Arch Linuxは、Arch User Repository（AUR）を標的とした大規模な攻撃を受け、混乱期を迎えています。400以上のパッケージが乗っ取られ、ルートキットとデータ窃盗マルウェアが仕込まれました。この事例は、信頼できるオープンソースのエコシステムにも脆弱性が存在する可能性があることを改めて示しています。
AURは、ユーザーが非公式パッケージを共有するコミュニティリポジトリです。Arch Linuxの拡張に役立ちますが、オープンシステムであるため、悪意のある操作に対して脆弱なままです。最近、正規のメンテナーを装ったなりすまし犯がアップデートを行い、複数のパッケージに不正なコードを注入する攻撃が発生しました。
ルートキットとデータ窃盗マルウェアがAUR全体に拡散されました。
起きたのは巧妙な感染だった。400以上のパッケージのビルドスクリプトであるPKGBUILDが改変され、npm経由でマルウェアをダウンロードするコマンドが追加された。パッケージがインストールされると、このマルウェアは、 アトミックロックファイル予告なしに定着する。
独立系研究者Whanosによる調査では、このマルウェアに二重の脅威があることが明らかになった。それは、悪名高い認証情報窃盗犯と、 情報窃盗者 ―そして、カーネルレベルでの巧妙な制御を目的とした、eBPF技術に基づくルートキット。この組み合わせは、主に開発者のマシンやビルド環境を標的としている。
開発者とその資格を明確にターゲットにする
このマルウェアは、貴重な機密情報を盗み出すために特化して設計されています。ブラウザをスキャンし、Cookieをキャプチャし、SSHキーを抜き取り、GitHub、Slack、Discord、その他のElectronアプリケーションの認証情報を盗み出します。つまり、ログイン試行、シェルログ、アクセストークン、さらにはVPNツールまで盗み出すのです。
システムを完全に制御したいシステム管理者にとって、これは大きな痛手です。このデータは、現代のLinuxインフラストラクチャにおけるセキュリティの要となるものです。この攻撃は、正規の管理者を装った人物への信頼を悪用してマルウェアを拡散します。
Arch Linuxコミュニティと公式リポジトリへの影響
幸いなことに、公式のArchリポジトリ（core、extra、multilib）は影響を受けませんでした。攻撃はAURのみを標的としたため、さらなる拡散の可能性はいくらか軽減されました。このことは、コミュニティソースに対する警戒の必要性を改めて浮き彫りにしています。
AURの管理者は迅速に対応し、悪意のあるコミットを特定して削除しました。また、不正アカウントも停止しました。しかし、これで終わりではありません。この種の攻撃は再び発生する可能性があるため、リリースされるすべての新しいパッケージを監視・分析する必要があります。
攻撃を受けた後、システムのセキュリティを確認するにはどうすればよいでしょうか？
GitHubで公開されているスクリプトを使えば、atomic-lockfileマルウェアのインストールを検出できます。このスクリプトはインストールされているパッケージのリストを分析し、侵害の兆候があれば警告を発します。また、影響を受けるパッケージがないか、AURのメーリングリストを手動で確認することも推奨されます。
このような状況では、予防策を講じるのが最善です。見慣れないパッケージをインストールする際にはPKGBUILDスクリプトを確認し、安易にroot権限を付与しないようにし、コミュニティからの警告にも注意を払いましょう。これは、エンジンを分解する前に注油するようなものです。
地域預金口座における信頼の代償
AURはユーザーの自発的な参加に依存している。これにより利用可能なパケットのプールは豊富になるが、同時になりすまし攻撃の標的となる可能性もある。AURがこのような事態に見舞われたのは今回が初めてではない。以前の攻撃ではChaos RATと呼ばれるマルウェアが使用された。今回の攻撃は規模において前例のないものだ。
Linux愛好家やシステム管理者にとって、これは絶え間ない警戒と適切なセキュリティ対策の必要性を改めて認識させるものです。常に次のことを念頭に置いておくことが重要です。 無料だからといっていい加減なわけではない自由であるということは、時に美しい約束に警戒しなければならないことを意味する。
