Trojan Source é uma ameaça invisível que afeta VS Code, Atom, SublimeText, Notepad++, vim, emacs, GitHub, BitBucke e muitos outros!

Pesquisadores da Universidade de Cambridge no Reino Unido, divulgaram detalhes sobre um ataque teórico que permite a inserção de código malicioso em aplicativos legítimos. Mas, é importante relatar que o ataque pode acontecer, a falha ocorre no campos de comentários.

O novo e recém descoberto Trojan Source, precisa que seja feito o uso de caracteres de controle bidirecional nos comentários do código-fonte.

Editores e compiladores de códigos afetados pelo Trojan Source

Estes são os editores e compiladores testados na pesquisa devido à popularidade. Mas, é preciso esclarecer que muitos outros também estão com a falha. Além disso, os pesquisadores informam que todos estes softwares ainda que para Windows, MacOS, Linux ou Web, são afetados sem distinção.

• VS Code
• Atom
• SublimeText
• Notepad++
• vim
• emacs
• GitHub
• BitBucket
• e vários outros

Entendendo os caracteres BiDi

Os famosos caracteres BiDi são caracteres Unicode geralmente utilizados dentro de uma linha de texto para sinalizar a mudança de um modo LTR, ou seja, da esquerda para direita, RTL da direita para a esquerda. No entanto, esses caracteres só são visualizados por desenvolvedores. Desta forma, os usuários finais não conseguem vê-los, pois são usados ??apenas para incorporar texto de uma direção de leitura diferente em grandes blocos de texto (como inserir strings de árabe ou hebraico em grandes blocos de texto em latim).

O que a equipe de pesquisadores descobriram?

Os acadêmicos observaram que a grande maioria dos compiladores editores de códigos não tem nenhum protocolo para lidar com os caracteres BiDi. Além disso, também não é possível sinalizar a sua presença no código fonte.

A maioria das linguagens de programação permite que você coloque essas substituições Bidi em comentários e strings. Isso é péssimo porque a maioria das linguagens permitem comentários nos quais todo o texto – incluindo caracteres de controle – é ignorado por compiladores e editores. Além disso, é pior ainda, porque a maioria das linguagens permitem alguns strings que podem conter caracteres arbitrários, incluindo caracteres de controle.

Desta forma, a verificação de segurança seria incapaz de perceber a falha e a ausência de protocolos para lidar com os Caracteres BiDi.

Verificamos que esse ataque funciona contra C, C ++, C #, JavaScript, Java, Rust, Go e Python e suspeitamos que funcionará contra a maioria das outras linguagens modernas”, Ross Anderson, um dos dois pesquisadores por trás do Técnica do Trojan Source, explicada em uma postagem de blog.

E continuam:

Portanto, ao colocar caracteres de substituição Bidi exclusivamente em comentários e strings, podemos incluí-los no código-fonte de uma maneira que a maioria dos compiladores aceitará. Nosso principal insight é que podemos reordenar os caracteres do código-fonte de forma que a ordem de exibição resultante também represente o código-fonte sintaticamente válido. Juntando tudo isso, chegamos a um novo ataque da cadeia de suprimentos ao código-fonte. Ao injetar caracteres de substituição Unicode Bidi em comentários e strings, um adversário pode produzir código-fonte sintaticamente válido na maioria das linguagens modernas para as quais a ordem de exibição dos caracteres apresenta uma lógica que diverge da lógica real. Com efeito, anagramas o programa A no programa B.

Diz um trecho do artigo de pesquisa