УГРОЗЫ В OPEN SOURCE. Как это работает?

С начала 2022 года российские компании, взяв курс на импортозамещение, стремятся разрабатывать ПО быстро. Для сокращение сроков разработки разработчики пользуются готовыми решениями - компонентами Open Source. Нередко один продукт может содержать десяток пакетов с открытым исходным кодом.

В связи с мировой политической ситуацией, количество угроз, содержащихся в открытом программном обеспечении, выросло в десятки раз. В программные продукты разработчики-злоумышленники стали внедрять закладки — скрытые элементы программного кода, которые предназначены для нанесения ущерба пользователю.

Такие закладки могут включать в себя, например, код для безопасного для устройства отображения политических лозунгов, так и код, который способен запускать деструктивные процессы для различных данных.

Обнаружить закладки в Open Source достаточно трудно — разработчики- злоумышленники пытаются скрыть деструктивные действия, маскируя их под легитимную активность продукта.

Один из самых знаменитых инцидентов — это обновление в NPM-пакете node-ipc, которое содержало в себе вредоносный код, удаляющий данные с компьютера. Обновленный код node-ipc содержал функции по определению IP-адреса и, если тот относился к зоне «Российская Федерация» или «Республика Беларусь», переходил к деструктивным процессам — уничтожению данных.

Ситуация усугублялась тем, что библиотека широко распространена (например, node-ipc использовал популярный фреймворк Vue.js).