Falske Arch Linux-pakker som utga seg for å være populære verktøy for programvareadministrasjon, dukket opp i Arch User Repository (AUR) og utløste en undersøkelse i fellesskapet. Pakkene kombinerte legitim kode med ondsinnede installasjonsskript som kjørte eksternt hentet kode med root-rettigheter.
Kampanjen ble oppdaget 13. oktober. Deretter fjernet AUR-teamet de skadelige pakkene og utestengte den ansvarlige kontoen, «marchos1as».
Fjerningen av pakkene reverserer imidlertid ikke eventuelle kompromitteringer på maskiner der brukere allerede hadde installert den berørte programvaren.
Angripere kopierte populære AUR-hjelpeverktøy
De skadelige opplastingene brukte navn som lignet på yay og paru, to kommandolinjeverktøy som forenkler installasjon og administrasjon av AUR-pakker.
Denne metoden, kjent som typosquatting, baserer seg på at brukere forveksler et navn som ligner, med et pålitelig prosjekt. En av de identifiserte pakkene brukte navnet «yyay» for å etterligne yay.
I tillegg henviste etterligningen til det ekte prosjektets opprinnelige nettsted og kildekodearkiv. Disse legitime detaljene bidro til at pakken fremsto som troverdig, til tross for den skadelige installasjonskomponenten.
AUR fungerer som en fellesskapsvedlikeholdt samling av byggeskript for Arch Linux og kompatible distribusjoner. I motsetning til distribusjonens offisielle pakkebrønner inneholder den brukerbidratte instruksjoner for å bygge tredjepartsprogramvare.
Installasjonsskript kjørte ekstern kode med root-rettigheter
Etter at en advarsel dukket opp på Arch Linux sin e-postliste, undersøkte medlemmer av fellesskapet raskt de mistenkelige opplastingene.
De fant ekte programvare fra det opprinnelige prosjektet sammen med et ekstra installasjonsskript. Under installasjonen kjørte dette skriptet et eksternt skallskript med root-rettigheter.
Dermed gikk angrepet lenger enn bare villedende pakkenavn. Å kjøre angriperkontrollert kode som root gir den omfattende kontroll over det berørte systemet.
En annen vedlikeholder rapporterte at regler i sikkerhetsverktøyet TrustSight, som har åpen kildekode, flagget flere skadelige pakker.
Samtidig sporet undersøkelsen ruten for henting av den skadelige nyttelasten gjennom en Wayback Machine-URL. Denne adressen pekte til et kodelager med navnet «hellscripter/install-scripts» på vertstjenesten GitFlic.
Forskere identifiserer mulige forbindelser til en npm-kampanje
Separat dokumenterte forskere nylig en skadevarekampanje i npm kalt DirtyBlanket.
Denne operasjonen hentet kode fra et kodelager med samme navn, «hellscripter/install-scripts», selv om den rapporterte kopien brukte vertstjenesten Codeberg.
Undersøkelsen avdekket en Linux-orm som installerte fjernstyringstrojaneren CHAOS samtidig som den utga seg for å være en skrifttjeneste. I tillegg injiserte ormen en lastekomponent i AUR-pakker.
Et sikkerhetsvarsel om DirtyBlanket viser også til den samme Wayback Machine- og GitFlic-infrastrukturen som er beskrevet i den siste AUR-undersøkelsen.
Disse likhetene bekrefter imidlertid ikke at kampanjene har samme operatør. Forbindelsen mellom de to operasjonene er fortsatt ubekreftet.
Opprydding i pakkebrønnen løser ikke eksisterende infeksjoner
De falske Arch Linux-pakkene følger etter tidligere angrep mot den fellesskapsdrevne pakkebrønnen.
I juni spredte en kampanje som involverte 400 pakker skadevare som stjal påloggingsinformasjon og hadde rootkit-funksjoner. Et annet angrep i juli fikk Arch til å midlertidig deaktivere muligheten til å overta vedlikeholdet av pakker.
Selv om vedlikeholderne fjernet de siste skadelige opplastingene, bør brukere som installerte de berørte pakkene, behandle systemene sine som potensielt kompromitterte.
Den viktigste bekymringen er at installasjonsskriptet ble kjørt med forhøyede rettigheter. Å bare slette den opprinnelige pakken kan ikke fastslå om den nedlastede nyttelasten etterlot seg ytterligere skadelige komponenter.
0 responses to “Falske Arch Linux-pakker kjører skadevare med root-rettigheter”