Злонамерен субект качи зловредни пакети в Arch User Repository (AUR), които имитират два популярни помощни инструмента – yay и paru.
AUR е широко използван индекс на пакети, поддържан от общността за Arch Linux и производните му дистрибуции, който съхранява скриптове за компилиране и изграждане (PKGBUILDs) за софтуер от трети страни, патентовани инструменти, бета версии или по-стари версии на пакети, които вече не са достъпни през официалните канали на дистрибуцията.
Хранилището наскоро стана мишена на злонамерени кампании, включително атака през юни, при която 400 пакета разпространяваха софтуер за кражба на идентификационни данни с възможности на rootkit. Друга кампания през юли накара екипа на Arch временно да преустанови възможността за осиновяване на пакети (package adoption).
Последната кампания беше засечена на 13 октомври и включваше зловредни пакети, качени от потребител с псевдоним „marchos1as“, под тайпоскуотинг имена, имитиращи инструментите от командния ред yay и paru.
Известни още като помощни инструменти за AUR (AUR helpers), те улесняват управлението на софтуер в Arch Linux чрез опростяване на извличането и инсталирането на пакети, предоставени от общността.
Дискусия в пощенския списък на Arch Linux, озаглавена „hundreds of aur packages were mass uploaded with malware“, предупреди потребителите за зловредните качвания.
В рамките на минути членове на общността потвърдиха, че пакетите съдържат легитимен оригинален код, комбиниран със зловреден инсталационен скрипт, който изпълнява отдалечен shell скрипт с root привилегии.
„Пакетът се представя като директно препакетиране на легитимния помощен инструмент 'yay' за AUR (същият първичен URL адрес, същият изходен tarball архив), но името на пакета 'yyay' и зловредният инсталационен скрипт разкриват, че това е троянизирана имитация, създадена да се слее с истинския пакет“, предупреди поддържащият AUR Андреас Райхел (Andreas Reichel).
Друг поддържащ проекта, Емилиано Гандини Отеда (Emiliano Gandini Outeda), изброи част от зловредните пакети, които са задействали предупреждение в системата му благодарение на правила в неговия инструмент с отворен код за сигурност на приложения TrustSight.
Екипът на AUR блокира профила на marchos1as и премахна зловредните пакети от хранилището.
Райхел уточнява, че зловредният код, доставян по този начин, е бил извличан чрез адрес от Wayback Machine, сочещ към лично хранилище (hellscripter/install-scripts), хоствано в руската платформа GitFlic.
Възможни връзки с npm червей
Неотдавнашен доклад на компанията за сигурност на приложения SafeDep документира npm кампания под името „DirtyBlanket“, която извлича код от хранилище 'hellscripter/install-scripts' в Codeberg.
Изследователите откриха Linux червей, който инсталира троянеца за отдалечен достъп CHAOS, маскиран като услуга за шрифтове, и паралелно инжектира зареждаща програма (loader) в пакети от AUR.
Освен това бюлетин за сигурност на OSV относно активността на „DirtyBlanket“ описва същия домейн в GitFlic и връзка към Wayback Machine.
Въпреки откритите съвпадения, към момента липсва категорично потвърждение, че двете операции са свързани.
Потребителите на Arch, които са изтеглили подозрителните пакети, следва да считат системите си за компрометирани и незабавно да предприемат действия за отстраняване на заплахата.