XZ Utils: o backdoor plantado em uma biblioteca de compressão que ninguém sospeitou

Em março de 2024, a comunidade de software livre encontrou o que muitos chamaram de o ataque de supply chain mais sofisticado já visto. A biblioteca XZ Utils, usada para compressão de dados e presente em quase todas as distribuições Linux, continha um backdoor plantado deliberadamente. O nome da série, xzbot, foi dado a uma conta automatizada que publicava as versões maliciosas.

O que torna o caso extremo é a técnica. O backdoor estava no arquivo de teste da biblioteca, dentro de scripts de geração de build, e dependia de condições específicas de compilação para ser ativado. Ele se ligava a específicas bibliotecas de autenticação do sistema, de forma que só respondia quando a autenticação de chave pública era usada, e apenas com credenciais formatadas de maneira específica. Em resumo, o ataque foi desenhado para não aparecer em testes comuns nem em ambientes de desenvolvimento.

O período de exposição foi de mais de dois anos, com as versões 5.6.0 e 5.6.1 publicadas em.homebrew, e o detectar só aconteceu porque um Maintainer notou que a build da biblioteca estava estranhamente lenta e o consumo de CPU estava alto. Um developer que-investigou lentidão em build de pacote acabou abrindo um incidente de segurança global.

A lição é dupla. A primeira é que a revisão de código, mesmo em biblioteca pequena, teria grande chance de pegar algo estranho, e que a revisão feita por pessoas diferentes da que escreveu o código é o que ajuda. A segunda é sobre a cadeia de fornecimento: a biblioteca que você usa tem miles de dependências, e a sua segurança depende de cada uma delas, inclusive de scripts de build e arquivos de teste. Nenhuma empresa que usa Linux pode auditar tudo isso, e por isso o controle de procedência, a construção reproduzível e a diversify de fuentes têm se tornado requisito, e não boa prática.