Um desenvolvedor de código aberto acabou de causar um grande caos ao destruir dois de seus próprios aplicativos
O desenvolvedor excêntrico por trás de duas bibliotecas de codificação NPM de código aberto imensamente populares recentemente corrompeu ambas com uma série de atualizações bizarras - uma decisão que levou ao bloqueio de milhares de projetos que dependiam deles para suporte.
Marak Squires é o criador por trás das populares bibliotecas JavaScript Faker e Colors — que são instrumentos-chave para desenvolvedores em seus vários projetos de codificação. Para se ter uma ideia de como eles são amplamente usados, o Colors recebe mais de 20 milhões de downloads por semana e o Faker recebe cerca de 2 milhões. Basta dizer que eles são muito usados.
No entanto, Squires recentemente tomou a decisão bizarra de bagunçar tudo isso quando executou uma série de atualizações maliciosas que deixaram as bibliotecas confusas - levando muitos projetos dependentes com ela. No caso do Colors, a Squires enviou uma atualização que fez com que seu código-fonte entrasse em um loop de repetição sem fim. Isso fez com que os aplicativos que o usavam emitissem o texto “Liberty Liberty Liberty”, seguido por uma enxurrada de dados ilegíveis e sem sentido, prejudicando efetivamente sua funcionalidade. Com o Faker, entretanto, uma nova atualização foi introduzida recentemente que basicamente destruiu todo o código da biblioteca. Posteriormente, Squires anunciou que não manteria mais o programa "de graça".
Todo o episódio, que colocou os desenvolvedores que dependem de ambos os programas em modo de pânico, parece ter sido observado pela primeira vez por pesquisadores da Snyk , uma empresa de segurança de código aberto, bem como da BleepingComputer .
De acordo com essas fontes, cerca de 20.000 projetos de codificação dependem dessas bibliotecas para seu trabalho e, como resultado dos recentes commits, muitos deles foram efetivamente “bloqueados” – ou, em termos leigos, estão fodidos. (“Brickar” é o termo técnico para quando uma peça de hardware é corrompida por um problema de software ou outro dano e se torna inutilizável.)
A coisa mais desconcertante sobre todo esse episódio é que não está totalmente claro por que Squires fez isso. Alguns comentaristas online atribuíram a decisão a uma postagem de blog que ele publicou em 2020, na qual ele criticou o uso de código-fonte aberto por grandes empresas de desenvolvedores como ele. É verdade que a América corporativa tende a cortar custos fiscais explorando ferramentas de codificação disponíveis gratuitamente (basta olhar para o recente desastre do log4j , por exemplo), embora, se você for um codificador de código aberto, ostensivamente saberia e esperaria isso.
De fato, a maneira como Squires bombardeou suas bibliotecas parece desafiar uma explicação simples. Por um lado, os commits que bagunçavam as bibliotecas eram acompanhados por arquivos de texto estranhos que, no caso da atualização do Faker, faziam referência a Aaron Swartz. Swartz é um conhecido programador de computador que foi encontrado morto em seu apartamento em 2013 devido a um aparente suicídio . Squires também fez várias outras referências públicas estranhas a Swartz na época dos commits maliciosos.
“O NPM reverteu para uma versão anterior do pacote faker.js e o Github suspendeu meu acesso a todos os projetos públicos e privados. Eu tenho 100s de projetos. #AaronSwartz ”, Squires twittou em 6 de janeiro. Dias antes da notícia sobre o tijolo em massa, Squires também twittou sobre Swartz e compartilhou um tópico do Reddit ligando sua morte ao traficante de sexo recentemente condenado Ghislaine Maxwell.
A recente reviravolta nos acontecimentos também estimulou especulações online sobre se Squires é a mesma pessoa que foi acusada de perigo imprudente em 2020, quando um incêndio em um prédio de apartamentos no Queens de propriedade de um “Marak Squires” levou os investigadores a descobrir um estoque de bombas caseiras. -fabricação de materiais. Várias pessoas comentaram sobre a aparente conexão de Squires com este incidente na segunda-feira: “Pessoalmente, comecei a remover todas as coisas de Marak de meus projetos sempre que possível após este incidente”, twittou Nathan Peck, um desenvolvedor da Nuvem AWS, em referência ao “ bomba” episódio. “O cara não é estável e eu não confiaria em seu código em nada.” No entanto, o Gizmodo não foi capaz de encontrar nenhuma corroboração independente de que os escudeiros-bomba e os escudeiros-codificadores são o mesmo.
De qualquer forma, é uma história muito estranha - e que não parece particularmente resolvida neste momento. Como tal, entramos em contato com Squires para comentar e atualizaremos esta história se ele responder.
