L’Arch User Repository (AUR), un pilastro della comunità Arch Linux, sta attraversando un periodo difficile. Sono stati rilevati oltre 1.500 pacchetti compromessi, che diffondono malware tra gli utenti. Di fronte a questa piaga, Arch Linux ha scelto di sospendere temporaneamente le registrazioni sull’AUR.
La misura è drastica, ma necessaria. Ha lo scopo di contenere l’infezione mentre è in corso una pulizia approfondita. Il repository della community rimane accessibile, ma non è possibile creare un account durante questa operazione.
Arch Linux AUR: un’ondata di pacchetti dannosi, fino a 1.500 identificati
Inizialmente, il numero di pacchetti infetti era stimato intorno a 400. Ma la situazione è progressivamente peggiorata. In pochi giorni, il numero di pacchetti dannosi ha superato i 1.500. Alcuni ricercatori ipotizzano addirittura che quasi 1.900 pacchetti siano stati modificati a loro insaputa. Questo rappresenta uno degli incidenti di sicurezza più estesi mai osservati sull’AUR.
Il nocciolo del problema? All’interno di questi pacchetti si nascondono un rootkit eBPF e degli infostealer. Questo malware prende di mira gli utenti sottraendo loro i dati. L’infezione colpisce individui, aziende e ambienti CI/CD che utilizzano Arch Linux.
Un deposito iperattivo e difficile da controllare
AUR è un vero e proprio crogiolo: più di 141.000 utenti registrato interagire con più 107.000 pacchiOgni settimana vengono aggiunti o aggiornati centinaia di pacchetti.
In media, Ogni settimana arrivano 270 nuovi pacchi.Nel frattempo, il contenuto di quasi 5.500 pacchetti è in continua evoluzione. Questa intensa attività è un potente motore della flessibilità di Arch Linux. Tuttavia, complica anche il monitoraggio, creando una vulnerabilità agli attacchi.
Pacchetti orfani: un difetto del modello open source
Un altro fattore amplifica il rischio. Più di 13.000 pacchi sono rimasti orfaniIn altre parole, i loro autori li hanno abbandonati, lasciando la porta aperta a nuovi manutentori. Arch Linux permette quindi che questi pacchetti vengano riutilizzati da altri membri della comunità.
Questo sistema, sintomo dello spirito open-source, è stato venduto a caro prezzo. Gli aggressori hanno sfruttato questa libertà per riprendere il controllo dei pacchetti orfani e iniettare aggiornamenti dannosi. Un colpo basso che indebolisce l’intera catena.
Ispezione PKGBUILD: la chiave per limitare i danni
Uno dei consigli essenziali è quello di esaminare attentamente i file PKGBUILD prima di qualsiasi installazione o aggiornamento da AUR. È in questi script che si infiltra il codice dannoso, sotto le spoglie di un aggiornamento legittimo.
In particolare, è importante prestare attenzione quando:
Un pacchetto cambia improvvisamente manutentoreoppure quando un aggiornamento arriva all’improvviso per un pacchetto che in precedenza era stabile.
Verso una revisione completa della sicurezza dell’AUR?
Questa crisi rivela una debolezza intrinseca nell’attuale modello AUR. Consentire a un nuovo manutentore di adottare liberamente un pacchetto senza controlli rigorosi favorisce inevitabilmente questo tipo di abuso. Arch Linux sta ora valutando soluzioni per impedire che questo scenario si ripeta.
La sospensione temporanea delle registrazioni è un primo passo, drastico ma necessario. Ricostruire la fiducia in un archivio così vasto e dinamico non sarà possibile senza sacrifici temporanei.
Tenendo presente ciò, rimanere vigili e prudenti non è mai stato così importante per gli utenti di Arch Linux. La sicurezza è una maratona, non uno sprint. Come si dice in campagna: è meglio essere ben preparati che impreparati.