Google Ads sperrt Open-Source-Projekt RACE wegen angeblicher Malware
Der Entwickler von RACE, einem Rust-Terminal-Multiplexer auf unendlicher Leinwand, erhielt eine Kontosperrung, nachdem automatisierte Scanner seine Anzeigenkampagne als Malware einstuften. Notarisierung und Safe BrowsingChecks waren zuvor sauber verlaufen.
Obwohl die verteilten Release-Binaries die native Notarisierung der Betriebssysteme sowie unabhaengige Antimalware-Pruefungen bestanden haben, markierten automatisierte Sicherheitspolicy-Crawler das Entwicklerkonto mit den Einstufungen kompromittierte Website und boesartiges Binary. Der Vorfall verdeutlicht die Diskrepanz zwischen Entwicklerwerkzeugen, die fortgeschrittene POSIX-Prozessorchestrierung nutzen, und automatisierten Sicherheitsheuristiken.
RACE unterscheidet sich von konventionellen rasterbasierten Terminal-Multiplexern wie tmux durch eine Infinite-Canvas-Architektur, in der Shell-Oberflaechen beliebig positioniert, skaliert und gruppiert werden koennen. Architektonisch entkoppelt der Multiplexer die Befehlsausfuehrung vom Lebenszyklus des Fensterlayouts und stellt so sicher, dass interaktive Kind-Shells Neustarts der Desktop-Anwendung oder Abstuerze der Benutzeroberflaeche ueberdauern. Unter macOS erfordert dies die Verwaltung von Pseudoterminal-Paaren und Hintergrund-Worker-Prozessen entweder ueber einen internen PTY-Host-Daemon oder ein externes dtach-Backend.
Generiert mit Gemini auf Grundlage der Informationen im urspruenglichen Blogbeitrag
Automatisierte Sicherheitsscanner bewerten die Sicherheit von Binaries und Web-Endpunkten, indem sie Dateisignaturen, statische Zeichenketten und dynamische Muster der Prozessausfuehrung analysieren. Im Umfeld typischer Desktop-Anwendungen weist eine ausfuehrbare Datei, die fortwaehrend verwaiste Hintergrund-Worker erzeugt, die beliebige Kommandozeileneingaben entgegennehmen koennen, Verhaltenssignaturen mit persistenten Hintertueren und Remote-Access-Trojanern auf.
Als Kaminski Kampagnen einrichtete, die auf die Produktdokumentations-Domain und die Binary-Downloads verwiesen, markierte die Kampagnenplattform die Zielinfrastruktur wegen Verstossen im Zusammenhang mit Schadsoftware. Eine manuelle Ueberpruefung durch den Autor ergab saubere Berichte bei Malware-Analysediensten von Drittanbietern sowie bei den eigenen Diagnosetools von Google. Die Google Search Console und der Verifizierungsdienst Google Safe Browsing meldeten null kompromittierte Assets auf dem Domain-Stammverzeichnis und der Download-Infrastruktur.
// Diagnose-Nutzdaten, die im Rahmen der automatisierten Einspruchspruefung eingereicht wurden { "target_binary": "RACE.dmg", "notarization_status": "Apple Notarized Developer ID", "google_safe_browsing": "CLEAN", "search_console_security": "NO_ISSUES_DETECTED", "virustotal_positives": 0, "process_lifecycle": "documented_pty_multiplexing" } Versuche, die Sperrung zu beheben, fuehrten auf zirkulaere Abhaengigkeiten innerhalb der automatisierten Durchsetzungsschleife der Plattform. Das Einreichen von Diagnoseberichten ueber die standardmaessigen Einspruchsschnittstellen resultierte in deterministischen Ablehnungen, ohne den konkreten Binary-Hash, die Regeluebereinstimmung oder das Netzwerkartefakt offenzulegen, das die Policy-Markierung ausgeloest hatte. Die Suche nach Konto-Support wurde durch Voraussetzungen blockiert, wonach die zugrunde liegende Sicherheitssperrung zunaechst haette behoben sein muessen.
Um zu isolieren, ob die Persistenz des Runtime-Daemons die Markierung verursacht hatte, veraenderte der Entwickler in Version 1.0.39 die Lebenszyklus-Routinen zum Abbau und fuehrte explizite Benutzerabfragen sowie Process-Cleanup-Hooks ein, die verwaiste Multiplexing-Threads beim Loeschen des Elternprozesses beenden sollten. Eine spaetere Ergaenzung des Beitrags stellt klar, dass die Policy-Sperre letztlich erst aufgehoben wurde, nachdem eine Eskalation durch die Community den operativen Deadlock an die Engineering-Teams herangetragen hatte:
Durch die scheinbare Magie von Hacker News wurde mein Google Ads Konto wiederhergestellt. Immer noch gibt es keine Erklaerung, was die Sperrung ausgeloest hat, aber danke an alle, die dazu beigetragen haben, dass der Fall sichtbar wurde (und/oder behoben wurde).
Der Fall veranschaulicht die systemische Spannung zwischen Sicherheitsautomatisierung und nicht standardkonformer Systemprogrammierung. Da Plattformbetreiber zunehmend auf Black-Box-Verhaltensmodelle zur Inspektion von Softwareoekosystemen setzen, sehen sich Entwickler, die legitime native Utilities bauen, welche Prozesse verwalten, Speicherbelegungen manipulieren oder an Low-Level-Kernel-Abstraktionen andocken, einer wachsenden Reibung bei Distributions- und kommerzieller Infrastruktur gegenueber. Engineering-Teams, die entwicklerorientierte Binaries vertreiben, muessen Fehlalarme antizipieren, indem sie Prozessstrukturen dokumentieren und persistente Worker-Agenten von den eigentlichen UI-Binaries trennen.
Kaminski erklaerte in seinem Artikel, dass er seinen Kampf auf allen moeglichen Wegen fortsetzen werde, notfalls auch vor dem EU-Gericht.
Praesentiert von: Eric Metaj, Product Marketing Manager, Software Delivery bei Datadog, und Rohin Chandra, Product Manager, CI/CD Optimization bei Datadog
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Despite distributed release binaries passing native operating system notarization and independent antimalware inspections, security policy crawlers flagged the developer account under compromised site and malicious binary designations. The incident highlights the disconnect between developer tools utilising advanced POSIX process orchestration and automated safety heuristics.
RACE differs from conventional grid-based terminal multiplexers such as tmux by implementing an infinite canvas architecture where shell surfaces can be arbitrarily positioned, resized, and grouped. Architecturally, the multiplexer detaches command execution from window layout lifecycles, guaranteeing that child interactive shells persist across desktop application restarts or UI crashes. Under macOS, this requires managing pseudoterminal pairs and background worker processes through either an internal PTY host daemon or an external dtach backend.
Generate with Gemini based on information provided in the original blog post
Automated security scanners evaluate binary safety and web endpoints by analysing file signatures, static strings, and dynamic process execution patterns. In typical desktop application spaces, an executable that persistently forks orphaned background workers capable of receiving arbitrary command-line input shares behavioural signatures with persistent backdoors and remote access trojans.
When Kaminski provisioned campaigns pointing to the product documentation domain and binary downloads, the campaign platform flagged the destination infrastructure for malicious software violations. A manual verification sweep by the author revealed clean reports across third-party malware analyzers as well as the Google's own diagnostics tools. Google Search Console and the Google Safe Browsing verification service reported zero compromised assets across the domain root and download infrastructure.
// Diagnostic payload submitted during automated appeal review { "target_binary": "RACE.dmg", "notarization_status": "Apple Notarized Developer ID", "google_safe_browsing": "CLEAN", "search_console_security": "NO_ISSUES_DETECTED", "virustotal_positives": 0, "process_lifecycle": "documented_pty_multiplexing" } Attempts to remediate the suspension uncovered circular dependencies inside the platform's automated enforcement loop. Submitting diagnostic reports via standard appeal interfaces resulted in deterministic rejections without disclosing the specific binary hash, rule match, or network artefact triggering the policy flag. Seeking account support was blocked by prerequisites that the underlying security suspension must be resolved first.
To isolate whether runtime daemon persistence caused the flag, the developer modified the lifecycle teardown routines in version 1.0.39, introducing explicit user prompts and process cleanup hooks to terminate orphaned multiplexing threads upon parent deletion. A later edit to the post underlines that the policy suspension was ultimately rescinded only after community escalation surfaced the operational deadlock to engineering teams:
Through the apparent magic of Hacker News, my Google Ads account has been reinstated. Still no explanation of what triggered the suspension, but thank you to everyone who helped make it visible (and/or fixed).
The case illustrates the systemic tension between security automation and non-standard systems programming. As platform operators rely increasingly on black-box behavioural models to inspect software ecosystems, developers building legitimate native utilities that manage processes, manipulate memory maps, or hook low-level kernel abstractions face growing friction across distribution and commercial infrastructure. Engineering teams distributing developer-focused binaries must anticipate false positives by documenting process topologies and isolating persistent worker agents from primary UI binaries. Kaminski stated in his article that he will continue his fight on all possible paths, even in the EU Court.
Presented by: Eric Metaj - Product Marketing Manager, Software Delivery at Datadog, and Rohin Chandra - Product Manager, CI/CD Optimization at Datadog