Cuộc tấn công chuỗi cung ứng cửa hậu của Xperia Utils phát hiện ra sự cố lỗ hổng tương tự từ nhiều năm trước
Tiết lộ gần đây về cửa hậu trong Xperia Xz Utils đã khơi dậy ký ức của một nhà phát triển tại F-Droid, kho lưu trữ ứng dụng Android nguồn mở, về một sự cố trong quá khứ. Nhà bảo trì PostgreSQL Andres Freund đã đưa ra cảnh báo về một cửa hậu được tìm thấy trong thư viện nén dữ liệu Liblzma (XZ Utils) vào cuối tháng 3. Thư viện này được các nhà phát triển sử dụng rộng rãi và được cài đặt sẵn trong nhiều bản phân phối Linux khác nhau. Ban đầu được cho là cho phép bỏ qua xác thực SSH, nhưng việc xem xét kỹ hơn cho thấy rằng nó thực sự tạo điều kiện cho việc thực thi mã từ xa, được chỉ định là lỗ hổng CVE-2024-3094.
Các cuộc tấn công chuỗi cung ứng vào phần mềm nguồn mở không phải là hiếm, nhưng điều khiến vụ việc này trở nên khác biệt là nó kéo dài rõ ràng trong vài năm. Hans-Christoph Steiner, một nhà bảo trì F-Droid, đã nhớ lại một sự kiện tương tự vào năm 2020. Trong trường hợp đó, một nỗ lực đã được thực hiện để chèn một lỗ hổng SQL SQL, mặc dù nó đã bị ngăn chặn. Điểm giống nhau giữa hai sự cố nằm ở áp lực do các tài khoản ngẫu nhiên áp dụng để đưa mã độc vào.
Steiner tin rằng nỗ lực chèn lỗ hổng là có chủ ý, do tài khoản của người gửi sau đó đã bị xóa. Trong trường hợp của XX Utils, cửa sau được cho là của một cá nhân tên là Jia Tan, hay JiaT75, người này có thể là một danh tính hư cấu được tạo ra bởi một kẻ đe dọa tinh vi. Sự tham gia của Jia Tan vào dự án bắt đầu một cách vô hại vào tháng 10 năm 2021, dần dần tăng lên mức đóng góp đáng kể vào giữa năm 2023, có khả năng là để chuẩn bị cho cửa sau.
Cửa hậu cuối cùng đã được thêm vào vào tháng 2 năm 2024 và được Freund phát hiện một tháng sau đó trước khi được phân phối rộng rãi. Collin, nhà phát triển chính của XX Utils, đang tiến hành một cuộc điều tra về vấn đề này. Dan Lorenc, một chuyên gia bảo mật chuỗi cung ứng phần mềm, đã cảnh báo về những cuộc tấn công dài hạn như vậy trong một podcast vào năm 2022, cho thấy các nhóm hack của chính phủ có thể có liên quan.
Câu hỏi còn sót lại là liệu các sự cố tương tự, có thể được dàn dựng bởi cùng một hoặc các tác nhân đe dọa khác nhau, có xuất hiện trong tương lai hay không. Khi Collin đi sâu hơn vào cuộc điều tra, nhiều chi tiết hơn dự kiến sẽ xuất hiện, làm sáng tỏ mức độ và tác động của cửa hậu Xperia Z Utils.