Falska Arch Linux-paket kör skadlig kod med root-behörighet

Falska Arch Linux-paket som utgav sig för att vara populära verktyg för programvaruhantering dök upp i Arch User Repository (AUR), vilket ledde till en utredning inom communityn. Paketen kombinerade legitim kod med skadliga installationsskript som körde fjärrhämtad kod med root-behörighet.

Kampanjen upptäcktes den 13 oktober. Därefter tog AUR-teamet bort de skadliga paketen och stängde av det ansvariga kontot, ”marchos1as”.

Att ta bort paketen från arkivet återställer dock inte eventuella komprometteringar på datorer där användare redan hade installerat den berörda programvaran.

Angripare kopierade populära AUR-hjälpverktyg

De skadliga uppladdningarna använde namn som liknade yay och paru, två kommandoradsverktyg som förenklar installation och hantering av AUR-paket.

Metoden, som kallas typosquatting, bygger på att användare förväxlar ett snarlikt namn med ett betrott projekt. Ett av de identifierade paketen använde namnet ”yyay” för att efterlikna yay.

Dessutom hänvisade kopian till det äkta projektets ursprungliga webbplats och källkodsarkiv. Dessa legitima uppgifter bidrog till att paketet framstod som trovärdigt trots dess skadliga installationskomponent.

AUR fungerar som en communityunderhållen samling byggskript för Arch Linux och kompatibla distributioner. Till skillnad från distributionens officiella programvaruförråd innehåller det användarbidragna instruktioner för att bygga programvara från tredje part.

Installationsskript körde fjärrkod med root-behörighet

Efter att en varning publicerats på Arch Linux e-postlista undersökte medlemmar i communityn snabbt de misstänkta uppladdningarna.

De hittade äkta programvara från det ursprungliga projektet tillsammans med ett tillagt installationsskript. Under installationen körde skriptet ett fjärrbaserat skalskript med root-behörighet.

Därmed sträckte sig attacken längre än till vilseledande paketnamn. Att köra angriparkontrollerad kod som root ger den omfattande kontroll över det drabbade systemet.

En annan underhållare rapporterade att regler i säkerhetsverktyget TrustSight, som har öppen källkod, flaggade flera skadliga paket.

Samtidigt spårade utredningen vägen för hämtning av den skadliga nyttolasten via en Wayback Machine-URL. Adressen pekade på ett kodförråd med namnet ”hellscripter/install-scripts” på värdtjänsten GitFlic.

Forskare identifierar möjliga kopplingar till en npm-kampanj

Separat dokumenterade forskare nyligen en kampanj med skadlig kod i npm som kallades DirtyBlanket.

Den operationen hämtade kod från ett kodförråd med samma namn, ”hellscripter/install-scripts”, även om den rapporterade kopian fanns på värdtjänsten Codeberg.

Utredningen avslöjade en Linux-mask som installerade fjärråtkomsttrojanen CHAOS samtidigt som den utgav sig för att vara en typsnittstjänst. Dessutom injicerade masken en laddningskomponent i AUR-paket.

En säkerhetsvarning om DirtyBlanket hänvisar också till samma Wayback Machine- och GitFlic-infrastruktur som beskrivs i den senaste AUR-utredningen.

Dessa överlappningar bekräftar dock inte att kampanjerna har samma operatör. Sambandet mellan de två operationerna är fortfarande obekräftat.

Rensning av programvaruförrådet löser inte befintliga infektioner

De falska Arch Linux-paketen följer på tidigare attacker mot det communitydrivna programvaruförrådet.

I juni spred en kampanj med 400 paket skadlig kod som stal inloggningsuppgifter och hade rootkit-funktioner. En annan attack i juli fick Arch att tillfälligt inaktivera möjligheten att ta över underhållet av paket.

Även om underhållarna har tagit bort de senaste skadliga uppladdningarna bör användare som installerat de berörda paketen betrakta sina system som potentiellt komprometterade.

Det största problemet är att installationsskriptet kördes med förhöjda behörigheter. Att enbart ta bort det ursprungliga paketet kan inte fastställa om den nedladdade nyttolasten lämnade kvar ytterligare skadliga komponenter.