Los ataques a la cadena de suministro de software son una técnica cada vez más común que permite a los delincuentes insertar código malicioso en programas legítimos ampliamente utilizados. Estos atacantes pueden infiltrarse en servidores de actualización o incluso modificar el código fuente durante su desarrollo.
La puerta trasera en XZ Utils
XZ Utils, una utilidad de compresión integrada en muchas distribuciones populares de Linux, fue encontrada con una puerta trasera que permitía a los atacantes conectarse al sistema y ejecutar comandos como administrador si poseían una clave privada específica. Esta vulnerabilidad fue descubierta por un ingeniero de Microsoft, Andrés Freund, quien detectó un retraso inusual en la conexión SSH.
La puerta trasera fue insertada por el principal mantenedor del código de XZ Utils, identificado como «Jia Tan». La identidad real de Jia Tan sigue siendo desconocida, aunque se sospecha que podría estar vinculada a un grupo patrocinado por un Estado.
Contribuciones y control del proyecto
Jia Tan comenzó a contribuir al código abierto en noviembre de 2021 con el nombre de usuario JiaT75. Durante más de un año, realizó contribuciones a varios proyectos antes de enfocarse en XZ Utils. En enero de 2023, su código comenzó a integrarse en el proyecto.
El control del proyecto fue transferido gradualmente a Jia Tan, posiblemente con la ayuda de usuarios quejándose de actualizaciones lentas. Finalmente, en febrero de este año, se agregó la puerta trasera a una versión de XZ Utils.
Operativa y sospechas sobre el responsable
La operación fue muy paciente y sofisticada, lo que ha llevado a muchos en el mundo de la ciberseguridad a considerar que Jia Tan podría ser un identificador operado por atacantes informáticos patrocinados por el Estado. Costin Raiu, ex investigador de Kaspersky, sugiere que se trata de un grupo con objetivos a largo plazo.
Se han mencionado sospechas sobre China, Rusia y Corea del Norte como posibles responsables. Sin embargo, aún no hay pruebas concluyentes. La zona horaria de las contribuciones de Jia Tan parece ser UTC+8, lo que podría indicar una conexión con China o Corea del Norte.
Contribuciones y huellas digitales
Jia Tan realizó más de 6.000 cambios de código en al menos siete proyectos entre 2021 y febrero de 2024. Sin embargo, debido a la forma en que se agrupan los cambios (aplastamiento), es difícil determinar exactamente qué contribuciones fueron realizadas por Jia Tan.
Las comunicaciones de Jia Tan parecen estar enrutadas a través de una VPN con dirección IP de Singapur. No se encontraron huellas digitales fuera de los mensajes enviados a otros contribuyentes, lo que sugiere una operativa muy cuidada.
Conclusión
Los investigadores coinciden en que es poco probable que Jia Tan sea una persona real o incluso alguien que trabaje sola. Parece ser la encarnación en línea de una nueva táctica de una organización bien organizada, cuya operativa casi funcionó. Es posible que Jia Tan regrese con otros nombres, ocultando intenciones secretas de un gobierno a través de sus contribuciones.