В Arch Linux обнаружили поддельные пакеты, которые выдавали себя за популярные инструменты yay и paru, а при установке запускали вредоносный код с правами root. Атакующие сохранили настоящие компоненты программ, добавив опасные команды, чтобы пользователи не заметили подмены.
Кампанию обнаружили 13 октября в Arch User Repository (AUR), пользовательском каталоге пакетов для Arch Linux и производных дистрибутивов. Злоумышленник под ником marchos1as массово публиковал программы с названиями, похожими на известные утилиты. В отличие от официальных репозиториев, AUR позволяет участникам сообщества самостоятельно размещать сценарии сборки программ.
Главными приманками стали yay и paru, упрощающие установку программ из AUR. Например, поддельный пакет yyay практически повторял настоящий yay. Сопровождающий AUR Андреас Райхель (Andreas Reichel) выяснил, что злоумышленник сохранил оригинальный адрес проекта и архив исходного кода, но добавил вредоносный установочный сценарий.
При установке дополнительный сценарий загружал удалённый shell-скрипт и запускал его с правами root, предоставляя постороннему коду максимальные системные привилегии. Для доставки вредоноса использовали ссылку Wayback Machine, ведущую к репозиторию hellscripter/install-scripts на российской платформе GitFlic.
Подозрительные пакеты заметили участники сообщества Arch Linux. Разработчик Эмилиано Гандини Оутеда (Emiliano Gandini Outeda) также выявил угрозу с помощью собственного инструмента TrustSight. Администраторы AUR заблокировали учётную запись marchos1as и удалили вредоносные программы. Число пострадавших пользователей неизвестно.
Инфраструктура атаки напоминает кампанию DirtyBlanket, которую ранее исследовала SafeDep. В сентябре через девять поддельных пакетов npm распространяли червя для Linux. Вредонос устанавливал троян CHAOS под видом системной службы шрифтов, использовал SSH-ключи для проникновения на другие машины и внедрял загрузчик в пакеты AUR.
В обеих кампаниях фигурируют hellscripter/install-scripts и Wayback Machine, но инфраструктура различается. В случае DirtyBlanket код размещался на Codeberg, а в новой атаке использовали GitFlic. Исследователи пока не подтвердили, что за операциями стоит одна группировка, поэтому приписывать поддельным пакетам все возможности червя преждевременно.
Проблемы с безопасностью AUR возникали и раньше. В июне злоумышленники заразили сотни пакетов, распространяя похититель данных с возможностями руткита. В июле разработчики временно ограничили передачу заброшенных пакетов новым сопровождающим из-за массовых захватов.
Пользователям, установившим подозрительные пакеты, рекомендуют считать систему скомпрометированной, сменить учётные данные и переустановить ОС из доверенного образа. Перед установкой программ из AUR необходимо проверять точное название пакета, сопровождающего, содержимое PKGBUILD и установочных сценариев. Ранее похожую подмену уже применяли для распространения CHAOS RAT.
