Unit 42 usa XZ Utils e CVE-2024-3094 come prova di un cambio di bersaglio: non basta colpire il software finito, se si avvelena l’input della build il codice malevolo entra nei rilasci a monte, prima che i controlli applicativi lo vedano.
Il trucco è nascondere il backdoor dentro il tarball di release che builder e sviluppatori già si fidano a scaricare e compilare. Da lì il codice viene impastato nei binari come se fosse sorgente legittimo, e la compromissione si diffonde lungo la catena di distribuzione.
Per chi costruisce da source tarball o pacchetti di terzi, il punto debole è quindi nella toolchain di sviluppo e nei suoi input fidati. La scansione delle dipendenze e la patch del solo applicativo possono non bastare, perché l’esposizione nasce prima del deployment e può propagarsi in molti artefatti downstream.