Поддельные пакеты для Arch Linux раздавали вредонос с правами root

Пользовательский репозиторий Arch Linux (AUR) снова стал площадкой для вредоносной кампании. 13 октября в нём обнаружили пакеты, загруженные под учётной записью «marchos1as» и мимикрировавшие под два популярных инструмента — yay и paru.

AUR — это поддерживаемый сообществом индекс пакетов для Arch Linux и производных дистрибутивов. В нём хранятся сборочные скрипты (PKGBUILD) для стороннего и проприетарного ПО, а также бета-версии и старые релизы, которых уже нет в официальных каналах. Инструменты yay и paru, известные как AUR-хелперы, упрощают получение и установку пакетов, созданных пользователями.

Легитимный код плюс вредоносный скрипт

Тревогу поднял тред в рассылке Arch Linux с характерным названием «hundreds of aur packages were mass uploaded with malware». За считанные минуты участники сообщества подтвердили: пакеты содержали настоящий исходный код вместе с вредоносным установочным скриптом, который запускал удалённый shell-скрипт с правами root.

«Пакет выдаёт себя за простую переупаковку легитимного хелпера yay — тот же upstream-адрес, тот же архив с исходниками, — но имя yyay и вредоносный install-скриптлет выдают троянизированную подделку, рассчитанную на то, чтобы слиться с настоящим пакетом», — предупредил сопровождающий AUR Андреас Райхель. Другой мейнтейнер, Эмилиано Гандини Оутеда, перечислил часть вредоносных пакетов, сработавших на его системе по правилам его открытого инструмента TrustSight.

Команда AUR заблокировала учётную запись marchos1as и удалила вредоносные пакеты. По словам Райхеля, полезная нагрузка подгружалась через ссылку на Wayback Machine, которая вела на личный репозиторий (hellscripter/install-scripts) на российском хостинге GitFlic.

Возможная связь с npm-червём

Недавний отчёт компании SafeDep описывал npm-кампанию под названием «DirtyBlanket», которая подтягивала код из репозитория hellscripter/install-scripts на Codeberg. Исследователи нашли Linux-червя, разворачивавшего троян удалённого доступа CHAOS под видом шрифтового сервиса и внедрявшего загрузчик в AUR-пакеты. Рекомендация OSV по той же активности упоминает тот же адрес Wayback Machine и домен GitFlic.

Несмотря на эти совпадения, подтверждения связи между двумя операциями пока нет.

Это уже не первая атака на AUR за год: в июне там нашли 400 пакетов с вредоносом, крадущим учётные данные, и возможностями руткита, а в июле Arch временно отключила функцию адопции пакетов. Пользователям, успевшим скачать подозрительные пакеты, рекомендуют считать свои системы скомпрометированными и немедленно принять меры.

Источник: Bleeping Computer