Arch Linux: Снова беспорядки в репозитории AUR, новая волна вредоносного кода

Раньше было лучше

Во второй раз за два месяца команде дистрибутива Arch Linux пришлось вмешаться в работу репозитория AUR (Arch User Repository). Причиной стала новая волна захватов существующих пакетов с целью внедрения в них вредоносного кода.

Решение было первоначально объявлено 30 июля участником проекта Робином Кандау. В своем сообщении он отметил, что это временная мера до тех пор, пока не будет найдено постоянное решение.

О чем идет речь? О деактивации функции «усыновления» (adoption), чтобы предотвратить возможность любому человеку «усыновлять» более или менее заброшенный пакет из репозитория AUR и снова вносить вклад в его код. Этот процесс был использован злоумышленниками в июне, что привело к внедрению вредоносного кода в более чем 1600 пакетов AUR.

• Atomic Arch: 1600 зараженных пакетов в репозитории AUR Arch Linux

Меньший масштаб, но идентичная опасность

Основная проблема вредоносной кампании в июне заключалась в большом количестве затронутых пакетов. Даже при быстрых действиях было невозможно гарантировать, что никто не получил зараженные версии через обновления. В этом и заключался весь интерес для злоумышленников, и это делает атаки на цепочки поставок столь эффективными.

В новой атаке, как отмечает, в частности, Bleeping Computer, масштаб кажется значительно меньшим, однако точное количество скомпрометированных пакетов пока неизвестно. В официальных списках упоминается около тридцати скомпрометированных пакетов, в то время как на Reddit говорится о более чем 200 пакетах.

Согласно техническому анализу, опубликованному Independent Federated Intelligence Network (IFIN), кампания началась 29 июля с пакета «openconnect-sso». Сходства с июньской кампанией очевидны, включая использование сети Tor для размещения инфраструктуры и применение предварительно скомпилированного и обфусцированного ELF-файла.