Кампания, засечена на 13 октомври, използва фалшиви имена на популярни инструменти за управление на пакети, за да изпълнява злонамерени скриптове с права на root. Разследващите откриват и възможни връзки с кампания срещу npm, но засега няма потвърждение, че операциите имат общ извършител.
Потребители на Arch Linux бяха предупредени за зловредни пакети, качени в Arch User Repository (AUR) – широко използвано хранилище за софтуер, поддържано от общността. Пакетите имитират два популярни помощни инструмента – yay и paru, които улесняват търсенето, изтеглянето и инсталирането на потребителски пакети.
Кампанията е открита на 13 октомври. Според публикуваните данни потребител с име marchos1as е качил пакети с подвеждащи имена, наподобяващи легитимните инструменти. След сигнал в пощенския списък на Arch Linux членове на общността бързо установяват, че пакетите съдържат легитимен код, комбиниран със злонамерен инсталационен скрипт.
Екипът на AUR е блокирал акаунта и е премахнал опасните пакети от хранилището. Това обаче не гарантира защита на системите, на които те вече са били инсталирани.
Легитимен код прикрива злонамерен инсталационен скрипт
Атаката използва техника за имитация на познат софтуер, известна като typosquatting. Нападателят избира име, което прилича на името на легитимен пакет и може да бъде сбъркано при търсене или инсталиране.
Според предупреждение на поддържащия AUR Андреас Райхел пакетът yyay използва същия адрес към оригиналния проект и същия архив с изходния код като легитимния yay. Разликата се крие в името и добавения злонамерен инсталационен скрипт, който превръща иначе познатия пакет в троянска версия.
Скриптът стартира отдалечен shell скрипт с права на root. Това е особено опасно, защото подобни права позволяват промени в системата, инсталиране на допълнителен софтуер и достъп до ресурси, които обикновен потребител не може да управлява.
Един от поддържащите проекта, Емилиано Гандини Утеда, съобщава и за пакети, засечени от правилата на TrustSight – инструмент с отворен код за сигурност на приложенията.
Случаят показва защо проверката само на изходния код или на адреса на оригиналния проект не е достатъчна. При пакети, които използват скриптове за инсталиране, трябва да се преглеждат и действията, изпълнявани по време на инсталацията, включително изтеглянето и стартирането на външен код.
AUR отново е мишена на злонамерени кампании
AUR предоставя пакетни описания и скриптове за изграждане на софтуер, включително инструменти на трети страни, собственически приложения, тестови версии и по-стари издания, които не се разпространяват през официалните канали на Arch Linux.
Този модел осигурява гъвкавост, но означава, че потребителите трябва да преценяват надеждността на пакетите и техните поддържащи лица. За разлика от централизирано контролирано хранилище, съдържанието в AUR се поддържа от общността и може да бъде използвано за разпространение на злонамерени промени.
През юни друга кампания засегна над 400 пакета в Arch Linux, чрез които е разпространяван зловреден софтуер за кражба на идентификационни данни с възможности на руткит. През юли нова вълна от злонамерени пакети накара Arch временно да изключи възможността за поемане на поддръжката на пакети.
Повтарящите се случаи подчертават риска от атаки по веригата на доставки на софтуер. Компрометирането на пакет или на акаунт на негов поддържащ може да изложи на риск множество потребители, без нападателят да трябва да атакува всяка система поотделно.
Възможна връзка с кампанията DirtyBlanket
Разследващите откриват сходства между кампанията в AUR и операция срещу npm, описана от компанията за сигурност на приложенията SafeDep под името DirtyBlanket.
Според анализа на SafeDep npm пакетите са изтегляли код от хранилище с име hellscripter/install-scripts, публикувано в Codeberg. Изследователите са установили Linux червей, който разпространява троянски кон за отдалечен достъп CHAOS, прикрит като услуга за шрифтове, и внедрява зареждащ компонент в AUR пакети.
В кампанията срещу Arch Linux полезният товар е бил изтеглян чрез адрес в Wayback Machine, който препращал към хранилище със същото име – hellscripter/install-scripts, този път разположено в руската услуга GitFlic. Съветът за сигурност на OSV за дейността DirtyBlanket също описва същия адрес в Wayback Machine и домейна на GitFlic.
Тези съвпадения дават основание двете кампании да бъдат разглеждани като потенциално свързани. Към момента обаче няма потвърждение, че зад тях стои един и същ извършител или че операциите са част от обща кампания. Общата инфраструктура може да бъде следа за връзка, но сама по себе си не е достатъчно доказателство за атрибуция.
Какво трябва да направят потребителите на Arch Linux?
Потребителите, които са инсталирали подозрителните пакети, трябва да приемат, че системите им може да са компрометирани, и да предприемат незабавни мерки за реакция.
- Проверете дали са инсталирани пакети с имена, имитиращи yay или paru, и сравнете имената им с официалните записи в AUR.
- Ако подозрителен пакет е бил изпълнен с права на root, не разчитайте единствено на деинсталирането му. Злонамереният скрипт може вече да е направил промени или да е инсталирал допълнителен код.
- Прегледайте системните журнали и наличните данни за инсталации, стартиране на скриптове и неочаквани връзки към външни адреси.
- От чисто и надеждно устройство сменете паролите и отнемете активните сесии за акаунти, до които компрометираната система може да е имала достъп. При съмнение за кражба на ключове или токени ги оттеглете и издайте наново.
- За системи, които обработват чувствителни данни или имат административен достъп до други ресурси, обмислете преинсталиране от проверен източник и възстановяване от надеждно резервно копие. Преди повторното въвеждане в експлоатация проверете конфигурацията и сменете засегнатите идентификационни данни.
За в бъдеще е препоръчително да се проверяват имената и поддържащите лица на AUR пакетите, както и съдържанието на PKGBUILD файловете и инсталационните скриптове. Особено внимание изискват команди, които изтеглят и изпълняват отдалечен код, както и инсталации, изискващи повишени привилегии.
Основният извод е, че доверието в името на даден пакет или в наличието му в обществено хранилище не е достатъчна гаранция за сигурност. При злонамерени пакети реалният риск често се крие в инсталационната логика и допълнителния код, който се изпълнява след изтеглянето.
