[ad_1]
El mantenedor del software de red ampliamente utilizado node-ipc provocó una reacción violenta de la comunidad de código abierto a principios de este mes después de que se agregara a la aplicación un código malicioso dirigido a usuarios en Rusia y Bielorrusia que reescribe archivos locales con mensajes contra la guerra.
El mantenedor del software, Brandon Nozaki Miller, conocido en línea como RIAEvangelist, elaboró el código adicional hace dos semanas como parte de una nueva versión de la biblioteca de códigos del software. Descrito como «protestware», el código adicional incluía una función que analizaba la dirección IP de cualquiera que descargara la aplicación. Si se reconocía que la dirección IP se originaba en Rusia o Bielorrusia, el código malicioso borraba los archivos del dispositivo en uso y los reemplazaba con emojis de corazón.
Según Bleeping Computer, Miller lanzó inicialmente el código, titulado “peacenotwar”, independiente de node-ipc, pero luego se incluyó como una dependencia en el código de la popular aplicación. El movimiento básicamente obligó a partes del millón de usuarios que descargan node-ipc semanalmente a descargar «peacenotwar» sin su conocimiento. Incluso si los usuarios inspeccionaron visualmente el código en busca de contenido malicioso, Miller lo ocultó para dificultar la detección.
La firma de seguridad Snyk publicó un informe sobre el incidente el miércoles calificando la implementación de «peacenotwar» como «un abuso muy claro» y cuestionó la futura participación de Miller en el mantenimiento de aplicaciones de código abierto. «Incluso si algunos perciben el acto deliberado y peligroso de RIAEvangelist como un acto legítimo de protesta, ¿cómo se refleja eso en la reputación futura del mantenedor y la participación en la comunidad de desarrolladores?», escribió el investigador de Snyk, Liran Tai. El informe señaló que Miller actualmente mantiene más de 40 bibliotecas de códigos similares que constituyen «cientos de millones de descargas».
En un correo electrónico a Motherboard, Miller negó que el código tuviera la capacidad de reescribir archivos en las computadoras. “Solo pone un archivo en el escritorio”, escribió. La descripción oficial de Miller de «peacenotwar» dice que es un «ejemplo no destructivo de por qué es importante controlar sus módulos de nodo» y «una protesta no violenta contra la agresión de Rusia que amenaza al mundo en este momento».
La revelación provocó una ola de respuestas airadas en los foros de la comunidad de GitHub que afirman que las acciones de Miller amenazan con socavar el concepto mismo de desarrollo de código abierto. «¿Realmente vale la pena hacer una declaración sobre Putin y los oligarcas de Rusia atacando a lo que probablemente sea el pueblo ruso/bielorruso (sic) promedio tomando un vertedero humeante sobre la integridad de un proyecto de código abierto y FOSS en general?» un usuario escribió.
“¿Qué pasaría si un ruso decidiera hacer lo mismo que hizo aquí un evangelista de la RIA? Podrían ir un paso más allá y reclamarlo como «venganza» por un ataque no provocado contra ellos. ¿Qué pasa si alguien apunta a las IP ucranianas por algo que hizo su gobierno”, agregó otro usuario.
Tai se hizo eco de esas preocupaciones. “Snyk apoya a Ucrania y hemos actuado de manera proactiva para apoyar al pueblo ucraniano durante la crisis en curso con donaciones y servicio gratuito a los desarrolladores de todo el mundo, además de tomar medidas para detener los negocios en Rusia y Bielorrusia”, escribió Tai. «Dicho esto, el abuso intencional como este socava a la comunidad global de código abierto». Según Ars Technica, el código malicioso se eliminó desde entonces, pero el informe de Snyk recomendó que los usuarios dejen de usar node-ipc por completo.
.
[ad_2]
Deja una respuesta