Arch Linux отключил передачу «осиротевших» пакетов в AUR из-за атак

Команда DevOps дистрибутива Arch Linux объявила о том, что в пользовательском репозитории AUR (Arch User Repository) отключена возможность усыновления «осиротевших» пакетов — тех, что остались без сопровождающего. Причиной названы «текущий наплыв вредоносных усыновлений пакетов и последующих коммитов через AUR».

Что происходит

Краткий анализ вредоносного кода, добавленного в длинный список пакетов в ходе этой волны атак, опубликовал Майкл Таггарт. По его данным, полезная нагрузка представляет собой троян удалённого доступа (RAT): он получает команды через сеть TOR и пытается выгрузить широкий спектр пользовательских данных.

AUR по своей природе уязвим для подобных сценариев: это репозиторий, наполняемый самими пользователями, а сборочные скрипты выполняются на машинах тех, кто устанавливает пакеты. Стоит захватить популярный или заброшенный пакет — и вредоносный код попадёт на системы доверчивых пользователей при первом же обновлении.

Не первая попытка

Нынешние меры — продолжение борьбы, которая тянется уже не первый месяц. В июне проект приостанавливал регистрацию новых учётных записей. Тогда это стало ответом на кампанию, в рамках которой один или несколько злоумышленников создавали свежие аккаунты, усыновляли бесхозные пакеты и выкатывали к ним вредоносные обновления, устанавливавшие малварь на системы пользователей.

Регистрацию вновь открыли 13 июля, добавив некоторые ограничения на создание новых учётных записей. Однако, как сухо отмечается, эти меры оказались «незначительными и, по всей видимости, неэффективными» — атаки возобновились, и команде пришлось перекрывать уже сам механизм усыновления пакетов.

Пока передача осиротевших пакетов остаётся отключённой, пользователям AUR стоит с особой осторожностью относиться к обновлениям, особенно к пакетам, недавно сменившим сопровождающего.

Источник: LWN.net