A free cybersecurity wargame called BreachLab offers an interactive exercise simulating the xz/liblzma backdoor attack. The challenge, named Ghost II, consists of eighteen levels where users manually replicate the attack through a CI/CD pipeline, including bypassing branch protection and deploying malicious code to a fleet. The platform is accessible without signup and provides hands-on experience with real Linux systems over SSH. The exercise is designed to mirror the tradecraft typically covered in paid courses.

A novel open source backdoor (CVE-2024-3094) was recently discovered from a widely used xz-utils 'liblzma' data compression library build system.

Diving into the dynamics of the brazen ploy to subvert the liblzma compression library.

En el mundo interconectado de hoy, la seguridad digital es más importante que nunca. Nos encontramos con la historia de una vulnerabilidad crítica que casi sacudió la infraestructura digital del mundo entero. El protagonista de este relato es un componente de software aparentemente inocente: una biblioteca de compresión conocida como liblzma, parte del paquete XZ Utils. Aunque suene algo técnico, esta libra de compresión es nada menos que un engranaje crucial en el funcionamiento de OpenSSH, una herramienta ampliamente usada para conexiones remotas. Ahora, ¿cómo se convierte una simple libra de compresión en la estrella de una tragedia informática? Un hábil atacante logró eventualmente introducir una puerta trasera en liblzma. Pero no lo hizo de la noche a la mañana, no señor. El atacant consiguió ganar la confianza del único responsable de mantener este proyecto, un voluntario, durante nada menos que dos años y medio. La idea era simple y retorcida: inyectar código malicioso que comprometiera la seguridad desde las sombras.Afortunadamente, el clon de Sherlock Holmes en esta historia es un ingeniero con un ojo para los detalles. Se dio cuenta de un leve retraso en las conexiones, un síntoma tan pequeño pero tan revelador. Es como oír un crujido en una casa silenciosa: algunos lo ignoran, pero los más curiosos investigan. Este buscador de misterios digitales descubrió la vulnerabilidad antes de que diese su gran salto a las versiones estables de los sistemas Linux, evitando lo que podría haber sido una verdadera danza del caos cibernético.Este suceso pone de manifiesto una lección fundamental: la fragilidad de depender de proyectos de código abierto mantenidos por personas desinteresadas, pero cuya labor es crucial. La comunidad de código abierto es tan fuerte como sus eslabones más pequeños, y a veces, esos eslabones son sostenidos por un solo par de manos.Para poner en práctica lo aprendido, ¿por qué no organizar un juego de rol en el que los participantes sean parte de un equipo de seguridad informática? Se trata de resolver desafíos, descubrir vulnerabilidades ocultas y proteger infraestructuras digitales, todo mientras compiten por ver quién es el mejor detective cibernético.Si os apasionan las historias de espías digitales y queréis entender cómo podemos aprender jugando, os animamos a visitar JeiJoLand, donde el aprendizaje es siempre un juego. Vamos juntos a explorar el mundo de las posibilidades que el juego nos ofrece.

Originally a thread on Twitter about the xz/liblzma vulnerability, when I finished typing it, I realized I had a real world slice of Open Source interaction that deserved more attention.