Arch Linux zažívá turbulentní období s velkým útokem zaměřeným na jeho Arch User Repository (AUR). Více než 400 balíčků bylo napadeno, aby do nich vložil rootkit a program pro krádež dat. Toto upozornění slouží jako připomínka toho, že i důvěryhodné ekosystémy s otevřeným zdrojovým kódem mohou mít zranitelnosti.
AUR je komunitní repozitář, kde uživatelé sdílejí neoficiální balíčky. Je užitečný pro rozšiřování Arch Linuxu, ale kvůli svému otevřenému systému zůstává zranitelný vůči škodlivé manipulaci. Nedávno kampaň vložila kompromitující kód do několika balíčků prostřednictvím aktualizací provedených podvodníkem, který se vydával za legitimního správce.
Rootkit a zloděj dat se rozšířily po celém AUR.
Stala se sofistikovaná infekce. Více než 400 balíčků mělo upravené skripty pro sestavení, PKGBUILD, tak, aby obsahovaly příkaz pro stahování malwaru prostřednictvím npm. Po instalaci balíčku tento malware s názvem atomic-lockfile, usadí se bez varování.
Studie nezávislého výzkumníka Whanos odhalila v tomto malwaru dvojí hrozbu. Kombinuje v sobě zloděje přihlašovacích údajů – nechvalně známého infozrádce – a rootkit založený na technologii eBPF, určený pro nenápadnou kontrolu na úrovni jádra. Tato kombinace cílí především na vývojářské počítače a sestavovací prostředí.
Jasné cílení vývojářů a jejich kvalifikací
Malware je navržen tak, aby kradl cenná tajná data. Prohledává prohlížeče, zachycuje soubory cookie, odcizuje SSH klíče a krade přihlašovací údaje pro GitHub, Slack, Discord a další aplikace od Electronu. Stručně řečeno, prohledává pokusy o přihlášení, protokoly shellu, přístupové tokeny a dokonce i VPN nástroje.
Pro správce systémů, kteří si rádi udržují kontrolu nad svými systémy, je to velká rána. Tato data jsou základem zabezpečení v moderních linuxových infrastrukturách. Útok zneužívá důvěru v legitimního, ale zosobněného správce k šíření tohoto malwaru.
Důsledky pro komunitu Arch Linuxu a oficiální repozitář
Naštěstí oficiální repozitáře Archu (core, extra, multilib) nebyly zasaženy. Útok se zaměřil výhradně na AUR, což do jisté míry snižuje potenciál dalšího šíření. Toto rozlišení také zdůrazňuje potřebu ostražitosti ohledně komunitních zdrojů.
Správci AUR reagovali rychle identifikací a odstraněním škodlivých commitů. Také zablokovali podvodné účty. Práce tím nekončí. Každý nově vydaný balíček musí být monitorován a analyzován, protože tento typ útoku může udeřit znovu.
Jak zkontrolovat zabezpečení systému po útoku?
Skript dostupný na GitHubu dokáže detekovat instalaci malwaru atomic-lockfile. Analyzuje seznam nainstalovaných balíčků a označuje jakékoli známky kompromitace. Je také vhodné ručně zkontrolovat e-mailové seznamy AUR, zda neobsahují dotčené balíčky.
V takových situacích je nejlepší podniknout preventivní opatření: při instalaci neznámého balíčku si prověřte skripty PKGBUILD, vyhněte se příliš rychlému udělování root oprávnění a sledujte upozornění komunity. Je to jako promazat motor před jeho rozebráním.
Cena důvěry v komunitní depozitáře
AUR se spoléhá na dobrovolné zapojení uživatelů. To sice podporuje bohatší zásobu dostupných paketů, ale otevírá dveře útokům s cílem falšovat identitu. Není to poprvé, co AUR zažil tento typ incidentu. Předchozí útok použil malware s názvem Chaos RAT. Tento útok má bezprecedentní rozsah.
Pro nadšence Linuxu a systémové administrátory to slouží jako připomínka nutnosti neustálé ostražitosti a osvědčených bezpečnostních postupů. Je nezbytné mít vždy na paměti, že Zadarmo neznamená nedbaléBýt svobodný někdy také znamená být opatrný před krásnými sliby.