Falske Arch Linux-pakker, der udgav sig for at være populære værktøjer til softwareadministration, dukkede op i Arch User Repository (AUR) og udløste en undersøgelse i fællesskabet. Pakkerne kombinerede legitim kode med ondsindede installationsscripts, der kørte fjernhentet kode med root-rettigheder.
Kampagnen blev opdaget den 13. oktober. Efterfølgende fjernede AUR-teamet de ondsindede pakker og udelukkede den ansvarlige konto, “marchos1as”.
Fjernelsen af pakkerne ophæver dog ikke eventuelle kompromitteringer på maskiner, hvor brugere allerede havde installeret den berørte software.
Angribere kopierede populære AUR-hjælpeværktøjer
De ondsindede uploads brugte navne, der lignede yay og paru, to kommandolinjeværktøjer, som gør det lettere at installere og administrere AUR-pakker.
Denne metode, kendt som typosquatting, bygger på, at brugere forveksler et lignende navn med et pålideligt projekt. En af de identificerede pakker brugte navnet “yyay” til at efterligne yay.
Desuden henviste efterligningen til det ægte projekts oprindelige hjemmeside og kildekodearkiv. Disse legitime oplysninger bidrog til, at pakken fremstod troværdig på trods af dens ondsindede installationskomponent.
AUR fungerer som en fællesskabsvedligeholdt samling af build-scripts til Arch Linux og kompatible distributioner. I modsætning til distributionens officielle pakkearkiver indeholder det brugerbidragede instruktioner til at bygge tredjepartssoftware.
Installationsscripts kørte fjernkode med root-rettigheder
Efter at en advarsel dukkede op på Arch Linux’ mailingliste, undersøgte medlemmer af fællesskabet hurtigt de mistænkelige uploads.
De fandt ægte software fra det oprindelige projekt sammen med et tilføjet installationsscript. Under installationen kørte dette script et eksternt shell-script med root-rettigheder.
Dermed gik angrebet videre end blot vildledende pakkenavne. Når angriberkontrolleret kode køres som root, får den omfattende kontrol over det berørte system.
En anden vedligeholder rapporterede, at regler i open source-sikkerhedsværktøjet TrustSight markerede flere ondsindede pakker.
Samtidig sporede undersøgelsen ruten til hentning af den skadelige payload gennem en Wayback Machine-URL. Denne adresse pegede på et repository ved navn “hellscripter/install-scripts” på hostingtjenesten GitFlic.
Forskere identificerer mulige forbindelser til en npm-kampagne
Separat dokumenterede forskere for nylig en malwarekampagne i npm kaldet DirtyBlanket.
Denne operation hentede kode fra et repository med samme navn, “hellscripter/install-scripts”, selvom den rapporterede kopi benyttede hostingtjenesten Codeberg.
Undersøgelsen afslørede en Linux-orm, der installerede fjernadgangstrojaneren CHAOS, mens den udgav sig for at være en skrifttypetjeneste. Derudover injicerede ormen en loader i AUR-pakker.
En sikkerhedsmeddelelse om DirtyBlanket henviser også til den samme Wayback Machine- og GitFlic-infrastruktur, som beskrives i den seneste AUR-undersøgelse.
Disse sammenfald bekræfter dog ikke, at kampagnerne har samme operatør. Forbindelsen mellem de to operationer er fortsat ubekræftet.
Oprydning i pakkearkivet løser ikke eksisterende infektioner
De falske Arch Linux-pakker følger efter tidligere angreb mod det fællesskabsdrevne pakkearkiv.
I juni spredte en kampagne med 400 pakker malware, der stjal loginoplysninger og havde rootkit-funktioner. Et andet angreb i juli fik Arch til midlertidigt at deaktivere muligheden for at overtage vedligeholdelsen af pakker.
Selvom vedligeholderne fjernede de seneste ondsindede uploads, bør brugere, der installerede de berørte pakker, betragte deres systemer som potentielt kompromitterede.
Den væsentligste bekymring er installationsscriptets kørsel med forhøjede rettigheder. Blot at slette den oprindelige pakke kan ikke fastslå, om den downloadede payload har efterladt yderligere ondsindede komponenter.
0 svar til “Falske Arch Linux-pakker kører malware med root-rettigheder”