No sé si recordáis que en 2011, la versión Nmap descargable desde el portal CNet, hubo una temporada en que venía con algún regalo de más, aparte de una de las herramientas de auditoría más populares del sector.
Ahora la cosa ha sido aún peor. Según leo en la lista de Nmap Development la versión de Nmap albergada en Sourceforge ha sido secuestrada. Hace unos días fue bastante sonado que la cuenta del proyecto GIMP para Windows en Sourceforge había sido comprometida, y que si descargabas GIMP desde ahí, te aparecería un instalador con unos cuantos Ads. Sin embargo, desde el propio Sourceforge publicaron que el proyecto llevaba 18 meses abandonado y que habían hecho un ‘take’ de la cuenta para mantener el proyecto activo, cambiando el autor original por "sf-editor1” (se supone que Sourceforge Editor1)
La verdad es que la actitud de Sourceforge de meter extras en algunos proyectos (asumo que cuando llevan tiempo abandonados) no me parece nada ético, aunque seguro que en alguna letra pequeña que aceptas al crear la cuenta o el proyecto, alguien se ha preocupado de camuflar esa cláusula, para poder hacer estas cosas.
Como digo, desde la lista de Nmap developers, el propio Fyodor cuenta que lo que ha pasado en este caso es similar y, a fecha de escritura de este post, la página de nmap de Sourceforge aparece como 0 descargas
Actualmente, los binarios que se ofrecen, no llevan instalador con sorpresas, pero la tendencia tenía pinta de ir por el mismo camino, puesto que ya se veía en la página de Sourceforge de nmap.mirror que el dueño del proyecto es sf-edito1 y sf-editor3, editores de Sourceforge ya conocidos por sus acciones en proyectos como GIMP-Win. Curiosamente, se puede ver que la fecha de la última actualización es el 11 de Abril de 2013, habiendo pasado ya más de 18 meses. En esta página se ve que esta semana lleva 495 descargas
Una vez más, recalcar el consejo de descargar el software siempre desde la web oficial de cada proyecto, o de repositorios de confianza en caso de que sea una distribución GNU/Linux. El problema viene cuando el desarrollador ha elegido Sourceforge como repositorio donde albergar el proyecto.
En el caso de Nmap, el sitio adecuado para su descarga es: https://nmap.org/download.html
[+] Correo de Fyodor en Nmap Development: http://seclists.org/nmap-dev/2015/q2/194
