{"id":18579,"date":"2021-11-24T23:44:13","date_gmt":"2021-11-25T02:44:13","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=18579"},"modified":"2021-11-25T23:44:58","modified_gmt":"2021-11-26T02:44:58","slug":"trojan-source","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/trojan-source\/18579\/","title":{"rendered":"Implantes invis\u00edveis no c\u00f3digo-fonte"},"content":{"rendered":"

Especialistas da Universidade de Cambridge descreveram<\/a> uma vulnerabilidade que afetam a maioria dos compiladores atuais.\u00a0 Um novo m\u00e9todo de ataque usa um recurso leg\u00edtimo de ferramentas de desenvolvimento em que o c\u00f3digo-fonte exibe uma coisa, mas compila algo completamente diferente.\u00a0 Isso acontece por meio da magia dos caracteres de controle unicode.<\/p>\n

\"Caracteres

Caracteres de formata\u00e7\u00e3o de direcionalidade Unicode relevantes para ataques de reordenamento. Fonte<\/a>.<\/p><\/div>\n

Na maioria das vezes, os caracteres de controle n\u00e3o aparecem na tela com o resto do c\u00f3digo (embora alguns editores os exibam), mas eles modificam o texto de alguma forma.\u00a0 Esta tabela<\/a> cont\u00e9m os c\u00f3digos para o Algoritmo Unicode Bidirecional (bidi), por exemplo.<\/p>\n

Como voc\u00ea provavelmente sabe, alguns idiomas s\u00e3o escritos da esquerda para a direita (por exemplo, ingl\u00eas), outros da direita para a esquerda (por exemplo, \u00e1rabe).\u00a0 Quando o c\u00f3digo cont\u00e9m apenas um idioma, n\u00e3o h\u00e1 problema, mas quando necess\u00e1rio \u2013 como uma linha cont\u00e9m palavras em ingl\u00eas e em \u00e1rabe \u2013 os c\u00f3digos bidi especificam a dire\u00e7\u00e3o do texto.<\/p>\n

No trabalho dos autores, eles usaram esses c\u00f3digos para, por exemplo, mover o terminador de coment\u00e1rio no c\u00f3digo Python do meio de uma linha para o final.\u00a0 Eles aplicaram um c\u00f3digo RLI para mudar apenas alguns caracteres, deixando o resto inalterado.<\/p>\n

\"Exemplo

Exemplo de c\u00f3digo Python vulner\u00e1vel usando c\u00f3digos bidi. Fonte<\/a>.<\/p><\/div>\n

\u00c0 direita est\u00e1 a vers\u00e3o que os programadores enxergam ao verificar o c\u00f3digo-fonte;\u00a0 a esquerda mostra como o c\u00f3digo ser\u00e1 executado.\u00a0 A maioria dos compiladores ignora os caracteres de controle.\u00a0 Qualquer pessoa que verificar o c\u00f3digo pensar\u00e1 que a quinta linha \u00e9 um coment\u00e1rio inofensivo, embora, na verdade, um extrato de retorno antecipado oculto dentro dele fa\u00e7a com que o programa ignore a opera\u00e7\u00e3o que debita fundos de contas banc\u00e1rias.\u00a0 Em outras palavras, neste exemplo, o programa banc\u00e1rio simulado distribuir\u00e1 dinheiro, mas n\u00e3o reduzir\u00e1 o saldo da conta.<\/p>\n

Por que \u00e9 perigoso?<\/h2>\n

\u00c0 primeira vista, a vulnerabilidade parece muito simples. \u00a0Quem iria inserir caracteres invis\u00edveis, na esperan\u00e7a de enganar os auditores do c\u00f3digo-fonte?\u00a0 No entanto, o problema foi considerado s\u00e9rio o suficiente para justificar um identificador de vulnerabilidade (CVE-2021-42574<\/a>).\u00a0 Antes de publicar o artigo, os autores notificaram os desenvolvedores sobre os compiladores mais comuns, dando-lhes tempo para preparar os patches.<\/p>\n

O relat\u00f3rio descreve os recursos b\u00e1sicos de ataque.\u00a0 As duas estrat\u00e9gias de execu\u00e7\u00e3o s\u00e3o ocultar um comando dentro dos coment\u00e1rios e ocultar algo em uma linha que, por exemplo, aparece na tela.\u00a0 \u00c9 poss\u00edvel, em teoria, obter o efeito oposto: criar um c\u00f3digo que se parece com um comando, mas na verdade faz parte de um coment\u00e1rio e n\u00e3o ser\u00e1 executado.\u00a0 M\u00e9todos ainda mais criativos de explorar essa fraqueza est\u00e3o fadados a existir.<\/p>\n

Por exemplo, algu\u00e9m poderia usar o truque para realizar um ataque supply chain sofisticado, por meio do qual um contratado fornece a uma empresa um c\u00f3digo que parece correto, mas n\u00e3o funciona como o pretendido.\u00a0 Ent\u00e3o, depois que o produto final \u00e9 lan\u00e7ado, uma parte externa pode usar a \u201cfuncionalidade alternativa\u201d para atacar os clientes.<\/p>\n

Qu\u00e3o perigoso isso \u00e9, de fato?<\/h2>\n

Pouco depois da publica\u00e7\u00e3o do artigo, o programador Russ Cox criticou o ataque do tipo Source Trojan.\u00a0 Ele n\u00e3o ficou, para dizer o m\u00ednimo, impressionado.\u00a0 Seus argumentos s\u00e3o os seguintes:<\/p>\n