amlweems

The Scariest Hack That Almost Happened: The xz Backdoor The true story of the xz backdoor. In March 2024, an engineer noticed SSH logins on his Linux machine taking half a second too long. Pulling that thread exposed a backdoor in xz, a compression library on almost every Linux system, planted by someone who spent more than two years earning its maintainer's trust. This is how the xz backdoor was built, how it almost shipped, and the half second that gave it away. Chapters 00:00 The half second 00:38 Part 1: The Maintainer 01:38 Part 2: The Helper 02:35 Part 3: The Pressure 03:36 Part 4: The Keys 05:09 Part 5: The Backdoor 07:15 Part 6: The Race 08:32 Part 7: Half a Second 10:00 Part 8: The Lessons 11:41 Up next Sources - Andres Freund, "backdoor in upstream xz/liblzma leading to ssh server compromise", oss-security, March 29, 2024: openwall.com - Russ Cox, "Timeline of the xz open source attack": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "XZ Utils backdoor": tukaani.org - Anthony Weems, xzbot (how the backdoor's key check works): amlweems/xzbot - CISA alert on CVE-2024-3094, March 29, 2024: cisa.gov - OpenSSF and OpenJS Foundation, alert on social engineering takeovers, April 15, 2024: openjsf.org We only cover publicly disclosed, fixed incidents, for education. On-screen code and terminals are simplified illustrations; no working attack code is shown. New episodes every week. #cybersecurity #hacking #truestory #hackingstories #linux #opensource #documentary [ar] أخطر عملية اختراق كادت أن تحدث: ثغرة xz الخلفية القصة الحقيقية لثغرة xz. في مارس 2024، لاحظ مهندس أن تسجيل الدخول عبر SSH على جهازه الذي يعمل بنظام لينكس يستغرق نصف ثانية إضافية. كشف تتبع هذا الأمر عن ثغرة في مكتبة الضغط xz، الموجودة في معظم أنظمة لينكس، والتي زرعها شخصٌ أمضى أكثر من عامين لكسب ثقة مطورها. إليكم كيف تم بناء ثغرة xz، وكيف كادت أن تُطرح في الأسواق، والنصف ثانية التي كشفت أمرها. الفصول 00:00 نصف ثانية 00:38 الجزء 1: المُشرف 01:38 الجزء 2: المُساعد 02:35 الجزء 3: الضغط 03:36 الجزء 4: المفاتيح 05:09 الجزء 5: الباب الخلفي 07:15 الجزء 6: السباق 08:32 الجزء 7: نصف ثانية 10:00 الجزء 8: الدروس 11:41 التالي المصادر - أندريس فرويند، "باب خلفي في xz/liblzma يؤدي إلى اختراق خادم SSH"، oss-security، 29 مارس 2024: openwall.com - روس كوكس، "الجدول الزمني لهجوم xz مفتوح المصدر": research.swtch.com - ريد هات، CVE-2024-3094: access.redhat.com - لاس كولين، "باب خلفي في XZ Utils": tukaani.org - أنتوني ويمز، xzbot (كيفية عمل فحص مفتاح الباب الخلفي): amlweems/xzbot - تنبيه من وكالة الأمن السيبراني وأمن البنية التحتية (CISA) بشأن CVE-2024-3094، 29 مارس 2024: cisa.gov - مؤسسة OpenSSF ومؤسسة OpenJS، تنبيه بشأن عمليات الاستيلاء بالهندسة الاجتماعية، 15 أبريل 2024: openjsf.org نغطي فقط الحوادث التي تم الكشف عنها ومعالجتها علنًا، وذلك لأغراض تعليمية. الشفرة البرمجية المعروضة على الشاشة والمحطات الطرفية هي مجرد أمثلة توضيحية مبسطة؛ ولا يتم عرض أي شفرة هجومية فعّالة. حلقات جديدة كل أسبوع. #الأمن_السيبراني #الاختراق #قصص_حقيقية #قصص_الاختراق #لينكس #المصادر_المفتوحة #فيلم_وثائقي [bn] সবচেয়ে ভীতিকর হ্যাক যা প্রায় ঘটে গিয়েছিল: xz ব্যাকডোর xz ব্যাকডোরের আসল কাহিনী। ২০২৪ সালের মার্চ মাসে, একজন ইঞ্জিনিয়ার লক্ষ্য করেন যে তার লিনাক্স মেশিনে SSH লগইন করতে আধা সেকেন্ড বেশি সময় লাগছে। এই সূত্র ধরে xz-এ একটি ব্যাকডোর উন্মোচিত হয়। xz হলো প্রায় প্রতিটি লিনাক্স সিস্টেমে থাকা একটি কম্প্রেশন লাইব্রেরি, যা এমন একজন ব্যক্তি স্থাপন করেছিল যে এর রক্ষণাবেক্ষণকারীর বিশ্বাস অর্জনের জন্য দুই বছরেরও বেশি সময় ব্যয় করেছিল। এভাবেই xz ব্যাকডোরটি তৈরি করা হয়েছিল, কীভাবে এটি প্রায় চালু হয়ে গিয়েছিল, এবং সেই আধা সেকেন্ড যা এটিকে ফাঁস করে দিয়েছিল। অধ্যায়সমূহ ০০:০০ অর্ধ সেকেন্ড ০০:৩৮ পর্ব ১: রক্ষণাবেক্ষণকারী ০১:৩৮ পর্ব ২: সহায়ক ০২:৩৫ পর্ব ৩: চাপ ০৩:৩৬ পর্ব ৪: চাবিগুলো ০৫:০৯ পর্ব ৫: ব্যাকডোর ০৭:১৫ পর্ব ৬: দৌড় ০৮:৩২ পর্ব ৭: অর্ধ সেকেন্ড ১০:০০ পর্ব ৮: শিক্ষাসমূহ ১১:৪১ এরপর আসছে উৎসসমূহ - আন্দ্রেস ফ্রয়েন্ড, "আপস্ট্রিম xz/liblzma-তে ব্যাকডোরের ফলে ssh সার্ভার ক্ষতিগ্রস্ত", oss-security, ২৯ মার্চ, ২০২৪: openwall.com - রাস কক্স, "xz ওপেন সোর্স আক্রমণের সময়রেখা": research.swtch.com - রেড হ্যাট, CVE-2024-3094: access.redhat.com - লাসে কলিন, "XZ Utils ব্যাকডোর": tukaani.org - অ্যান্থনি উইমস, xzbot (ব্যাকডোরের কী চেক কীভাবে কাজ করে): amlweems/xzbot - CVE-2024-3094 বিষয়ে CISA-এর সতর্কতা, ২৯শে মার্চ, ২০২৪: cisa.gov - OpenSSF এবং OpenJS ফাউন্ডেশন, সোশ্যাল ইঞ্জিনিয়ারিং টেকওভার বিষয়ে সতর্কতা, ১৫ই এপ্রিল, ২০২৪: openjsf.org আমরা শুধুমাত্র শিক্ষামূলক উদ্দেশ্যে, সর্বজনীনভাবে প্রকাশিত ও সমাধান করা ঘটনাগুলোই তুলে ধরি। পর্দায় দেখানো কোড এবং টার্মিনালগুলো সরলীকৃত উদাহরণ; কোনো কার্যকরী অ্যাটাক কোড দেখানো হয় না। প্রতি সপ্তাহে নতুন পর্ব। #সাইবারসিকিউরিটি #হ্যাকিং #সত্যঘটনা #হ্যাকিংগল্প #লিনাক্স #ওপেনসোর্স #ডকুমেন্টারি [de-DE] Der beängstigendste Hack, der fast passiert wäre: Die xz-Backdoor Die wahre Geschichte der xz-Hintertür. Im März 2024 bemerkte ein Entwickler, dass SSH-Logins auf seinem Linux-Rechner eine halbe Sekunde länger dauerten als üblich. Die Analyse dieses Threads enthüllte eine Hintertür in xz, einer Komprimierungsbibliothek, die auf nahezu jedem Linux-System installiert ist. Diese Hintertür wurde von jemandem eingebaut, der über zwei Jahre lang das Vertrauen des Entwicklers gewonnen hatte. So wurde die xz-Hintertür entwickelt, so wäre sie beinahe ausgeliefert worden und diese halbe Sekunde verriet sie. Kapitel 00:00 Die halbe Sekunde 00:38 Teil 1: Der Maintainer 01:38 Teil 2: Der Helfer 02:35 Teil 3: Der Druck 03:36 Teil 4: Die Schlüssel 05:09 Teil 5: Die Hintertür 07:15 Teil 6: Das Rennen 08:32 Teil 7: Eine halbe Sekunde 10:00 Teil 8: Die Lehren 11:41 Weiter Quellen - Andres Freund, „Backdoor in Upstream xz/liblzma leading to ssh server compromise“, oss-security, 29. März 2024: openwall.com - Russ Cox, „Timeline of the xz open source attack“: research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, „XZ Utils Backdoor“: tukaani.org - Anthony Weems, xzbot (Funktionsweise der Schlüsselprüfung der Backdoor): amlweems/xzbot - CISA-Warnung zu CVE-2024-3094, 29. März 2024: cisa.gov - OpenSSF und OpenJS Foundation, Warnung vor Social-Engineering-Übernahmen, 15. April 2024: openjsf.org Wir behandeln ausschließlich öffentlich bekannt gewordene und behobene Vorfälle zu Schulungszwecken. Der gezeigte Code und die Terminals sind vereinfachte Darstellungen; es wird kein funktionsfähiger Angriffscode gezeigt. Wöchentlich neue Folgen. #Cybersicherheit #Hacking #WahreGeschichte #HackingGeschichten #Linux #OpenSource #Dokumentation [es-US] El hackeo más aterrador que casi sucede: La puerta trasera de xz La verdadera historia de la puerta trasera xz. En marzo de 2024, un ingeniero notó que los inicios de sesión SSH en su máquina Linux tardaban medio segundo de más. Al analizar ese hilo, descubrió una puerta trasera en xz, una biblioteca de compresión presente en casi todos los sistemas Linux, instalada por alguien que había dedicado más de dos años a ganarse la confianza de su mantenedor. Así se construyó la puerta trasera xz, cómo estuvo a punto de implementarse y el medio segundo que la delató. Capítulos 00:00 El medio segundo 00:38 Parte 1: El mantenedor 01:38 Parte 2: El ayudante 02:35 Parte 3: La presión 03:36 Parte 4: Las claves 05:09 Parte 5: La puerta trasera 07:15 Parte 6: La carrera 08:32 Parte 7: Medio segundo 10:00 Parte 8: Las lecciones 11:41 A continuación Fuentes - Andres Freund, "puerta trasera en xz/liblzma upstream que compromete el servidor ssh", oss-security, 29 de marzo de 2024: openwall.com - Russ Cox, "Cronología del ataque de código abierto xz": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "Puerta trasera en XZ Utils": tukaani.org - Anthony Weems, xzbot (cómo funciona la verificación de clave de la puerta trasera): amlweems/xzbot - Alerta de CISA sobre CVE-2024-3094, 29 de marzo de 2024: cisa.gov - Alerta de OpenSSF y OpenJS Foundation sobre ataques de ingeniería social, 15 de abril de 2024: openjsf.org Solo cubrimos incidentes resueltos y divulgados públicamente, con fines educativos. El código y las terminales que se muestran en pantalla son ilustraciones simplificadas; no se muestra código de ataque funcional. Nuevos episodios cada semana. #ciberseguridad #hacking #historiareal #historiasdehacking #linux #códigoabierto #documental [fr-FR] Le piratage le plus effrayant qui a failli réussir : la porte dérobée xz La véritable histoire de la porte dérobée xz. En mars 2024, un ingénieur a constaté que les connexions SSH sur sa machine Linux prenaient une demi-seconde de trop. En exploitant cette faille, il a découvert une porte dérobée dans xz, une bibliothèque de compression présente sur presque tous les systèmes Linux. Cette porte dérobée avait été implantée par une personne ayant passé plus de deux ans à gagner la confiance de son responsable. Voici comment la porte dérobée xz a été conçue, comment elle a failli être déployée et la demi-seconde qui a permis de la trahir. Chapitres 00:00 La demi-seconde 00:38 Partie 1 : Le mainteneur 01:38 Partie 2 : L’assistant 02:35 Partie 3 : La pression 03:36 Partie 4 : Les clés 05:09 Partie 5 : La porte dérobée 07:15 Partie 6 : La course 08:32 Partie 7 : Une demi-seconde 10:00 Partie 8 : Les leçons 11:41 À suivre Sources - Andres Freund, « Backdoor in upstream xz/liblzma leading to ssh server compromis », oss-security, 29 mars 2024 : openwall.com - Russ Cox, « Timeline of the xz open source attack » : research.swtch.com - Red Hat CVE-2024-3094 : access.redhat.com - Lasse Collin, « Porte dérobée XZ Utils » : tukaani.org - Anthony Weems, xzbot (fonctionnement de la vérification de clé de la porte dérobée) : amlweems/xzbot - Alerte de la CISA concernant la CVE-2024-3094, 29 mars 2024 : cisa.gov - OpenSSF et OpenJS Foundation, alerte concernant les prises de contrôle par ingénierie sociale, 15 avril 2024 : openjsf.org Nous traitons uniquement des incidents résolus et rendus publics, à des fins pédagogiques. Le code et les terminaux affichés à l'écran sont des illustrations simplifiées ; aucun code d'attaque fonctionnel n'est présenté. Nouveaux épisodes chaque semaine. #cybersécurité #piratage #histoirevraie #récitsdepiratage #linux #opensource #documentaire [hi] सबसे डरावना हैक जो लगभग हो गया था: xz बैकडोर xz बैकडोर की सच्ची कहानी। मार्च 2024 में, एक इंजीनियर ने अपने लिनक्स मशीन पर SSH लॉगिन में आधा सेकंड ज़्यादा समय लगने की बात नोटिस की। इस जानकारी से पता चला कि xz में एक बैकडोर मौजूद था, जो लगभग हर लिनक्स सिस्टम पर मौजूद एक संपीड़न लाइब्रेरी है। इसे किसी ऐसे व्यक्ति ने डाला था जिसने इसके मेंटेनर का भरोसा जीतने में दो साल से ज़्यादा समय लगाया था। यह है xz बैकडोर कैसे बनाया गया, यह कैसे लगभग प्रकाशित होने वाला था, और वह आधा सेकंड जिसने इसका खुलासा कर दिया। अध्याय 00:00 आधा सेकंड 00:38 भाग 1: अनुरक्षक 01:38 भाग 2: सहायक 02:35 भाग 3: दबाव 03:36 भाग 4: कुंजी 05:09 भाग 5: बैकडोर 07:15 भाग 6: दौड़ 08:32 भाग 7: आधा सेकंड 10:00 भाग 8: सबक 11:41 आगे स्रोत - एंड्रेस फ्रायंड, "अपस्ट्रीम xz/liblzma में बैकडोर के कारण SSH सर्वर से समझौता", oss-security, 29 मार्च, 2024: openwall.com - रस्स कॉक्स, "xz ओपन सोर्स हमले की समयरेखा": research.swtch.com - रेड हैट, CVE-2024-3094: access.redhat.com - लासे कॉलिन, "XZ यूटिल्स बैकडोर": tukaani.org - एंथनी वीम्स, xzbot (बैकडोर की कुंजी जांच कैसे काम करती है): amlweems/xzbot - CVE-2024-3094 पर CISA अलर्ट, 29 मार्च, 2024: cisa.gov - OpenSSF और OpenJS फाउंडेशन, सोशल इंजीनियरिंग टेकओवर पर अलर्ट, 15 अप्रैल, 2024: openjsf.org हम केवल सार्वजनिक रूप से सामने आए और सुलझाए गए मामलों को ही शिक्षा के उद्देश्य से कवर करते हैं। स्क्रीन पर दिखाए गए कोड और टर्मिनल केवल सरल उदाहरण हैं; कोई भी कार्यशील आक्रमण कोड नहीं दिखाया गया है। हर सप्ताह नए एपिसोड। #साइबरसुरक्षा #हैकिंग #सच्चीकहानी #हैकिंगकहानियां #लिनक्स #ओपनसोर्स #डॉक्यूमेंट्री [id] Peretasan Paling Menakutkan yang Nyaris Terjadi: Pintu Belakang xz Kisah sebenarnya tentang backdoor xz. Pada Maret 2024, seorang insinyur memperhatikan bahwa login SSH pada mesin Linux-nya membutuhkan waktu setengah detik lebih lama. Penelusuran celah keamanan tersebut mengungkap adanya backdoor di xz, sebuah pustaka kompresi yang hampir ada di setiap sistem Linux, yang ditanam oleh seseorang yang telah menghabiskan lebih dari dua tahun untuk mendapatkan kepercayaan dari pengelolanya. Inilah bagaimana backdoor xz dibangun, bagaimana hampir berhasil diluncurkan, dan setengah detik yang mengungkapnya. Bab 00:00 Setengah Detik 00:38 Bagian 1: Sang Pemelihara 01:38 Bagian 2: Sang Penolong 02:35 Bagian 3: Tekanan 03:36 Bagian 4: Kunci 05:09 Bagian 5: Pintu Belakang 07:15 Bagian 6: Perlombaan 08:32 Bagian 7: Setengah Detik 10:00 Bagian 8: Pelajaran 11:41 Selanjutnya Sumber - Andres Freund, "pintu belakang di hulu xz/liblzma yang menyebabkan kompromi server ssh", oss-security, 29 Maret 2024: openwall.com - Russ Cox, "Garis Waktu Serangan Sumber Terbuka xz": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "Backdoor XZ Utils": tukaani.org - Anthony Weems, xzbot (cara kerja pengecekan kunci backdoor): amlweems/xzbot - Peringatan CISA tentang CVE-2024-3094, 29 Maret 2024: cisa.gov - OpenSSF dan OpenJS Foundation, peringatan tentang pengambilalihan rekayasa sosial, 15 April 2024: openjsf.org Kami hanya membahas insiden yang telah diungkapkan secara publik dan diperbaiki, untuk tujuan pendidikan. Kode dan terminal di layar adalah ilustrasi yang disederhanakan; tidak ada kode serangan yang berfungsi yang ditampilkan. Episode baru setiap minggu. #cybersecurity #hacking #truestory #hackingstories #linux #opensource #documentary [it] L'hackeraggio più spaventoso che quasi accadeva: la backdoor di xz La vera storia della backdoor di xz. Nel marzo 2024, un ingegnere notò che gli accessi SSH al suo computer Linux impiegavano mezzo secondo di troppo. L'analisi di questo problema portò alla luce una backdoor in xz, una libreria di compressione presente in quasi tutti i sistemi Linux, inserita da qualcuno che aveva impiegato più di due anni per guadagnarsi la fiducia del manutentore. Ecco come è stata creata la backdoor di xz, come è stata quasi rilasciata e quel mezzo secondo che l'ha resa vulnerabile. Capitoli 00:00 Il mezzo secondo 00:38 Parte 1: Il manutentore 01:38 Parte 2: L'aiutante 02:35 Parte 3: La pressione 03:36 Parte 4: Le chiavi 05:09 Parte 5: La backdoor 07:15 Parte 6: La corsa 08:32 Parte 7: Mezzo secondo 10:00 Parte 8: Le lezioni 11:41 Prossimamente Fonti - Andres Freund, "backdoor in upstream xz/liblzma leading to ssh server compromise", oss-security, 29 marzo 2024: openwall.com - Russ Cox, "Timeline of the xz open source attack": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "Backdoor XZ Utils": tukaani.org - Anthony Weems, xzbot (come funziona il controllo della chiave della backdoor): amlweems/xzbot - Avviso CISA su CVE-2024-3094, 29 marzo 2024: cisa.gov - OpenSSF e OpenJS Foundation, avviso sulle acquisizioni tramite ingegneria sociale, 15 aprile 2024: openjsf.org Trattiamo solo incidenti risolti e resi pubblici, a scopo didattico. Il codice a schermo e i terminali sono illustrazioni semplificate; non viene mostrato alcun codice di attacco funzionante. Nuovi episodi ogni settimana. #sicurezzainformatica #hacking #storiavera #storiedihacking #linux #opensource #documentario [iw] הפריצה המפחידה ביותר שכמעט קרתה: הדלת האחורית של xz הסיפור האמיתי של הדלת האחורית של xz. במרץ 2024, מהנדס שם לב שכניסות SSH למחשב הלינוקס שלו לוקחות חצי שנייה יותר מדי זמן. הסרת השרשור הזה חשפה דלת אחורית ב-xz, ספריית דחיסה כמעט בכל מערכת לינוקס, שהושתלה על ידי מישהו שבילה יותר משנתיים כדי לזכות באמון המתחזק שלה. כך נבנתה הדלת האחורית של xz, כך היא כמעט הגיעה, וכך חצי השני שגילתה אותה. פרקים 00:00 חצי השני 00:38 חלק 1: המתחזק 01:38 חלק 2: העוזר 02:35 חלק 3: הלחץ 03:36 חלק 4: המפתחות 05:09 חלק 5: הדלת האחורית 07:15 חלק 6: המירוץ 08:32 חלק 7: חצי שנייה 10:00 חלק 8: הלקחים 11:41 הבא בתור מקורות - אנדרס פרוינד, "דלת אחורית ב-xz/liblzma במעלה הזרם המובילה לפגיעה בשרת ssh", oss-security, 29 במרץ, 2024: openwall.com - ראס קוקס, "ציר זמן של מתקפת הקוד הפתוח xz": research.swtch.com - רד האט, CVE-2024-3094: access.redhat.com - לאסה קולין, "XZ Utils backdoor": tukaani.org - אנתוני ווימס, xzbot (כיצד פועלת בדיקת המפתחות של הדלת האחורית): amlweems/xzbot - התראת CISA על CVE-2024-3094, 29 במרץ, 2024: cisa.gov - OpenSSF ו-OpenJS Foundation, התראה על השתלטויות הנדסה חברתית, 15 באפריל, 2024: openjsf.org אנו מכסים רק אירועים שנחשפו בפומבי ותוקנו, לצורכי חינוך. הקוד והטרמינלים על המסך הם איורים פשוטים; לא מוצג קוד התקפה פעיל. פרקים חדשים בכל שבוע. #אבטחת_סייבר #פריצה #סיפור_אמת #סיפורי_פריצה #לינוקס #קוד_פתוח #סרט_תיעודי [ja] 最恐のハッキングが未遂に終わるまで：xzバックドア事件 xzバックドアの真実の物語。2024年3月、あるエンジニアが自身のLinuxマシンでのSSHログインに0.5秒余計に時間がかかることに気づいた。このスレッドを掘り下げていくと、ほぼすべてのLinuxシステムに搭載されている圧縮ライブラリxzにバックドアが仕掛けられていることが判明した。このバックドアは、2年以上かけて開発者の信頼を得た人物によって仕込まれたものだった。これは、xzバックドアがどのように構築され、いかにして出荷寸前までいったのか、そしてその0.5秒がどのようにしてバックドアの存在を露呈させたのかを描いた物語である。 チャプター 00:00 0.5秒 00:38 パート1：メンテナー 01:38 パート2：ヘルパー 02:35 パート3：プレッシャー 03:36 パート4：鍵 05:09 パート5：バックドア 07:15 パート6：競争 08:32 パート7：0.5秒 10:00 パート8：教訓 11:41 次回予告 出典 - Andres Freund、「上流のxz/liblzmaにバックドアが存在し、SSHサーバーが侵害される」、oss-security、2024年3月29日：openwall.com - Russ Cox、「xzオープンソース攻撃のタイムライン」：research.swtch.com - Red Hat、 CVE-2024-3094: access.redhat.com - Lasse Collin、「XZ Utilsバックドア」: tukaani.org - Anthony Weems、xzbot（バックドアの鍵チェックの仕組み）: amlweems/xzbot - CISAによるCVE-2024-3094に関する警告、2024年3月29日: cisa.gov - OpenSSFおよびOpenJS Foundationによるソーシャルエンジニアリングによる乗っ取りに関する警告、2024年4月15日: openjsf.org 教育目的で、公開され、既に解決済みのインシデントのみを取り上げています。画面上のコードやターミナルは簡略化された図解であり、実際に動作する攻撃コードは表示していません。 毎週新しいエピソードを公開しています。 #サイバーセキュリティ #ハッキング #実話 #ハッキングストーリー #Linux #オープンソース #ドキュメンタリー [ko] 하마터면 일어날 뻔한 가장 무서운 해킹: xz 백도어 사건 xz 백도어의 실화. 2024년 3월, 한 엔지니어가 자신의 리눅스 머신에서 SSH 로그인 시간이 0.5초 이상 걸리는 것을 발견했습니다. 이 문제를 해결하기 위해 조사한 결과, 거의 모든 리눅스 시스템에 사용되는 압축 라이브러리인 xz에 백도어가 숨겨져 있다는 사실이 드러났습니다. 이 백도어는 2년 넘게 xz 개발자의 신뢰를 얻기 위해 공들여 심어놓은 것이었습니다. xz 백도어가 어떻게 만들어졌고, 어떻게 배포될 뻔했으며, 그 0.5초의 지연 시간이 백도어의 존재를 드러냈는지에 대한 이야기입니다. 목차 00:00 0.5초 00:38 1부: 관리자 01:38 2부: 조력자 02:35 3부: 압박감 03:36 4부: 핵심 05:09 5부: 백도어 07:15 6부: 경쟁 08:32 7부: 0.5초 10:00 8부: 교훈 11:41 다음 영상 출처 - Andres Freund, "backdoor in upstream xz/liblzma leading to ssh server compromise", oss-security, 2024년 3월 29일: openwall.com - Russ Cox, "Timeline of the xz open source attack": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "XZ Utils 백도어": tukaani.org - Anthony Weems, xzbot(백도어의 키 검사 작동 방식): amlweems/xzbot - CISA의 CVE-2024-3094 관련 경고, 2024년 3월 29일: cisa.gov - OpenSSF 및 OpenJS 재단, 소셜 엔지니어링을 통한 계정 탈취 관련 경고, 2024년 4월 15일: openjsf.org 교육 목적으로 공개적으로 알려지고 해결된 사건만 다룹니다. 화면에 표시되는 코드와 터미널은 단순화된 예시이며, 실제 공격 코드는 보여주지 않습니다. 매주 새로운 에피소드가 공개됩니다. #사이버보안 #해킹 #실화 #해킹이야기 #리눅스 #오픈소스 #다큐멘터리 [ml] സംഭവിക്കുമായിരുന്ന ഏറ്റവും ഭയാനകമായ ഹാക്ക്: xz ബാക്ക്ഡോർ xz ബാക്ക്‌ഡോറിന്റെ യഥാർത്ഥ കഥ. 2024 മാർച്ചിൽ, ഒരു എഞ്ചിനീയർ തന്റെ ലിനക്സ് മെഷീനിൽ SSH ലോഗിനുകൾ അര സെക്കൻഡ് കൂടുതൽ സമയമെടുക്കുന്നതായി ശ്രദ്ധിച്ചു. ആ ത്രെഡ് വലിച്ചപ്പോൾ xz-ലെ ഒരു ബാക്ക്‌ഡോർ വെളിപ്പെട്ടു, മിക്കവാറും എല്ലാ ലിനക്സ് സിസ്റ്റത്തിലും ഒരു കംപ്രഷൻ ലൈബ്രറി, അതിന്റെ പരിപാലകന്റെ വിശ്വാസം നേടിയെടുക്കാൻ രണ്ട് വർഷത്തിൽ കൂടുതൽ ചെലവഴിച്ച ഒരാൾ സ്ഥാപിച്ചത്. xz ബാക്ക്‌ഡോർ എങ്ങനെ നിർമ്മിച്ചു, അത് ഏതാണ്ട് എങ്ങനെ ഷിപ്പ് ചെയ്തു, അര സെക്കൻഡ് അത് ഉപേക്ഷിച്ചു. അധ്യായങ്ങൾ 00:00 പകുതി സെക്കൻഡ് 00:38 ഭാഗം 1: പരിപാലകൻ 01:38 ഭാഗം 2: സഹായി 02:35 ഭാഗം 3: സമ്മർദ്ദം 03:36 ഭാഗം 4: കീകൾ 05:09 ഭാഗം 5: പിൻവാതിൽ 07:15 ഭാഗം 6: ഓട്ടം 08:32 ഭാഗം 7: പകുതി സെക്കൻഡ് 10:00 ഭാഗം 8: പാഠങ്ങൾ 11:41 അടുത്തത് ഉറവിടങ്ങൾ - ആൻഡ്രസ് ഫ്രോയിഡ്, "അപ്‌സ്ട്രീം xz/liblzma-യിലെ പിൻവാതിൽ ssh സെർവർ വിട്ടുവീഴ്ചയിലേക്ക് നയിക്കുന്നു", oss-security, മാർച്ച് 29, 2024: openwall.com - റസ് കോക്സ്, "xz ഓപ്പൺ സോഴ്‌സ് ആക്രമണത്തിന്റെ ടൈംലൈൻ": research.swtch.com - ചുവപ്പ് ഹാറ്റ്, CVE-2024-3094: access.redhat.com - ലാസെ കോളിൻ, "XZ യൂട്ടിലിസ് ബാക്ക്ഡോർ": tukaani.org - ആന്റണി വീംസ്, xzbot (ബാക്ക്ഡോറിന്റെ കീ പരിശോധന എങ്ങനെ പ്രവർത്തിക്കുന്നു): amlweems/xzbot - CVE-2024-3094-ലെ CISA അലേർട്ട്, മാർച്ച് 29, 2024: cisa.gov - സോഷ്യൽ എഞ്ചിനീയറിംഗ് ഏറ്റെടുക്കലുകളെക്കുറിച്ചുള്ള അലേർട്ട്, ഏപ്രിൽ 15, 2024: openjsf.org വിദ്യാഭ്യാസത്തിനായി, പൊതുവായി വെളിപ്പെടുത്തിയതും സ്ഥിരവുമായ സംഭവങ്ങൾ മാത്രമേ ഞങ്ങൾ കവർ ചെയ്യുന്നുള്ളൂ. ഓൺ-സ്ക്രീൻ കോഡും ടെർമിനലുകളും ലളിതമായ ചിത്രീകരണങ്ങളാണ്; പ്രവർത്തനക്ഷമമായ ആക്രമണ കോഡ് കാണിക്കുന്നില്ല. എല്ലാ ആഴ്ചയും പുതിയ എപ്പിസോഡുകൾ. #cybersecurity #hacking #truestory #hackingstories #linux #opensource #documentary [nl-NL] De engste hack die bijna werkelijkheid werd: de xz-backdoor Het ware verhaal achter de xz-achterdeur. In maart 2024 merkte een engineer dat SSH-aanmeldingen op zijn Linux-machine een halve seconde te lang duurden. Door die thread te volgen, werd een achterdeur in xz blootgelegd, een compressiebibliotheek die op bijna elk Linux-systeem te vinden is. Deze achterdeur was geplaatst door iemand die meer dan twee jaar had gewerkt om het vertrouwen van de beheerder te winnen. Dit is hoe de xz-achterdeur werd gebouwd, hoe deze bijna werd uitgebracht en de halve seconde die hem aan het licht bracht. Hoofdstukken 00:00 De halve seconde 00:38 Deel 1: De beheerder 01:38 Deel 2: De helper 02:35 Deel 3: De druk 03:36 Deel 4: De sleutels 05:09 Deel 5: De achterdeur 07:15 Deel 6: De race 08:32 Deel 7: Een halve seconde 10:00 Deel 8: De lessen 11:41 Volgende Bronnen - Andres Freund, "backdoor in upstream xz/liblzma leading to ssh server compromise", oss-security, 29 maart 2024: openwall.com - Russ Cox, "Timeline of the xz open source attack": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "XZ Utils backdoor": tukaani.org - Anthony Weems, xzbot (hoe de sleutelcontrole van de backdoor werkt): amlweems/xzbot - CISA-waarschuwing over CVE-2024-3094, 29 maart 2024: cisa.gov - OpenSSF en OpenJS Foundation, waarschuwing over overnames door social engineering, 15 april 2024: openjsf.org We behandelen alleen publiekelijk bekendgemaakte, opgeloste incidenten, voor educatieve doeleinden. Code en terminals op het scherm zijn vereenvoudigde illustraties; er wordt geen werkende aanvalscode getoond. Elke week nieuwe afleveringen. #cybersecurity #hacking #truestory #hackingstories #linux #opensource #documentary [pa] ਸਭ ਤੋਂ ਖੌਫਨਾਕ ਹੈਕ ਜੋ ਲਗਭਗ ਹੋ ਹੀ ਗਿਆ ਸੀ: xz ਬੈਕਡੋਰ xz ਬੈਕਡੋਰ ਦੀ ਸੱਚੀ ਕਹਾਣੀ। ਮਾਰਚ 2024 ਵਿੱਚ, ਇੱਕ ਇੰਜੀਨੀਅਰ ਨੇ ਦੇਖਿਆ ਕਿ ਉਸਦੀ Linux ਮਸ਼ੀਨ 'ਤੇ SSH ਲੌਗਇਨ ਅੱਧਾ ਸਕਿੰਟ ਬਹੁਤ ਜ਼ਿਆਦਾ ਸਮਾਂ ਲੈ ਰਿਹਾ ਸੀ। ਉਸ ਥ੍ਰੈੱਡ ਨੂੰ ਖਿੱਚਣ ਨਾਲ xz ਵਿੱਚ ਇੱਕ ਬੈਕਡੋਰ ਦਾ ਪਰਦਾਫਾਸ਼ ਹੋਇਆ, ਲਗਭਗ ਹਰ Linux ਸਿਸਟਮ 'ਤੇ ਇੱਕ ਕੰਪਰੈਸ਼ਨ ਲਾਇਬ੍ਰੇਰੀ, ਕਿਸੇ ਅਜਿਹੇ ਵਿਅਕਤੀ ਦੁਆਰਾ ਲਗਾਇਆ ਗਿਆ ਸੀ ਜਿਸਨੇ ਆਪਣੇ ਰੱਖ-ਰਖਾਅ ਕਰਨ ਵਾਲੇ ਦਾ ਵਿਸ਼ਵਾਸ ਕਮਾਉਣ ਲਈ ਦੋ ਸਾਲਾਂ ਤੋਂ ਵੱਧ ਸਮਾਂ ਬਿਤਾਇਆ। ਇਸ ਤਰ੍ਹਾਂ xz ਬੈਕਡੋਰ ਬਣਾਇਆ ਗਿਆ ਸੀ, ਇਹ ਲਗਭਗ ਕਿਵੇਂ ਭੇਜਿਆ ਗਿਆ ਸੀ, ਅਤੇ ਅੱਧਾ ਸਕਿੰਟ ਜਿਸਨੇ ਇਸਨੂੰ ਛੱਡ ਦਿੱਤਾ ਸੀ। ਅਧਿਆਏ 00:00 ਅੱਧਾ ਸਕਿੰਟ 00:38 ਭਾਗ 1: ਰੱਖ-ਰਖਾਅ ਕਰਨ ਵਾਲਾ 01:38 ਭਾਗ 2: ਸਹਾਇਕ 02:35 ਭਾਗ 3: ਦਬਾਅ 03:36 ਭਾਗ 4: ਕੁੰਜੀਆਂ 05:09 ਭਾਗ 5: ਪਿਛਲਾ ਦਰਵਾਜ਼ਾ 07:15 ਭਾਗ 6: ਦੌੜ 08:32 ਭਾਗ 7: ਅੱਧਾ ਸਕਿੰਟ 10:00 ਭਾਗ 8: ਸਬਕ 11:41 ਅੱਗੇ ਸਰੋਤ - ਐਂਡਰੇਸ ਫਰੂਂਡ, "ਅਪਸਟ੍ਰੀਮ xz/liblzma ਵਿੱਚ ਬੈਕਡੋਰ ssh ਸਰਵਰ ਸਮਝੌਤਾ ਵੱਲ ਲੈ ਜਾਂਦਾ ਹੈ", oss-security, 29 ਮਾਰਚ, 2024: openwall.com - ਰਸ ਕੌਕਸ, "xz ਓਪਨ ਸੋਰਸ ਹਮਲੇ ਦੀ ਸਮਾਂ-ਰੇਖਾ": research.swtch.com - ਲਾਲ ਹੈਟ, CVE-2024-3094: access.redhat.com - ਲਾਸੇ ਕੋਲਿਨ, "XZ ਯੂਟਿਲਸ ਬੈਕਡੋਰ": tukaani.org - ਐਂਥਨੀ ਵੀਮਸ, xzbot (ਬੈਕਡੋਰ ਦੀ ਕੁੰਜੀ ਜਾਂਚ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀ ਹੈ): amlweems/xzbot - CVE-2024-3094 'ਤੇ CISA ਚੇਤਾਵਨੀ, 29 ਮਾਰਚ, 2024: cisa.gov - OpenSSF ਅਤੇ OpenJS ਫਾਊਂਡੇਸ਼ਨ, ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਟੇਕਓਵਰ 'ਤੇ ਚੇਤਾਵਨੀ, 15 ਅਪ੍ਰੈਲ, 2024: openjsf.org ਅਸੀਂ ਸਿੱਖਿਆ ਲਈ ਸਿਰਫ਼ ਜਨਤਕ ਤੌਰ 'ਤੇ ਪ੍ਰਗਟ ਕੀਤੀਆਂ, ਸਥਿਰ ਘਟਨਾਵਾਂ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਾਂ। ਔਨ-ਸਕ੍ਰੀਨ ਕੋਡ ਅਤੇ ਟਰਮੀਨਲ ਸਰਲ ਦ੍ਰਿਸ਼ਟਾਂਤ ਹਨ; ਕੋਈ ਕੰਮ ਕਰਨ ਵਾਲਾ ਹਮਲਾ ਕੋਡ ਨਹੀਂ ਦਿਖਾਇਆ ਗਿਆ ਹੈ। ਹਰ ਹਫ਼ਤੇ ਨਵੇਂ ਐਪੀਸੋਡ। #ਸਾਈਬਰ ਸੁਰੱਖਿਆ #ਹੈਕਿੰਗ #ਸੱਚੀ ਕਹਾਣੀ #ਹੈਕਿੰਗ ਕਹਾਣੀਆਂ #ਲਿਨਕਸ #ਓਪਨਸੋਰਸ #ਦਸਤਾਵੇਜ਼ੀ [pl] Najstraszniejszy hakerski atak, który prawie się udał: backdoor w xz Prawdziwa historia backdoora xz. W marcu 2024 roku inżynier zauważył, że logowanie przez SSH na jego komputerze z Linuksem trwa o pół sekundy za długo. Wyciągnięcie tego wątku ujawniło backdoora w xz, bibliotece kompresji dostępnej w prawie każdym systemie Linux, zainstalowanego przez kogoś, kto spędził ponad dwa lata na zdobywaniu zaufania jej opiekunów. Tak powstała backdoora xz, jak prawie została wydana i jak ta pół sekundy ją zdradziła. Rozdziały 00:00 Pół sekundy 00:38 Część 1: Konserwator 01:38 Część 2: Pomocnik 02:35 Część 3: Presja 03:36 Część 4: Klucze 05:09 Część 5: Tylne wejście 07:15 Część 6: Wyścig 08:32 Część 7: Pół sekundy 10:00 Część 8: Lekcje 11:41 Dalej Źródła - Andres Freund, „tylne wejście w upstream xz/liblzma prowadzące do naruszenia bezpieczeństwa serwera SSH”, oss-security, 29 marca 2024 r.: openwall.com - Russ Cox, „Oś czasu ataku open source na xz”: research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, „Tylne drzwi w XZ Utils”: tukaani.org - Anthony Weems, xzbot (jak działa sprawdzanie klucza w tylnym wejściu): amlweems/xzbot - Alert CISA dotyczący CVE-2024-3094, 29 marca 2024 r.: cisa.gov - OpenSSF i OpenJS Foundation, alert dotyczący przejęć socjotechnicznych, 15 kwietnia 2024: openjsf.org Omawiamy wyłącznie publicznie ujawnione, naprawione incydenty, w celach edukacyjnych. Kod ekranowy i terminale to uproszczone ilustracje; nie pokazujemy działającego kodu ataku. Nowe odcinki co tydzień. #cyberbezpieczeństwo #hacking #prawdziwahistoria #hackingstories #linux #opensource #dokument [pt-BR] O Hack Mais Assustador que Quase Aconteceu: O Backdoor do xz A verdadeira história da backdoor no xz. Em março de 2024, um engenheiro percebeu que os logins SSH em sua máquina Linux estavam demorando meio segundo a mais. Ao analisar essa thread, descobriu-se uma backdoor no xz, uma biblioteca de compressão presente em quase todos os sistemas Linux, plantada por alguém que passou mais de dois anos conquistando a confiança do mantenedor. Esta é a história de como a backdoor do xz foi construída, como quase foi lançada e o meio segundo que a denunciou. Capítulos 00:00 Meio segundo 00:38 Parte 1: O Mantenedor 01:38 Parte 2: O Auxiliar 02:35 Parte 3: A Pressão 03:36 Parte 4: As Chaves 05:09 Parte 5: A Porta dos Fundos 07:15 Parte 6: A Corrida 08:32 Parte 7: Meio Segundo 10:00 Parte 8: As Lições 11:41 A seguir Fontes - Andres Freund, "porta dos fundos no upstream xz/liblzma levando à violação do servidor ssh", oss-security, 29 de março de 2024: openwall.com - Russ Cox, "Linha do tempo do ataque de código aberto ao xz": research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Lasse Collin, "Backdoor do XZ Utils": tukaani.org - Anthony Weems, xzbot (como funciona a verificação da chave do backdoor): amlweems/xzbot - Alerta da CISA sobre CVE-2024-3094, 29 de março de 2024: cisa.gov - OpenSSF e OpenJS Foundation, alerta sobre ataques de engenharia social, 15 de abril de 2024: openjsf.org Abordamos apenas incidentes divulgados publicamente e já corrigidos, para fins educacionais. O código e os terminais na tela são ilustrações simplificadas; nenhum código de ataque funcional é mostrado. Novos episódios toda semana. #cibersegurança #hacking #históriareal #históriasdehacking #linux #códigoaberto #documentário [ru] Самый пугающий взлом, который почти случился: бэкдор в xz Подлинная история бэкдора xz. В марте 2024 года инженер заметил, что SSH-подключение на его Linux-машине занимает на полсекунды больше, чем нужно. Расшифровка этой уязвимости выявила бэкдор в xz, библиотеке сжатия, присутствующей почти в каждой системе Linux, установленный кем-то, кто потратил более двух лет на завоевание доверия её разработчика. Вот как был создан бэкдор xz, как он почти был выпущен, и та самая полсекунда, которая его выдала. Разделы 00:00 Полсекунды 00:38 Часть 1: Разработчик 01:38 Часть 2: Помощник 02:35 Часть 3: Давление 03:36 Часть 4: Ключи 05:09 Часть 5: Бэкдор 07:15 Часть 6: Гонка 08:32 Часть 7: Полсекунды 10:00 Часть 8: Уроки 11:41 Далее Источники - Андрес Фройнд, «бэкдор в исходном коде xz/liblzma, ведущий к компрометации SSH-сервера», oss-security, 29 марта 2024 г.: openwall.com - Расс Кокс, «Хронология атаки на xz с открытым исходным кодом»: research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Лассе Коллин, «Бэкдор XZ Utils»: tukaani.org - Энтони Уимс, xzbot (как работает проверка ключа бэкдора): amlweems/xzbot - Предупреждение CISA о CVE-2024-3094, 29 марта 2024 г.: cisa.gov - OpenSSF и OpenJS Foundation, предупреждение о захватах с использованием социальной инженерии, 15 апреля 2024 г.: openjsf.org Мы освещаем только публично раскрытые, исправленные инциденты в образовательных целях. Код на экране и терминалах — упрощенные иллюстрации; работающий код атаки не показан. Новые эпизоды каждую неделю. #кибербезопасность #хакинг #правдиваяистория #историихакинга #linux #opensource #документальныйфильм [ta] நிகழாமல் தவிர்ந்த அதிபயங்கர ஹேக்கிங்: xz பேக்டோர் xz பின்கதவின் உண்மைக் கதை. மார்ச் 2024-ல், ஒரு பொறியாளர் தனது லினக்ஸ் கணினியில் SSH உள்நுழைவுகள் அரை வினாடி தாமதமாக நடப்பதைக் கவனித்தார். அந்தத் திரியை இழுத்தபோது, ​​கிட்டத்தட்ட ஒவ்வொரு லினக்ஸ் அமைப்பிலும் உள்ள ஒரு சுருக்க நூலகமான xz-ல் ஒரு பின்கதவு அம்பலமானது. அதன் பராமரிப்பாளரின் நம்பிக்கையைப் பெறுவதற்காக இரண்டு ஆண்டுகளுக்கும் மேலாகச் செலவழித்த ஒருவரால் இது பதிக்கப்பட்டிருந்தது. xz பின்கதவு எவ்வாறு உருவாக்கப்பட்டது, அது கிட்டத்தட்ட எவ்வாறு வெளியிடப்பட்டது, மற்றும் அதைக் காட்டிக்கொடுத்த அந்த அரை வினாடி ஆகியவை இங்கே விவரிக்கப்பட்டுள்ளன. அத்தியாயங்கள் 00:00 அரை வினாடி 00:38 பகுதி 1: பராமரிப்பாளர் 01:38 பகுதி 2: உதவியாளர் 02:35 பகுதி 3: அழுத்தம் 03:36 பகுதி 4: சாவிகள் 05:09 பகுதி 5: பின்கதவு 07:15 பகுதி 6: பந்தயம் 08:32 பகுதி 7: அரை வினாடி 10:00 பகுதி 8: பாடங்கள் 11:41 அடுத்து ஆதாரங்கள் - ஆண்ட்ரெஸ் ஃப்ராயண்ட், "அப்ஸ்ட்ரீம் xz/liblzma-வில் உள்ள பின்கதவு ssh சர்வர் சமரசத்திற்கு வழிவகுக்கிறது", oss-security, மார்ச் 29, 2024: openwall.com - ரஸ் காக்ஸ், "xz ஓப்பன் சோர்ஸ் தாக்குதலின் காலவரிசை": research.swtch.com - ரெட் ஹேட், CVE-2024-3094: access.redhat.com - லாஸ் கொலின், "XZ யூடில்ஸ் பின்கதவு": tukaani.org - அந்தோனி வீம்ஸ், xzbot (பின்கதவின் திறவுகோல் சரிபார்ப்பு எவ்வாறு செயல்படுகிறது): amlweems/xzbot - CVE-2024-3094 குறித்த CISA எச்சரிக்கை, மார்ச் 29, 2024: cisa.gov - OpenSSF மற்றும் OpenJS அறக்கட்டளை, சமூகப் பொறியியல் கையகப்படுத்துதல்கள் குறித்த எச்சரிக்கை, ஏப்ரல் 15, 2024: openjsf.org கல்வி நோக்கத்திற்காக, பொதுவில் அறிவிக்கப்பட்டு சரிசெய்யப்பட்ட சம்பவங்களை மட்டுமே நாங்கள் உள்ளடக்குகிறோம். திரையில் காட்டப்படும் குறியீடு மற்றும் டெர்மினல்கள் எளிமைப்படுத்தப்பட்ட விளக்கப்படங்கள் மட்டுமே; செயல்படும் தாக்குதல் குறியீடு எதுவும் காட்டப்படவில்லை. ஒவ்வொரு வாரமும் புதிய அத்தியாயங்கள். #சைபர்பாதுகாப்பு #ஹேக்கிங் #உண்மைக்கதை #ஹேக்கிங்கதைகள் #லினக்ஸ் #திறந்தமூலம் #ஆவணப்படம் [te] జరిగే అవకాశం ఉన్న అత్యంత భయంకరమైన హ్యాక్: xz బ్యాక్‌డోర్ xz బ్యాక్‌డోర్ యొక్క నిజమైన కథ. 2024 మార్చిలో, ఒక ఇంజనీర్ తన లినక్స్ మెషీన్‌లో SSH లాగిన్‌లు అవ్వడానికి అర సెకను ఎక్కువ సమయం తీసుకుంటున్నట్లు గమనించాడు. ఆ విషయాన్ని బయటపెట్టగా, దాదాపు ప్రతి లినక్స్ సిస్టమ్‌లో ఉండే కంప్రెషన్ లైబ్రరీ అయిన xzలో ఒక బ్యాక్‌డోర్ బయటపడింది. దాని మెయింటెయినర్ నమ్మకాన్ని సంపాదించడానికి రెండు సంవత్సరాలకు పైగా గడిపిన ఒక వ్యక్తి దీనిని చొప్పించాడు. xz బ్యాక్‌డోర్‌ను ఎలా నిర్మించారు, అది దాదాపుగా ఎలా మార్కెట్లోకి వచ్చింది, మరియు దానిని పట్టించిన ఆ అర సెకను సమయం ఇదే. అధ్యాయాలు 00:00 అర సెకను 00:38 భాగం 1: నిర్వహకుడు 01:38 భాగం 2: సహాయకుడు 02:35 భాగం 3: ఒత్తిడి 03:36 భాగం 4: కీలు 05:09 భాగం 5: బ్యాక్‌డోర్ 07:15 భాగం 6: రేసు 08:32 భాగం 7: అర సెకను 10:00 భాగం 8: పాఠాలు 11:41 తదుపరి మూలాధారాలు - ఆండ్రెస్ ఫ్రాయిండ్, "అప్‌స్ట్రీమ్ xz/liblzmaలో బ్యాక్‌డోర్ ssh సర్వర్ రాజీకి దారితీస్తుంది", oss-security, మార్చి 29, 2024: openwall.com - రస్ కాక్స్, "xz ఓపెన్ సోర్స్ దాడి యొక్క కాలక్రమం": research.swtch.com - రెడ్ హాట్, CVE-2024-3094: access.redhat.com - లాస్సే కొలిన్, "XZ యుటిల్స్ బ్యాక్‌డోర్": tukaani.org - ఆంథోనీ వీమ్స్, xzbot (బ్యాక్‌డోర్ యొక్క కీ చెక్ ఎలా పనిచేస్తుంది): amlweems/xzbot - CVE-2024-3094 పై CISA హెచ్చరిక, మార్చి 29, 2024: cisa.gov - సోషల్ ఇంజనీరింగ్ స్వాధీనాలపై OpenSSF మరియు OpenJS ఫౌండేషన్ హెచ్చరిక, ఏప్రిల్ 15, 2024: openjsf.org మేము కేవలం అవగాహన కోసం, బహిరంగంగా వెల్లడైన, పరిష్కరించబడిన సంఘటనలను మాత్రమే కవర్ చేస్తాము. తెరపై కనిపించే కోడ్ మరియు టెర్మినల్స్ కేవలం సరళీకృత దృష్టాంతాలు మాత్రమే; పనిచేసే అటాక్ కోడ్ ఏదీ చూపబడదు. ప్రతి వారం కొత్త ఎపిసోడ్‌లు. #సైబర్‌సెక్యూరిటీ #హ్యాకింగ్ #నిజమైనకథ #హ్యాకింగ్‌కథలు #లైనక్స్ #ఓపెన్‌సోర్స్ #డాక్యుమెంటరీ [uk] Найстрашніший злам, що ледь не стався: бекдор xz Правдива історія бекдору xz. У березні 2024 року інженер помітив, що вхід через SSH на його комп'ютері з Linux триває на пів секунди довше. Розгортання цієї теми виявило бекдор у xz, бібліотеку стиснення, встановлену майже на кожній системі Linux, яку встановив хтось, хто витратив понад два роки, щоб заслужити довіру її розробника. Ось як був створений бекдор xz, як він майже вийшов у продаж, і півсекунди, які його видали. Розділи 00:00 Пів секунди 00:38 Частина 1: Розпорядник 01:38 Частина 2: Помічник 02:35 Частина 3: Тиск 03:36 Частина 4: Ключі 05:09 Частина 5: Бекдор 07:15 Частина 6: Перегони 08:32 Частина 7: Пів секунди 10:00 Частина 8: Уроки 11:41 Далі Джерела - Андрес Фройнд, «бекдор у вихідному xz/liblzma, що призводить до компрометації ssh-сервера», oss-security, 29 березня 2024 р.: openwall.com - Расс Кокс, «Хронологія атаки xz з відкритим кодом»: research.swtch.com - Red Hat, CVE-2024-3094: access.redhat.com - Лассе Коллін, «бекдор XZ Utils»: tukaani.org - Ентоні Вімс, xzbot (як працює перевірка ключів бекдора): amlweems/xzbot - Сповіщення CISA щодо CVE-2024-3094, 29 березня 2024 р.: cisa.gov - OpenSSF та OpenJS Foundation, сповіщення про захоплення за допомогою соціальної інженерії, 15 квітня 2024 р.: openjsf.org Ми висвітлюємо лише публічно розкриті, виправлені інциденти для освітніх цілей. Код на екрані та термінали є спрощеними ілюстраціями; робочий код атаки не показано. Нові епізоди щотижня. #кібербезпека #хакінг #справжняісторія #історіїхакерів #linux #відкритийвихіднийкод #документальнийфільм