Uwaga na aktualizacje legalnego oprogramowania. Mogą zawierać złośliwe pliki.

Przykładów nie trzeba szukać daleko. Wystarczy przypomnieć ostatni incydent z wyciekiem wrażliwych danych osobowych (w tym nazwiska, daty urodzenia czy numery ubezpieczenia społecznego) niemal połowy amerykanów z baz danych Equifax, jednej z trzech największych firm na świecie zajmującej się analizą kredytową i doradztwem.

W przytoczonym przypadku hakerzy złamali zabezpieczenia strony internetowej Equifax wykorzystując znana już od kilku miesięcy lukę w zabezpieczeniach w Apache Struts.

Można przytoczyć setki podobnych przykładów złamania zabezpieczeń z wykorzystaniem luk bezpieczeństwa, do których od miesięcy istnieją aktualizacje bezpieczeństwa.

Większość administratorów odpowiedzialnych za bezpieczeństwo IT doskonale sobie zdaje sprawę z problemu i gdy tylko pojawiają się stosowne aktualizacje bezpieczeństwa, od razu je implementują. Chcąc jeszcze bardziej usprawnić i skrócić proces aktualizacji luk bezpieczeństwa, administratorzy często decydują się na oferowane przez wiarygodnych dostawców aktualizacje automatyczne.

Czy, automatyczne aktualizacje od zaufanych dostawców zawsze zawierają wyłącznie poprawki bezpieczeństwa lub kompatybilności?

W niektórych przypadkach mogą zachodzić obawy, że poza pożądanymi aktualizacjami, w automatycznych updatach znajduje się coś jeszcze.

American Civil Liberties Union (ACLU) – amerykańska organizacja non-profit, której celem jest ochrona praw obywatelskich gwarantowanych przez konstytucję, ostrzega przed backdorami umieszczonymi w legalnym oprogramowaniu, które mogą narazić Twoją przedsiębiorstwo na wyciek danych. W raporcie ACLU ostrzega twórców oprogramowania przed agencjami rządowymi które stosują praktyki wymuszania na producentach, umieszczenie złośliwego oprogramowania typu backdoor swoich produktach.

Automatyczne aktualizacje ułatwiają pracę agencjom wywiadowczym które chcą umieścić beckdoora w Twojej firmie. Instytucje te mogą zażądać umieszczenia złośliwego w aktualizacjach złośliwego kodu. Służby bezpieczeństwa posiadają niezbędne uprawnienia by zmusić producentów oprogramowania do umieszczenia złośliwego kodu na docelowym komputerze, nawet kiedy odmówi. Mogą wystąpić o nakaz sądowy oraz zmusić do zachowania tajemnicy.

Raport ACLU stwierdza, że takie żądania mogą się nasilić w wyniku coraz popularniejszego szyfrowania i wzrostu świadomości o lukach bezpieczeństwa wśród administratorów IT.

Prawdopodobieństwo że rządowe służby bezpieczeństwa będą próbowały wymusić na producentach lub programistach umieszczanie beckdorów w aktualizacjach oprogramowania jest coraz większe. Problem wynika z coraz powszechniejszego stosowania szyfrowania danych. Wraz z uszczelnianiem luk bezpieczeństwa w systemach IT służby bezpieczeństwa poszukują alternatywnych rozwiązań dających możliwość inwigilacji.

Programiści powinni się zapoznać z raportem ACLU i zaleceniami jak postępować w przypadku pojawienia się służb bezpieczeństwa.

Należy sobie również zdawać sprawę, że zagrożeniem są nie tylko agencje rządowe które mogą podejmować próby ingerencji w automatyczne aktualizacje celem umieszczenia złośliwego kodu. Przykładem jest rozprzestrzeniający się z w niezwykle szybkim tempie atak ransomware z zeszłego roku, który wyrządził poważne szkody na Ukrainie.

W ataku wykorzystano szkodliwe oprogramowanie (znane pod nazwą Petya, NotPetya lub GoldenEye) które rozpowszechniano za pomocą automatycznego updatu popularnego programu księgowego MeDoc.

Wiele się spekuluje, kto stoi za atakiem, nie ma jednak żadnych podstaw by oskarżać o to producenta MeDoc. Wszystko wskazuje na fakt, że hakerzy włamali się na serwery producenta MeDoc i wykorzystali mechanizm automatycznych aktualizacji do rozpowszechnienia złośliwego kodu wśród klientów MeDoc.

„Przytoczone incydenty obniżają zaufanie do automatycznych aktualizacji oprogramowania i co za tym idzie, rezygnacja z nich w obawie przez wykorzystaniem ich do przemycenia złośliwego kodu” - komentuje Dariusz Woźniak, inżynier techniczny Bitdefender z firmy Marken - „może to prowadzić do obniżenia jakości zabezpieczeń, a co za tym idzie zwiększenia zagrożenia w cyberprzestrzeni.”