить Лассе Колина как мейнтейнера XZ Utils на другого человека.

Обратите внимание, что все трое являются представителями максимально удаленных друг от друга регионов: житель Сингапура или Малайзии (возможно, носитель диалекта хок-кьень), европеец и индиец. Вероятно, такой выбор национальностей нужен, чтобы действия этих личностей не выглядели скоординированными. Тем не менее, в их переписке встречаются схожие опечатки и грамматические ошибки. На то, что Цзя Тан — фиктивная персона, также может косвенно указывать следующее обстоятельство: единственные общедоступные данные о его местоположении — это сингапурский выходной узел VPN, который эта личность могла использовать 29 марта для доступа к IRC-чату XZ Utils на платформе Libera.Chat. Этот выходной узел выглядит как наиболее очевидный выбор для создания вымышленной личности.

Наши данные pDNS подтверждают, что этот IP-адрес соответствует выходному узлу VPN-сервиса Witopia. Хотя мы скорее ожидали бы, что имя пользователя Цзя Тана будет содержать число и выглядеть как jiat75 или jiatan018, вполне можно предположить, что аккаунт на скриншоте выше использовался 29 марта 2024 года злоумышленником JiaT75.

Еще один пользователь, Ханс Янсен (Hans Jansen), предложил в июне 2023 года код для оптимизации производительности XZ Utils. Код был принят Коллином, однако позже им воспользовался бэкдор. Цзя Тан с радостью принял предлагаемые дополнения с использованием механизма IFUNC: Thanks for the PR and the helpful links! Overall this seems like a nice improvement to our function picking strategy for CRC64. It will likely be useful when we implement CRC32 CLMUL too 🙂 («Спасибо за предложение и полезные ссылки! Выглядит как неплохое улучшение для нашей стратегии выбора функции для CRC64. Скорее всего, оно также пригодится при реализации CRC32 для CLMUL :)»).

Этот запрос на включение (pull request) является единственным случаем взаимодействия Янсена с собственно проектом XZ Utils. В отличие от двух других личностей, аккаунт Янсена не использовался для того, чтобы вынудить Коллина передать права мейнтейнера XZ Utils другому человеку. Вместо этого Ханс Янсен временно исчез из нашей истории, чтобы девять месяцев спустя предложить крупному поставщику Linux срочно внедрить код XZ Utils, уже содержащий бэкдор, в предлагаемый этим поставщиком дистрибутив. Новое появление этой личности было связано с сообщением ошибке в Debian от 24 марта 2024 года, которое стало для Янсена поводом поставить вопрос о срочном внедрении кода с бэкдором в дистрибутив Debian.

Личность Цзя Тан и ее активность

GitHub-аккаунт Цзя Чон Тана (JiaT75), который постепенно стал сомейнтейнером XZ Utils и внедрил код бэкдора, был создан 26 января 2021 года. JiaT75 занимался не только XZ Utils. С начала 2022 года он стал автором более 500 патчей для нескольких проектов на GitHub:

• oss-fuzz;
• cpp-docs;
• wasmtime;
• xz.

Эти безобидные исправления помогли создать репутацию JiaT75 как легитимного участника сообщества разработчиков ПО с открытым исходным кодом и потенциального сомейнтейнера проекта XZ Utils. Кроме того, его вклад в создание патчей способствовал установлению доверительных отношений с Лассе Коллином.

Впервые JiaT75 предложил свой код для проекта XZ Utils 29 октября 2021 года, отправив его на рассылку xz-devel. Суть обновления была в добавлении простого файла конфигурации редактора. В следующие два года после этого безобидного дополнения JiaT75 предложил несколько сотен изменений для проекта XZ.

JiaT75 добавлял код и в выходные, и в рабочие дни. Однако интересно заметить, что вредоносные коммиты 2024 года произошли «вне графика», если сравнивать их с предыдущими коммитами. Исследователь Huntress Labs (компании, как они сами пишут о себе, основанной бывшими сотрудниками АНБ, ныне борцами с хакерами) под ником Alden опубликовал визуализацию вредоносных коммитов Цзя Тана для проекта XZ Utils. Время суток, когда JiaT75 добавлял вредоносный код 23–26 февраля, а также 8 и 9 марта 2024 года, не соответствовало его предположительным предыдущим рабочим часам.

«Неурочное» время вредоносных коммитов нельзя не заметить. Что может означать эта аномалия? Есть несколько возможных объяснений:

• Аккаунт JiaT75 использовался другим человеком для внедрения вредоносного кода; этот человек мог быть известен или не известен изначальному владельцу аккаунта.
• Владельцу аккаунта JiaT75 пришлось публиковать коммит кода вредоносного бэкдора в спешке.
• Аккаунт JiaT75 использовался группой лиц, и кому-то из этой группы понадобилось работать без перерыва по нестандартному графику.

Нельзя не обратить внимание на расчетливое коварство, с которым JiaT75 внедрял обфусцированный код бэкдора в виде нескольких отдельных частей. Даже несмотря на открытый исходный код, основная часть бэкдора не отображается в дереве исходного кода XZ, и человек не может прочитать ее без специальных программных средств, поэтому сообщество, отслеживающее изменения, не распознало ее.

Лето 2022 года: призывы добавить мейнтейнера

Летом 2022 года несколько пользователей оказывали давление на Лассе Коллина, призывая его добавить еще одного мейнтейнера. Степень давления со стороны разных аккаунтов различалась, но все они так или иначе взаимодействовали с ним, пытаясь принудить к выгодным им действиям.

Если началом кампании считать первое появление наших персонажей в списке рассылки xz-devel, то это будет 29 сентября 2021 года, когда Цзя Тан отправил свое предложение добавить конфигурационный файл редактора в XZ Utils. Это было спустя восемь месяцев после создания аккаунта Цзя Тана на GitHub. Дополнение было безвредным, но позволило пользователю закрепиться в качестве участника этого опенсорсного проекта.

Год спустя, весной и летом 2022 года, в шести комментариях в двух разных ветках Джигар Кумар выражал свое недовольство ведением проекта и призывал Лассе Коллина передать доступ Цзя Тану.

Деннис Энс создает свою собственную ветку, а затем оказывает давление на мейнтейнера Коллина, проявляя настойчивость и даже позволяя себя нападки в его адрес в одном из сообщений. Эта личность использует персональные проблемы, о которых Коллин рассказал в этой ветке. Джигар Кумар отвечает ему дважды, жалуясь на мейнтейнера: «Деннис, вам лучше подождать, когда появится новый мейнтейнер, или сделать форк самому».

Сопоставляя все эти данные, мы не можем делать однозначные выводы. До тех пор пока не будет опубликовано больше подробностей, нам остается лишь догадываться, по какому варианту на самом деле развивались события:

• Оказывая планомерное давление на мейнтейнера в течение трех лет, небольшая команда получила доступ к базе кода XZ Utils. Один из злоумышленников смог завоевать доверие автора проекта и стать сомейнтейнером. После этого они предприняли попытки ускорить процесс распространения вредоносного кода, эксплуатирующего sshd, за счет его внедрения в крупные дистрибутивы Linux.
• Оказывая планомерное давление на мейнтейнера в течение трех лет, злоумышленник-одиночка получил доступ к базе кода XZ Utils. Этот человек один управлял несколькими фиктивными персонами, чтобы завоевать доверие мейнтейнера и стать сомейнтейнером проекта с открытым исходным кодом. После этого он предпринял попытки ускорить процесс распространения вредоносного кода, эксплуатирующего sshd, за счет его внедрения в крупные дистрибутивы Linux.
• В течение короткого периода в начале 2024 года небольшая команда успешно манипулировала пользователем по имени Цзя Тан, который законно получил доступ к интересному проекту с открытым исходным кодом в качестве мейнтейнера. То, что два других пользователя (Джигар Кумар и Деннис Энс) жаловались на Коллина и просили его передать другому человеку роль мейнтейнера, могло быть простым совпадением. Пользователь, который подвергся манипуляциям, внедрял вредоносный код в проект в течение примерно двух недель.

Весна 2024 года: давление с целью импортировать код с бэкдором в Debian

В марте 2024 года несколько пользователей пытались оказывать давление на мейнтейнеров Debian с целью импортировать код XZ Utils с бэкдором в их дистрибутив.

25 марта 2024 года Ханс Янсен создал баг-репорт в системе Debian, где поставил вопрос о включении содержащего бэкдор кода в дистрибутив: Dear mentors, I am looking for a sponsor for my package «xz-utils» («Уважаемые кураторы, я ищу спонсора для своего пакета xz-utils»).

В течение дня в ветке ответили несколько других личностей, которые использовали следующую структуру адреса электронной почты: name-number@freeservice[.]com.

Участники сообщества Debian негативно отреагировали на предложение:

В свою очередь, пользователь из «группы поддержки» продолжил настаивать на включении исправления в код дистрибутива:

Что дальше?

Очевидно, что методы социальной инженерии имеют гораздо более низкие технические требования для получения полного доступа к средам разработки, чем те, которые мы наблюдали в предыдущих атаках на цепочки поставок, таких как инцидент с Solarwinds, внедрение зловреда ExPetya в ПО M.E.Doc и атака ShadowHammer на ПО ASUS. Мы анализировали эти атаки на цепочку поставок, их сложность и техники на одном из прошедших Security Analyst Summit (SAS) [презентация на английском, требуется регистрация], где представили данные в форме удобной таблицы.

К сожалению, мы ожидаем, что в ближайшие месяцы станет известно о других инцидентах, связанных с проектами с открытым исходным кодом. Организация Open Source Security Foundation (OSSF) уже выявила похожие инциденты с использованием методов социальной инженерии в других проектах открытого программного обеспечения и заявила, что случай с XZ Utils не является единичным.