SourceForge è molto conosciuto dagli utenti che scaricano programmi freeware perché, almeno un tempo, era il servizio di hosting più affidabile in circolazione sul web. Purtroppo da un po’ di tempo sembra che SourceForge abbia cominciato a inserire programmi spazzatura nei download dei software più scaricati, all’insaputa degli sviluppatori.

La vicenda è venuta fuori negli scorsi mesi, grazie anche agli sviluppatori di VLC, il videoplayer più scaricato al mondo e hostato su SourceForge dal 2010: inizialmente SourceForge metteva degli ads malevoli, come quello sotto per esempio, che portavano a pagine di download di VLC con malware allegati, poi ha iniziato a prevaricare gli sviluppatori di altri programmi prendendo possesso dei file di installazione.

I programmi freeware interessati sono questi

• tutti i programmi della Apache Foundation: Allura, Derby, Directory Studio, Apache HTTP server, Hadoop, OpenOffice, Solr, e Subversion
• il browser Firefox, Thunderbird, e FireFTP
• i programmi per mail Evolution e Open-Xchange
•  i CMS di WordPress e Drupal
• gli IDE Eclipse, Aptana, Komodo, MonoDevelop, e NetBeans
• i media player VLC, Audacious, Banshee.fm, Helix e Tomahawk
• il tool per entrare nelle reti con WPS Reaver WPS Wi-Fi
• il tool per la grafica GIMP
• l’edito di testo Notepad++
• Cryptocointrader, un programma di trading per cripto monete come i bitcoin che contiene un malware molto pericoloso, come notato da /u/strongleaf di Reddit.

Ma perchè SourceForge ha preso possesso dello sviluppo di questi programmi?Come riferisce ArsTechnica, lo sviluppo di tali programmi era abbandonato da molti mesi, GIMP era non aggiornato da 18 mesi, e quindi hanno pensato di mantenere aggiornati i file da soli. Un discorso che può andare bene, tralasciando completamente il rispetto per gli sviluppatori originali, se non si inseriscono dei malware nei file di installazione. Ora infatti i file di installazione vengono scaricati dal loro downloader che provvede anche a scaricare crapware – programmi spazzatura – e malware, tra cui WSE_Taplika.

Stessa sorte che è toccata anche a GIMP, software per la grafica freeware tra i più famosi. SourceForce ha cambiato addirittura il file per l’installazione, inserendo direttamente la propria firma software, come è possibile vedere qua sotto nell’immagine.

Un’altra vittima è stato Notepad++, editor di testo tra i più completi ed utilizzati, che ha visto come per GIMP e Firefox i suoi installer sostituiti con una versione contenente crapware, al fine di far guadagnare SourceForge tramite gli ads inseriti successivamente nei sistemi operativi presi di mira. Gli sviluppatori di Notepad++ hanno quindi ritirato il 14 giugno scorso il loro software dal sito di hosting: se trovate Notepad++ su SourceForge è una versione non autorizzata e probabilmente anche con malware integrato.

Morale della favola, non utilizzate più SourceForge o, se lo utilizzate, fate molta attenzione ai programmi dell’elenco sopra che potrebbero contenere software malevolo o software invadente.