den 5 december, någon av IRC smeknamn av [ubuntu] sammanfogade Pine64 disharmoni s #pinephone kanal med en IRC brygga. I en anda av december julklapparna traditioner har de gett sina kolleger PinePhone individer med en med hjälp av – en ”Snake” spelet. Vad [ubuntu] förmodligen skapat hade potential att slutade en lager, out-of-the-box-installerat program med lite men hängiven stadsdelen fans, modders samt speedrunners.
Tyvärr, det skulle inte vara växel värld vi på nätet i, liksom alla inte var bra med bunten delas tillsammans med en trevlig ”hei gaiz jag gör orm gaem här är länk www2-pinephnoe-games-com-tz ersätta streck med dot kthxbai”tillkännagivandet. Chockerande, det var en trojan! nedanför skikt Base64 samt Bashfuscator vi skulle stöta på skal kod som kan vara i ”Exempel på användning” i en modern tesaurus inträde för ordet ”yeet”.
Den skadliga delen av koden är inte avancerad – förutom förvirring, den mest komplexa sak om det är att det är Bash, ett språk med omöjlig att avläsa bakas i på grund av root som när du installerar paketet, fyndet baserade samtida motsvarighet till RM. -rf / * har inga svårigheter att göra sitt smutsiga arbete att torka filsystemet ren, kör en strimla på varje data i förväg om erbjuds att omintetgöra dataräddning. När det gäller ”torka mobil modemets firmware” belöning del utnyttjar den CVE-2021 till 31.698. allt detta skulle ske på nästa onsdag kl 20:00, med att ordna göras av en SYSTEMD stödda cronjob.
[Ubuntu] inte delade källor, bara binärer, förpackade för enkel installation på Arch Linux. en av de berömda PinePhone stadsdel medlemmar installerat som binär samt tog nöje i ”spelet” en del av det, fråga om planer på att göra det öppen källkod – att få uppmuntran från [ubuntu] att källorna skulle släppas så småningom, ”bara kravet på att städa upp”. Några var inte så säker, med argumentet att man inte sudo ska installera-Denna slumpmässiga spel utan källkod repa länk. människor var på låg alert, liksom det kanske har varit så mycket som en massa installationer innan en noggrann samt smarta medlem uppackad bunten samt informerade människor misstänkta base64 i .install manus, ungefär en halv dag senare.
Hur kan vi översätta detta?
Detta var en småskalig men hög ansträngning destruktiva angrepp på PinePhone användare, med inriktning de använder Arch specifikt, förresten. Den skadliga avsändare avslöjade deras ”spel avancemang insatser” före publicering, bodde i kanalen gör lite lite prat samt Q & A, samt i övrigt var inte snabbt kan särskiljas från en typisk designer som hänför sig till välsigna en potentiell plattform med sin allra första app. en hel del av allt, var ormen spelet extremt mycket äkta – det är inte att ta bort om koden kanske har stulits från någon projekt med öppen källkod, men skulle du inte skilja den från en icke-skadlig orm spel. Det är märkligt att bunten inte verkar att skicka personuppgifter till någon typ av servrar (eller kryptera filer eller tvinga dig att njuta av annonser som liknar dagens mobilspel) – det snabbt kunde, men det gör det inte.
Med den mängd arbete som utförs på PinePhone mobilmodem reverse-engineering, det är märkligt att det skadliga programmet drar nytta av de CVE fann tillsammans med detta arbete. Du skulle inte förvänta sig en vanlig telefon virus för att dra bort ett cellulärt modem tegel trick, förutsatt att fragmenteringen av Android världen samt förvirring Apple världen. Lustigt nog är samhället utvecklade öppen källkod firmware för Quectel cellulära modemet immun mot felet utnyttjas samt är allmänt mycket mer fullutrustad, men Pine64 behövs för att skicka utnyttjas egenutvecklade firmware som standard för regelefterlevnad skäl – följderna för att kliva ut ur linje på som är drastisk nog, enligt en Pine64 källa.
Frågor våren att tänka. Är PinePhone en riskfri plattform? Min ta är – ”ja” i jämförelse med allt annat, ”nej” om du förväntar dig att vara villkorslöst riskfri när använder det. Som det ser ut, det är en plattform som uttryckligen behöver din förstå vad du styra den att göra.
Med mycket mer OS distributioner som erbjuds än någon annan typ av samtida telefon kan skryta om att kunna stödja, kan du använda något som Ubuntu Touch för en smidig upplevelse. Du ges allmän mycket mer makt att hålla dig riskfri när använder en PinePhone. människor som förstå blivande av denna makt är den typ av människor som bidrar till PinePhone projektet, som är anledningen till att det är olyckligt att de särskilt riktade i detta evenemang.
Andra plattformar fixa sådana frågor på olika sätt, där endast en del av alternativet är aktuella program samt arkitektoniska arbete plattformen, liksom ett mer är genom att utbilda användarna. Förexempel, du är inte förväntas använda en tredje part AppStore (eller firmware eller laddaren, eller grepp metod) på din iPhone, liksom Android har designerläge kryssrutor kan du nå om du återskapa den tredje rörelse ”Flight of humlan”med fingret på skärmen inställningar. Linux ekosystemet metoden är att lita på kärnan för att leverera pålitliga låg nivå säkerhets primitiva, men skyldighet på distributioner att integrera program samt konfigurationer som gör utnyttja dessa primitiver.
Jag skulle föreslå att mobila Linux-distributioner bör definiera samt bevara sin inställning på ”säkerhet” skala, också utarbeta om förfarandena de tar när det gäller att tredje part apps. ett halvt år sedan, när jag förberedde en sammanställning på olika operativsystem som erbjuds för PinePhone samt deras ståndpunkter på app säkerhet, det tog mig metod mycket mer tid än vad jag skulle känna sig bekväma att ha någon spendera på en uppgift av sådan betydelse.
Vilka är våra alternativ?
Kontentan av rekommendationerna ut till nykomlingar är ”inte ställa in slumpmässig program du inte kan lita”. Även om detta är bra rekommendationer på egen hand, skulle du vara perfekt att påpeka – ett spel ska inte kunna torka ditt system, liksom ”få mycket bättre användare” normalt inte en hållbar strategi. någon typ av säkerhetsstrateg i förnekande om inneboende mänskliga tillkortakommanden kommer inte att göra det i dagens värld, så låt oss se vad vi kan göra bredvid den normala ”utbilda användare” del. Som vanligt finns det en XKCD att börja med.
Även att kunna komponera till en godtycklig användarägda data på en Linux-system är ”game over”. Säg, i $ HOME / .bashrc, kan alias sudo att stdin-inspelning-app sudo samt få tag på användarens lösenord nästa gång de kör sudo i terminalen. .bashrc är inte den enda användaren skrivuppgifter blir genomförs regelbundet, heller. Medan sandbox alternativ etableras för att åtgärda dessa typer av problem, är arbetet trögt liksom de delar av den är icke-trivial, normalt finaste kallad ”dynamisk liksom komplexa vitlistning”.
En bit av ofta delas ut rekommendationer är ”om du inte kan checkas ut koden samt förstå vad det gör, inte köra det” förmodligen tänkt att gälla för buntar samt kodbaser längre än en helg projekt. Ironiskt nog, sätter detta Linux på en obefogad nackdelen med sluten källkod system. ”Dela en .exe” metod för att distribuera applikationer är äldre än jag personligen, liksom det fortfarande är en accepterad teknik för att dela program att någon komponerat för Windows, med UAC har slutade ännu en reflexiv klickruta. Återigen, att sätta en hel del mer av ett säkerhetsproblem på Linux användares axlar är enkel men dumt.
Skulle dela källkoden hjälpa även i malware situation? Nej! I själva verket skulle fästa en länk till en källkod repa hjälpa [ubuntu] gör malware fördelningen mycket mer trolig. När du publicerar ett paket, även om förment tillförlitliga plattformar, det finns sällan någon typ av kontroller av om koden inuti bunten du publicerar matcher koden i din repo.
Det är sant för en stor del av platser – GitHub liksom GitLab utgåvor, DockerHub, NPM, RubyGems, webbläsartillägg butiker PyPi, liksom även några förment riskfria Linux förråd, som F-droid, är sårbara. leverera källkod längs en skadlig bunt tillägger legitimitet, liksom tar bort incitament för kvalificerade personer att inspektera binära i den allra första plats – hey, kodens där för att se redan! Om [ubuntu] gjorde just det, kanske skulle vi tala om denna händelse ett par dagar senare och i en mycket mer ledsen ton. Leverantörskedjan attacker är den nya hotness 2020 samt 2021.
Massor av säkerhetssystem Vi har satt upp är bygger på förtroende. bunt signering är den mest kända, där en kryptografisk signatur av en person som ansvarig för att bevara bunten används för att etablera ”Person X borgar för detta paket är ofarlighet”. HTTPS är en mer förtroendebaserad innovation vi använder dagligen, men egentligen, du lita på din webbläsares eller OS s nyckel ansvarige metod mycket mer än någon typ av specifik avgörande ägare.
När verk till den grad att det verkligen gör oss mycket säkrare, förtroendebaserad tech sätter ett problem på nya designers som inte har ganska polerade social samt krypto framgångar. Men när vanligtvis redan nöjd med saknar dokumentation, ofullständiga API samt otestade bibliotek, måste vi verkligen vara att öka problemet någon form av ytterligare? kanske det är inte så illa.
Den bygger på förtroende signering tech Jag nämner ofta används för att OS bilder som du normalt hämta att bootstrap datorn (eller telefon!) Med en Linux installera, men det är ännu inte framträdande på PinePhone – till exempel, snarare några OS-bilder för PinePhone don ‘t har sådana signaturer, som jag var missnöjd med, med tanke på att en hel del stora distributioner för PC sUpplever dessa såväl som jag förväntade mig att Linux-telefonområdet inte skulle vara annorlunda, såväl som att inte ha signaturer kan vara katastrofala. Snarare några säkerhetsrelaterade funktioner som detta är där för att ta, men inte utnyttjas eftersom de behöver icke-triviala ansträngningar i form till ett projekts anläggningar om det inte skapades med säkerhet i början, eller producera ett extra problem på utvecklarna.
Vad behöver vi verkligen?
PinePhone-grannskapet har implementerat några nya regler, vissa kanaliseras i “Automation” -området. Detta kommer eventuellt att hjälpa en viss typ av problem att vara mindre effektiva i framtiden – men jag föreslår att det institutionella minnet måste spela en större roll i detta. Var försiktig med grekerna som bär presenter … upp tills de upptäcker exakt hur man arbetar runt din Discord Bots heuristik? Jag har redan till exempel. Detta är ett monumentalt ämne med rötter bortom den utmärkta PinePhone orm malware av 2021, liksom det här inlägget är inte ens om det så mycket som det handlar om att hjälpa dig att förstå vad som händer med viktiga delar av Linux-säkerhet, eller kanske till och med säkerheten hos All Open Source-programvara.
För mig slår denna malware noterna av “oundviklig” såväl som “kursjustering” och “växande smärtor”. Diskussioner om bero på såväl som programvara tar plats i varje grannskap som blir tillräckligt stor.
Vi kräver bekräftelsen att Linux-skadlig kod är möjligt, såväl som kan i slutändan vara utbredd, liksom en hälsosam diskussion om exakt hur man slutar det är avgörande. Linux har fortfarande framgångsrikt ingen skadlig kod, men dagen vi inte längre kan ange så närmar oss oss.
Jag är inte säker på den exakta programändringen vi behöver. Omfatta systemet går långt, men de säkerhetsförfaranden vi förväntar oss kan inte utesluta kraftpersoner såväl som nybörjareutvecklare. Tekniskt sett, om det är containerisering, sandboxing, förtroendebaserad infrastruktur eller minnessäker språk, kräver vi att förstå vad vi kräver innan vi förstår vad vi ska begära.
Jag skulle vilja säga tack vare [Lukasz] av Pine64 stadsdel såväl som [Hacker Fantastic] för att hjälpa till med tallkontrollen.