Gefälschte Arch-Linux-Pakete führen Schadsoftware mit Root-Rechten aus

Gefälschte Arch-Linux-Pakete, die sich als beliebte Tools zur Softwareverwaltung ausgaben, tauchten im Arch User Repository (AUR) auf und lösten eine Untersuchung innerhalb der Community aus. Die Pakete kombinierten legitimen Code mit schädlichen Installationsskripten, die aus der Ferne abgerufenen Code mit Root-Rechten ausführten.

Die Kampagne wurde am 13. Oktober entdeckt. Anschließend entfernte das AUR-Team die schädlichen Pakete und sperrte das verantwortliche Konto „marchos1as“.

Das Entfernen der Pakete macht jedoch mögliche Kompromittierungen auf Rechnern, auf denen Nutzer die betroffene Software bereits installiert hatten, nicht rückgängig.

Angreifer kopierten beliebte AUR-Hilfsprogramme

Die schädlichen Uploads verwendeten Namen, die yay und paru ähnelten. Dabei handelt es sich um zwei Kommandozeilenprogramme, die die Installation und Verwaltung von AUR-Paketen vereinfachen.

Diese als Typosquatting bekannte Methode beruht darauf, dass Nutzer einen ähnlich aussehenden Namen mit einem vertrauenswürdigen Projekt verwechseln. Eines der identifizierten Pakete verwendete den Namen „yyay“, um yay nachzuahmen.

Darüber hinaus verwies die Fälschung auf die ursprüngliche Website und das Quellcodearchiv des echten Projekts. Diese legitimen Angaben ließen das Paket trotz seiner schädlichen Installationskomponente glaubwürdig erscheinen.

AUR ist eine von der Community gepflegte Sammlung von Build-Skripten für Arch Linux und kompatible Distributionen. Im Gegensatz zu den offiziellen Paketquellen der Distribution enthält es von Nutzern bereitgestellte Anweisungen zum Erstellen von Software von Drittanbietern.

Installationsskripte führten Remote-Code mit Root-Rechten aus

Nachdem auf der Arch-Linux-Mailingliste eine Warnung erschienen war, untersuchten Mitglieder der Community die verdächtigen Uploads umgehend.

Sie fanden echte Software aus dem ursprünglichen Projekt sowie ein zusätzliches Installationsskript. Während der Installation führte dieses Skript ein entferntes Shell-Skript mit Root-Rechten aus.

Damit ging der Angriff über irreführende Paketnamen hinaus. Die Ausführung von angreiferkontrolliertem Code als Root ermöglicht diesem eine weitreichende Kontrolle über das betroffene System.

Ein weiterer Maintainer berichtete, dass Regeln des quelloffenen Sicherheitstools TrustSight mehrere schädliche Pakete erkannt hatten.

Unterdessen verfolgte die Untersuchung den Abrufweg der Schadsoftware über eine Wayback-Machine-URL zurück. Diese Adresse verwies auf ein Repository namens „hellscripter/install-scripts“ beim Hostingdienst GitFlic.

Forscher identifizieren mögliche Überschneidungen mit einer npm-Kampagne

Unabhängig davon dokumentierten Forscher kürzlich eine Malware-Kampagne im npm-Ökosystem namens DirtyBlanket.

Diese Operation rief Code aus einem Repository mit demselben Namen, „hellscripter/install-scripts“, ab. Die gemeldete Kopie wurde allerdings beim Hostingdienst Codeberg gehostet.

Die Untersuchung deckte einen Linux-Wurm auf, der den Fernzugriffstrojaner CHAOS installierte und sich dabei als Schriftartendienst ausgab. Darüber hinaus schleuste der Wurm einen Loader in AUR-Pakete ein.

Eine Sicherheitswarnung zu DirtyBlanket verweist ebenfalls auf dieselbe Wayback-Machine- und GitFlic-Infrastruktur, die in der jüngsten AUR-Untersuchung beschrieben wird.

Diese Überschneidungen bestätigen jedoch nicht, dass hinter den Kampagnen derselbe Betreiber steckt. Ein Zusammenhang zwischen den beiden Operationen ist weiterhin nicht bestätigt.

Bereinigung des Paketarchivs beseitigt bestehende Infektionen nicht

Die gefälschten Arch-Linux-Pakete folgen auf frühere Angriffe gegen das von der Community verwaltete Paketarchiv.

Im Juni verbreitete eine Kampagne mit 400 Paketen Schadsoftware, die Zugangsdaten stahl und über Rootkit-Funktionen verfügte. Ein weiterer Angriff im Juli veranlasste Arch dazu, die Übernahme der Paketpflege vorübergehend zu deaktivieren.

Obwohl die Maintainer die jüngsten schädlichen Uploads entfernt haben, sollten Nutzer, die betroffene Pakete installiert haben, ihre Systeme als potenziell kompromittiert betrachten.

Das größte Risiko liegt in der Ausführung des Installationsskripts mit erhöhten Berechtigungen. Das bloße Löschen des ursprünglichen Pakets reicht nicht aus, um festzustellen, ob die heruntergeladene Schadsoftware weitere schädliche Komponenten auf dem System hinterlassen hat.