Oferecido por
O maior banco da Rússia alertou seus usuários para que não atualizem seu aplicativo devido à ameaça de “protestware”: projetos de software de código aberto cujos autores alteraram seu código em oposição à invasão da Ucrânia pela Rússia.
A maioria dos protestwares simplesmente exibem mensagens anti-guerra e pró-ucranianas quando é ativado, mas pelo menos um projeto teve código malicioso atualizado com o objetivo de fazer uma limpa nos arquivos de computadores localizados na Rússia e na Belarus, provocando indignação e acusações de danos colaterais não intencionais.
Em resposta à ameaça, o Sberbank, um banco estatal russo e o maior do país, aconselhou os russos a não atualizar temporariamente nenhum software devido ao aumento do risco e a verificar manualmente o código-fonte do software, caso necessário (um nível de vigilância e conhecimento que não é realista para a maioria dos usuários).
“Pedimos aos usuários que parem de atualizar o software agora e que os desenvolvedores aumentem o controle sobre o uso de código-fonte externo”, disse o Sberbank em comunicado divulgado pela mídia russa e empresas de segurança cibernética.
Quando a invasão russa da Ucrânia começou, alguns sugeriram que, para impor custos a Rússia, as empresas de tecnologia deveriam parar de enviar atualizações aos usuários russos. Nenhuma empresa de tecnologia foi tão longe, mas cerca de duas dúzias de projetos de software de código aberto foram identificados com código protestando contra a guerra adicionados, de acordo com especialistas que acompanham o movimento protestware. O software de código aberto permite que qualquer pessoa possa modificá-lo e revisá-lo, tornando-o mais transparente, e, neste caso, pelo menos, mais aberto a sabotagem.
Dano colateral?
O caso mais grave de protestware até agora ocorreu dentro de um projeto popular de código aberto chamado node.ipc, que ajuda a construir redes neurais. Ele é baixado mais de um milhão de vezes por semana.
O desenvolvedor por trás do node-ipc, RIAEvangelist, escreveu um código de protesto contra a guerra chamado PeaceNotWar. O código adicionou uma “mensagem de paz” aos desktops dos usuários, de acordo com uma explicação dada no GitHub.
“Este código serve como um exemplo não destrutivo de por que controlar seus módulos Node é importante”, escreveu o autor. “Também serve como um protesto não violento contra a agressão da Rússia que ameaça o mundo agora… Para ser claro, isso é protestware”. Mas o node.ipc também tinha um código adicionado a ele que localizava seus usuários e, se eles fossem encontrados na Rússia ou na Belarus, apagava os arquivos do sistema em questão.
O código malicioso foi adicionado em 15 de março, de acordo com Liran Tal, pesquisador da empresa de segurança cibernética Snyk. O novo código estava oculto em dados codificados em base64, um método para codificação de dados, o que dificultará a localização.
Um post do GitHub se tornou viral alegando que o código atingiu servidores operados por uma organização não governamental americana na Belarus e que a sabotagem “resultou na limpeza de mais de 30.000 mensagens e arquivos detalhando crimes de guerra cometidos na Ucrânia por Exército russo e funcionários do governo”.
O código permaneceu como parte do pacote por menos de um dia, segundo Snyk. A suposta mensagem da ONG americana não foi verificada e nenhuma organização fez uma declaração pública sobre quaisquer danos.
“Embora este seja um ataque motivado por um protesto, ele destaca um problema maior enfrentado pela supply chain de software: as dependências transitivas em seu código podem ter um enorme impacto em sua segurança”, escreveu Tal.
Esta não é a primeira vez que desenvolvedores de código aberto sabotam seus próprios projetos. Em janeiro, o autor de outro projeto popular chamado Colors adicionou um loop infinito ao seu código que tornava inútil qualquer servidor que o executasse até que o problema fosse corrigido.
Um novo movimento
Protestware é apenas a mais recente de várias tentativas de ativistas de usar a tecnologia para burlar a censura russa e entregar mensagens anti-guerra. Ativistas têm usado anúncios direcionados para divulgar notícias sobre a guerra na Ucrânia para russos comuns que, de outra forma, estão à mercê da crescente censura e da propaganda estatal onipresente. Avaliações colaborativas e mensagens pop-up anti-guerra são táticas que têm sido empregadas desde que as tropas russas começaram sua invasão.
Na maioria das vezes, o protestware é mais uma prova de que muito do que podemos ver publicamente da guerra cibernética que se desenrola na Ucrânia está diretamente relacionado, em primeiro lugar, à guerra de informação e propaganda.
O Protestware pode entregar mensagens anti-guerra semelhantes, mas dentro da comunidade de código aberto há preocupações de que a possibilidade de sabotagem (especialmente se for mais do que simples mensagens anti-invasão e começar uma empreitada de destruição de dados) possa prejudicar o ecossistema de código aberto. Embora seja menos conhecido do que o software comercial, o software de código aberto é extremamente importante para executar todos os aspectos da Internet.
“A caixa de Pandora agora está aberta e, a partir deste momento, TODOS que usam o código aberto experimentarão xenofobia mais do que nunca”, escreveu o usuário do GitHub NM17. “O fator de confiança do código aberto, que era baseado na boa vontade dos desenvolvedores, praticamente se foi, e agora, mais e mais pessoas estão percebendo que um dia, sua biblioteca/aplicativo pode acabar sendo explorada para fazer/dizer o que quer que algum desenvolvedor aleatório na internet achava que era ‘a coisa certa a se fazer’. Nada de bom saiu desse ‘protesto’”.
MIT Technology Review
