Arch Linux befindet sich aufgrund eines schwerwiegenden Angriffs auf sein Arch User Repository (AUR) in einer turbulenten Phase. Über 400 Pakete wurden manipuliert, um ein Rootkit und einen Datendieb einzuschleusen. Diese Warnung verdeutlicht, dass selbst vertrauenswürdige Open-Source-Ökosysteme Sicherheitslücken aufweisen können.
Das AUR ist ein Community-Repository, in dem Benutzer inoffizielle Pakete austauschen. Es eignet sich zwar zur Erweiterung von Arch Linux, ist aber aufgrund seines offenen Systems anfällig für Manipulationen. Kürzlich wurde im Rahmen einer Kampagne Schadcode in mehrere Pakete eingeschleust, indem ein Betrüger sich als legitimer Paketbetreuer ausgab und Updates durchführte.
Ein Rootkit und ein Datendieb wurden im gesamten AUR verbreitet.
Es handelte sich um eine ausgeklügelte Infektion. Die Build-Skripte von über 400 Paketen, die sogenannten PKGBUILDs, wurden so verändert, dass sie einen Befehl zum Herunterladen von Schadsoftware via npm enthielten. Nach der Installation des Pakets verbreitete sich diese Schadsoftware mit dem Namen [Name der Schadsoftware einfügen]. Atomic-Lockfilenistet sich ohne Vorwarnung ein.
Die Studie des unabhängigen Forschers Whanos hat eine doppelte Bedrohung durch diese Malware aufgedeckt. Sie kombiniert einen Credential-Stealer – jenen berüchtigten Infostealer – und ein Rootkit auf Basis der eBPF-Technologie, das für die unbemerkte Kontrolle auf Kernel-Ebene entwickelt wurde. Diese Kombination zielt primär auf Entwicklerrechner und Build-Umgebungen ab.
Gezielte Ansprache von Entwicklern und deren Qualifikationen
Die Schadsoftware ist speziell darauf ausgelegt, wertvolle Informationen zu stehlen. Sie scannt Browser, erfasst Cookies, stiehlt SSH-Schlüssel und Zugangsdaten für GitHub, Slack, Discord und andere Electron-Anwendungen. Kurz gesagt, sie überwacht Anmeldeversuche, Shell-Protokolle, Zugriffstoken und sogar VPN-Tools.
Für Systemadministratoren, die die Kontrolle über ihre Systeme behalten möchten, ist dies ein schwerer Schlag. Diese Daten bilden das Fundament der Sicherheit moderner Linux-Infrastrukturen. Der Angriff nutzt das Vertrauen in einen legitimen, aber als solcher identifizierten Systemadministrator aus, um diese Schadsoftware zu verbreiten.
Die Auswirkungen auf die Arch-Linux-Community und das offizielle Repository
Glücklicherweise blieben die offiziellen Arch-Repositories (Core, Extra, Multilib) unversehrt. Der Angriff konzentrierte sich ausschließlich auf das AUR, was das Risiko einer weiteren Verbreitung etwas verringert. Diese Tatsache unterstreicht auch die Notwendigkeit, Community-Quellen mit besonderer Vorsicht zu begegnen.
Die AUR-Betreuer reagierten umgehend, indem sie die schädlichen Commits identifizierten und entfernten. Außerdem sperrten sie die betrügerischen Konten. Die Arbeit ist damit aber noch nicht abgeschlossen. Jedes neu veröffentlichte Paket muss überwacht und analysiert werden, da solche Angriffe jederzeit wieder auftreten können.
Wie kann man die Sicherheit seines Systems nach einem Angriff überprüfen?
Ein auf GitHub verfügbares Skript kann die Installation der Malware atomic-lockfile erkennen. Es analysiert die Liste der installierten Pakete, um Anzeichen einer Kompromittierung zu erkennen. Es wird außerdem empfohlen, die Mailinglisten des AUR manuell auf betroffene Pakete zu überprüfen.
In solchen Situationen ist es ratsam, vorbeugende Maßnahmen zu ergreifen: Untersuchen Sie die PKGBUILD-Skripte bei der Installation unbekannter Pakete, vermeiden Sie es, Root-Rechte zu schnell zu erteilen, und achten Sie auf Warnmeldungen der Community. Es ist wie das Ölen eines Motors vor der Demontage.
Der Preis des Vertrauens in Gemeinschaftsbanken
Das AUR basiert auf der freiwilligen Teilnahme der Nutzer. Dies führt zwar zu einem größeren Pool an verfügbaren Paketen, öffnet aber gleichzeitig Tür und Tor für Identitätsdiebstahl-Angriffe. Es ist nicht das erste Mal, dass das AUR von einem solchen Vorfall betroffen ist. Bei einem früheren Angriff wurde die Schadsoftware Chaos RAT eingesetzt. Dieser Angriff ist jedoch in seinem Ausmaß beispiellos.
Für Linux-Enthusiasten und Systemadministratoren dient es als Erinnerung an die Notwendigkeit ständiger Wachsamkeit und guter Sicherheitspraktiken. Es ist unerlässlich, stets zu bedenken, dass Kostenlos bedeutet nicht schlampigFrei zu sein bedeutet manchmal auch, schönen Versprechungen mit Vorsicht zu begegnen.
