תגלית אחרונה בתחום הסייבר עוררה באחרונה גלי הדף בתעשיית הטכנולוגיה ובסוכנויות ממשלתיות כאחד. מדובר בדלת אחורית שהוסתרה בחוכמה והוטמעה בתוך תוכנית הקוד הפתוח XZ Utils. הפרצה הזו, אלמלא נחשפה, הייתה עלולה לגרום לאסון דיגיטלי משמעותי, ולהעניק לתוקפים שליטה על מיליוני שרתי לינוקס.

הגיבור של הסיפור הזה הוא אנדרס פרוינד, מפתח של מיקרוסופט (לא מומחה אבטחה כלל) בעל עין חדה במיוחד. בזמן הפעלת מבחני ביצועים ב-XZ Utils – כלי דחיסת קבצים תמים לכאורה – הבחין פרוינד שמשהו אינו כשורה – התוכנית צרכה כמות בלתי צפויה של כוח עיבוד. בחפירה עמוקה יותר הוא חשף ממצא מאוד מאוד מטריד – דלת אחורית, שתוכננה בקפידה כדי "לחצוב" מעבר סודי לאינספור מערכות. לפי מומחי אבטחה, שער נסתר זה, אם לא היה מזוהה, יכול היה לפתוח את הדלת למעין "מגיפה דיגיטלית" של ממש.

מיקרוסופט הגיבה רשמית, בפוסט שעליו חתום בראג'ן בריקן, מנהל תוכנית בצוות הנדסת זהויות במיקרוסופט, שעדכן כי: "ב-28 במרץ 2024 זוהתה דלת אחורית ב-XZ Utils. פגיעות זו – CVE-2024-3094 עם ציון CVSS של 10 – היא תוצאה של הפרה של שרשרת אספקת התוכנה המשפיעה על גרסאות 5.6.0 ו-5.6.1 של XZ Utils. הסוכנות האמריקנית לאבטחת סייבר ותשתיות (CISA) המליצה לארגונים לשדרג לאחור לגרסה קודמת ללא הפרות של XZ Utils". בריקן סיפק בהמשך הפרסום פרטים וכן את תגובת הענקית מרדמונד לפגיעות החמורה המסוימת.

הדלת האחורית ב-XZ Utils שכמעט והוחמצה

בפוסט שפרסם באתר מדיום, ציין ג'ייש גאבה, מומחה אבטחה צעיר, כי "XZ Utils הוא כלי עזר לדחיסת נתונים בקוד פתוח, הקיים בהפצות עיקריות של לינוקס וידוע ביחס הדחיסה המצוין שלו. הוא מספק יכולת דחיסה ופירוק נתונים ללא הפסדים במהלך כל מיני פעולות. XZ Utils תומך גם בפורמט .lzma מדור קודם, מה שהופך את הרכיב הזה לחיוני עוד יותר. חלקים רבים אחרים של תוכנה תלויים בתוכנה זו כדי ליישם דחיסה כמו sshd. לפיכך, אם המתקפה הייתה מתפשטת בצורה רחבה יותר, מספר לא ידוע של מערכות יכול היה להישאר בסיכון במשך שנים".

חקירה לגילוי מקור הדלת האחורית חשפה תוכנית מחושבת ומניפולטיבית. XZ Utils, במשך שנים, היה תחת השגחתו של מפתח יחיד, לאסה קולין שמו. קולין סיפר כי אחרי שחווה לחצים גוברים ו"מאבקים בתחום בריאות הנפש", הוא הכניס לתמונה את ג'יה טאן – משתף פעולה חדש. טאן, שהיה לכאורה מתנדב מועיל, רכש במהירות את אמונו של קולין ובסופו של דבר, קיבל מעמד של שותף לתחזוקה. סמכות חדשה זו העניקה לו, כך דווח במדיה העולמית, את היכולת להחדיר את הקוד הזדוני ל-XZ Utils – והוא בהחלט ניצל את הכוח הזה באופן שעלול היה להפוך לאסון אמיתי.

The xz utils backdoor story is nuts both from the perspective of how it was introduced and the one in a million way it was discovered. pic.twitter.com/4z0YEb6KwL

— Dare Obasanjo