Desde Sourceforge se han detectado una serie de ataques dirigidos específicamente contra ellos que han concluido con el compromiso de varios servidores. Sourceforge se ha visto obligado a apagar "un puñado" de servidores para intentar contrarrestar el ataque. Desde el blog de Sourceforge.net han avisado durante el día 27 de enero de que se han visto atacados varios servidores de la organización. Nada más ser detectados, se han visto obligados a apagar un número indeterminado de servidores.
Comentarios
Hace falta ser imbécil para atacar un servicio como SF... o ser un hijo de puta que tiene intereses en ir en contra del FOSS.
#2 o querer meter un troyano en un programa que en principio considerarias seguro
#4 Buff, me ha recordado al "Reflections on Trusting Trust", de Ken Thompson.
http://cm.bell-labs.com/who/ken/trust.html
Resumiendo dice que modificas un compilador para que:
1. Si se compila a si mismo introduce el código que hace 1 y 2.
2. Si compila otro programa, introduce un backdoor o virus o algo.
Si consigues distribuir este compilador como si es fiable, puedes eliminar el código maligno de los repositorios, porque ya lo introduce el propio compilador. Retorcido y practicémente indetectable ¡Qué miedo!
#4 Para eso está el hash md5 que da el desarrollador...
Y si la gente no lo usa, que se atenga a las consecuencias.
#6 Pero si pueden cambiar el binario, también podrán cambiar el hash, ¿no?
#7 Por eso he dicho en #6 : "Para eso está el hash md5 que da el desarrollador..."
Es decir, en la web del desarrollador, que no tiene porque tener relación con SF, se proporciona un hash. De ese habría que fiarse.
Por cierto, el correo que están enviando a todos los usuarios:
Hello,
We recently experienced a directed attack on SourceForge infrastructure
(http://sourceforge.net/blog/sourceforge-net-attack/) and so we are
resetting all passwords in the sf.net database -- just in case. We're
e-mailing all sf.net registered account holders to let you know about this
change to your account.
Our investigation uncovered evidence of password sniffing attempts. We have
no evidence to suggest that your password has been compromised. But, what
we definitely don't want is to find out in 2 months that passwords were
compromised and we didn't take action.
So, as a proactive measure we've invalidated your SourceForge.net account
password. To access the site again, you'll need to go through the email
recovery process and choose a shiny new password:
https://sourceforge.net/account/registration/recover.php
If you need help with this, feel free to e-mail us:
sfnet_ops@geek.net
We appreciate your patience with us as we work to respond to this attack.
We'll be working through the weekend to get things back to normal as
quickly as possible.
Watch for updates on the service outages on our blog:
http://sourceforge.net/blog/
Thank you,
The SourceForge Team
Pues menuda estupidez. Ya solo falta que ataquen la wikipedia para ser ya idiotas del todo.