Arch Linux przeżywa obecnie okres zawirowań, w związku z poważnym atakiem na repozytorium użytkowników Arch (AUR). Ponad 400 pakietów zostało przejętych w celu wszczepienia rootkita i programu wykradającego dane. Ten alert przypomina, że nawet zaufane ekosystemy open source mogą mieć luki w zabezpieczeniach.
AUR to społecznościowe repozytorium, w którym użytkownicy udostępniają nieoficjalne pakiety. Przydatne do rozszerzania Arch Linux, pozostaje podatne na złośliwe manipulacje ze względu na swoją otwartość. Niedawno, w wyniku kampanii, do kilku pakietów wprowadzono szkodliwy kod poprzez aktualizacje przeprowadzone przez oszusta podszywającego się pod legalnego administratora.
W AUR rozprzestrzenił się rootkit i złodziej danych.
Doszło do wyrafinowanej infekcji. Skrypty kompilacji ponad 400 pakietów, PKGBUILD, zostały zmodyfikowane w celu dodania polecenia pobierania złośliwego oprogramowania za pomocą npm. Po zainstalowaniu pakietu złośliwe oprogramowanie, nazwane plik blokady atomowej, pojawia się bez ostrzeżenia.
Badanie przeprowadzone przez niezależną firmę badawczą Whanos ujawniło podwójne zagrożenie w tym złośliwym oprogramowaniu. Łączy ono w sobie kradzież danych uwierzytelniających – niesławny złodziej informacji – oraz rootkit oparty na technologii eBPF, zaprojektowany do ukrytej kontroli na poziomie jądra. Ta kombinacja jest przeznaczona głównie dla komputerów deweloperskich i środowisk kompilacji.
Przejrzyste określenie programistów i ich uprawnień
To złośliwe oprogramowanie jest stworzone specjalnie po to, by kraść cenne sekrety. Skanuje przeglądarki, przechwytuje pliki cookie, wykrada klucze SSH i kradnie dane uwierzytelniające do GitHub, Slack, Discord i innych aplikacji Electron. Krótko mówiąc, szpieguje próby logowania, logi powłoki, tokeny dostępu, a nawet narzędzia VPN.
Dla administratorów systemów, którzy chcą zachować kontrolę nad swoimi systemami, jest to poważny cios. Dane te stanowią fundament bezpieczeństwa w nowoczesnych infrastrukturach Linux. Atak wykorzystuje zaufanie pokładane w legalnym, ale podszywającym się pod administratora, aby rozprzestrzeniać to złośliwe oprogramowanie.
Konsekwencje dla społeczności Arch Linux i oficjalnego repozytorium
Na szczęście oficjalne repozytoria Arch (core, extra, multilib) nie zostały dotknięte. Atak skupił się wyłącznie na AUR, co w pewnym stopniu minimalizuje ryzyko dalszego rozprzestrzeniania się. To rozróżnienie podkreśla również potrzebę zachowania czujności w odniesieniu do źródeł społecznościowych.
Opiekunowie AUR zareagowali szybko, identyfikując i usuwając złośliwe commity. Zablokowali również konta oszustów. Na tym praca się nie kończy. Każdy nowy pakiet musi być monitorowany i analizowany, ponieważ tego typu ataki mogą się powtórzyć.
Jak sprawdzić bezpieczeństwo systemu po ataku?
Skrypt dostępny na GitHubie może wykryć instalację złośliwego oprogramowania atomic-lockfile. Analizuje on listę zainstalowanych pakietów, aby oznaczyć wszelkie oznaki naruszenia bezpieczeństwa. Zaleca się również ręczne sprawdzenie list mailingowych AUR pod kątem zagrożonych pakietów.
W takich sytuacjach najlepiej podjąć środki zapobiegawcze: sprawdzać skrypty PKGBUILD podczas instalacji nieznanego pakietu, unikać zbyt szybkiego nadawania uprawnień roota i śledzić alerty społeczności. To jak oliwienie silnika przed jego rozmontowaniem.
Cena zaufania do depozytów społecznościowych
AUR opiera się na dobrowolnym zaangażowaniu użytkowników. To sprzyja bogatszej puli dostępnych pakietów, ale otwiera drogę do ataków polegających na podszywaniu się pod inne osoby. To nie pierwszy raz, kiedy AUR padł ofiarą tego typu incydentu. Wcześniejszy atak wykorzystywał złośliwe oprogramowanie o nazwie Chaos RAT. Ten jest bezprecedensowy pod względem skali.
Dla entuzjastów Linuksa i administratorów systemów stanowi to przypomnienie o konieczności ciągłej czujności i dobrych praktyk bezpieczeństwa. Należy zawsze pamiętać, że Wolne nie oznacza niechlujneBycie wolnym czasami oznacza także ostrożność wobec pięknych obietnic.