liblzma (часть XZ Utils) жрала подозрительно много CPU, и он продолжил копать. В итоге он вскрыл многоходовую supply-chain-атаку, которая готовилась несколько лет.Атакующий под именем “Jia Tan” в течение двух лет постепенно внедрялся в небольшой проект XZ Utils – библиотеку сжатия, которая используется практически во всех крупных Linux-дистрибутивах.
Бэкдор находился не в исходниках. Он был зарыт глубоко в build-скриптах. Если бы была использована специально сформированная SSH-ключевая пара, атакующий получил бы удалённый root-доступ к миллионам серверов.
Фройнд обнаружил это за считаные дни до того, как заражённая версия ушла бы в Debian, Fedora, Ubuntu и другие дистрибутивы
Один человек, одна аномалия, один обычный сеанс дебага – и потенциальная катастрофа для интернета была предотвращена
Респект 🫡
@linuxos_tg