xz Utils : a t'on évité une infection mondiale ?

geole · Le 06/04/2024, à 19:33

Merci de l'explication
C'est donc une incitation pour participer facilement au projet...

krodelabestiole · Le 06/04/2024, à 19:54

c'est simplement la commande que tu dois taper, pour récup les fichiers du dépôt git en ssh, qui indique automatiquement ton nom d'utilisateur ssh.

idioteidiote · Le 06/04/2024, à 19:55

https://bugs.launchpad.net/ubuntu/+sour … comments/7

Comment 7 for bug 2059417
Markus Klyver (markusklyver) wrote on 2024-04-01: #7
CIA is not happy this got discovered.

bruno · Le 07/04/2024, à 08:03

JBF a écrit :

bruno a écrit :
Sauf que Ubuntu allait sortir en fin de mois avec une version compromise de xz puisque le paquet provenait de Debian testing…
Le pirate a essayé le 28 mars, donc la veille du jour où la porte dérobée a été révélée, de convaincre Ubuntu d'intégrer la version piégée de xz dans la prochaine LTS. Sans succès : https://bugs.launchpad.net/ubuntu/+sour … ug/2059417

Ubuntu 24.04 intégrait déjà un version contenant du code malveillant, une 5.6. D'ailleurs par précaution tous les paquets on été reconstruits.

Le type a essayé de pousser cette nouvelle version dans les distributions pour rendre la porte dérobée plus discrète.

Le commentaire #7 du signalement de bogue est assez stupide. Il est probable qu'un groupe quelconque : État, services secrets, mafia, etc. se cache derrière le pseudo en question. D'après le mode opératoire et au vu du contexte actuel, les soupçons se porteraient plutôt sur le FSB. C'est d'ailleurs ce que suggère la page Wikipedia.

Astrolivier · Le 07/04/2024, à 09:07

oui bon, quand on suit le lien on voit que la seule indication (qui n'indique peut être rien du tout...) c'est un fuseau horaire, et qu'il travaillait durant les vacances chinoises.

ce à quoi la nsa (premier fournisseur de wikipedia) dit : c'est les russes !
comme quoi un bon complot est un complot russe qui veut se faire passer pour un chinois

https://www.wired.com/story/jia-tan-xz-backdoor/ (le lien wikipedia)

“Another indication that they are not from China is the fact that they worked on notable Chinese holidays,” say Karty and Henniger, students at Dartmouth College and the Technical University of Munich, respectively. They note that Jia Tan also didn't submit new code on Christmas or New Year's. Boehs, the developer, adds that much of the work starts at 9 am and ends at 5 pm for Eastern European or Middle Eastern time zones. “The time range of commits suggests this was not some project that they did outside of work,” Boehs says.
Though that leaves countries like Iran and Israel as possibilities, the majority of clues lead back to Russia, and specifically Russia’s APT29 hacking group, argues Dave Aitel, a former NSA hacker and founder of the cybersecurity firm Immunity. Aitel points out that APT29—widely believed to work for Russia’s foreign intelligence agency, known as the SVR—has a reputation for technical care of a kind that few other hacker groups show. APT29 also carried out the Solar Winds compromise, perhaps the most deftly coordinated and effective software supply chain attack in history. That operation matches the style of the XZ Utils backdoor far more than the cruder supply chain attacks of APT41 or Lazarus, by comparison.
“It could very well be someone else,” says Aitel. “But I mean, if you’re looking for the most sophisticated supply chain attacks on the planet, that’s going to be our dear friends at the SVR.”

moralité, personne en sait rien

Nuliel · Le 07/04/2024, à 09:55

Heure à laquelle l'attaquant travaille, géolocalisation d'adresses IP, ... C'est ce genre de petits indices qui une fois corrélés permettent d'avoir une idée de l'origine de l'attaque. Mais on ne peut pas non plus en être sûr (l'attaquant peut très bien bosser la nuit par exemple), sauf si l'attaquant a laissé fuité une info capitale, ce qui n'est probablement pas le cas vu la préparation de l'attaque.

Bref il faut laisser le temps pour que ces petits indices s'accumulent, et possiblement d'avoir une attribution

Sinon pour info les groupes d'attaquants ont certaines habitudes d'attaque (parce que l'attaquant se débrouille mieux dans un domaine que dans un autre, voir la matrice ATTACK pour plus d'infos), ce qui fait qu'on peut aussi faire des liens avec une attaque.

Dernière modification par Nuliel (Le 07/04/2024, à 09:59)

bruno · Le 07/04/2024, à 10:16

Nuliel, c'est bien pour cela que j'ai utilisé le conditionnel tout comme la page Wikipedia.
Pour la source de l'étude indépendante sur les dates, cf. https://rheaeve.substack.com/p/xz-backd … -times-and

Nuliel a écrit :

sauf si l'attaquant a laissé fuité une info capitale, ce qui n'est probablement pas le cas vu la préparation de l'attaque.

L'attaquant n'était probablement pas unique et cela multiplie les possibilités d'erreurs. La préparation, avec beaucoup d’ingénierie sociale, depuis plus de deux ans est bien la marque d'une organisation structurée, probablement étatique.

Au delà des aspects techniques, on peut se demander quel étaient les objectifs de l'installation de cette porte dérobée qui auraient pu permettre de prendre le contrôle des milliers de machines et de serveurs.

ar barzh paour · Le 07/04/2024, à 18:52

bonsoir
de tout ça j'en conclue sur mes versions
20.04 : xz-utils 5.2.5-2ubuntu1
24.04 : xz-utils 5.4.5-0.3
aucun souci pour l'instant d'accord ?

krodelabestiole · Le 07/04/2024, à 19:10

non, ça ne concerne que les versions 5.6.0 et 5.6.1, que tu ne verras pas passer. ça ne concerne que les distros unstables ou les rolling releases les plus rapides.
et dans ces cas le problème est désormais résolu par une simple mise à jour automatique.

... sauf malheureusement celui des développeurs de librairies open source upstreams sous-payés.

Dernière modification par krodelabestiole (Le 07/04/2024, à 21:15)

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#26 Le 06/04/2024, à 19:33

Re : xz Utils : a t'on évité une infection mondiale ?

#27 Le 06/04/2024, à 19:54

Re : xz Utils : a t'on évité une infection mondiale ?

#28 Le 06/04/2024, à 19:55

Re : xz Utils : a t'on évité une infection mondiale ?

#29 Le 07/04/2024, à 08:03

Re : xz Utils : a t'on évité une infection mondiale ?

#30 Le 07/04/2024, à 09:07

Re : xz Utils : a t'on évité une infection mondiale ?

#31 Le 07/04/2024, à 09:55

Re : xz Utils : a t'on évité une infection mondiale ?

#32 Le 07/04/2024, à 10:16

Re : xz Utils : a t'on évité une infection mondiale ?

#33 Le 07/04/2024, à 18:52

Re : xz Utils : a t'on évité une infection mondiale ?

#34 Le 07/04/2024, à 19:10

Re : xz Utils : a t'on évité une infection mondiale ?

Pied de page des forums