Pacchetti Arch Linux falsi che inviano malware con privilegi di root

Un attore di minacce ha caricato pacchetti dannosi nell’Arch User Repository (AUR) che impersonava due popolari strumenti di supporto, yay e paru. AUR è un indice di pacchetti gestito dalla comunità e ampiamente utilizzato per Arch Linux e distribuzioni derivate che ospita script di creazione di pacchetti (PKGBUILD) per strumenti di terze parti e proprietari, beta o versioni di pacchetti precedenti che non sono più disponibili tramite i canali di distribuzione Linux ufficiali

. Il repository è recentemente diventato un bersaglio di campagne dannose, tra cui un attacco a giugno in cui 400 pacchetti hanno distribuito malware per il furto di credenziali con funzionalità rootkit. Un’altra campagna a luglio ha spinto Arch a disabilitare temporaneamente l’adozione dei pacchetti. L’ultima campagna è stata rilevata il 13 ottobre e riguardava pacchetti dannosi caricati da un utente di nome «marchos1as» con nomi typosquattati che imitavano gli strumenti da riga di comando yay e paru

. Conosciuti anche come aiutanti AUR, questi strumenti semplificano la gestione del software su Arch Linux semplificando il recupero e l’installazione di pacchetti forniti dall’utente. Un thread sulla mailing list di Arch Linux denominato «centinaia di pacchetti aur sono stati caricati in massa con malware» ha avvisato gli utenti dei caricamenti dannosi

In pochi minuti, i membri della comunità hanno confermato che i pacchetti contenevano codice legittimo a monte combinato con uno script di installazione dannoso che eseguiva uno script di shell remoto con privilegi di root.

"Il pacchetto si presenta come un semplice riconfezionamento del legittimo 'yay' AUR helper (stesso URL a monte, stessa sorgente tarball), ma il nome del pacchetto 'yyay' e lo scriptlet di installazione dannoso rivelano che si tratta di una rappresentazione trojanizzata progettata per fondersi con il

pacchetto reale ", ha avvertito il manutentore di AUR Andreas Reichel. Un altro manutentore, Emiliano Gandini Outeda, ha elencato alcuni pacchetti dannosi che hanno attivato un avviso sul suo sistema utilizzando le regole del suo strumento di sicurezza delle applicazioni open source, TrustSight. Il team AUR ha bannato l’account appartenente a marchos1as e rimosso i pacchetti dannosi dal repository

. Reichel afferma che il payload consegnato in questo modo è stato recuperato tramite un URL della Wayback Machine che puntava a un repository personale (hellscripter/install-scripts) ospitato sul servizio di hosting russo GitFlic. Potenziali collegamenti a npm worm Un recente rapporto della società di sicurezza delle applicazioni SafeDep ha documentato una campagna npm soprannominata «DirtyBlanket» che recuperava codice da un repository «hellscripter/install-scripts» su Codeberg

. I ricercatori hanno trovato un worm Linux che ha distribuito il trojan di accesso remoto CHAOS mascherato da servizio di font, che ha anche iniettato un caricatore nei pacchetti AUR. Inoltre, un advisory OSV sull’attività «DirtyBlanket» descrive la stessa Wayback Machine e dominio GitFlic. Nonostante i collegamenti, al momento non vi è alcuna conferma che le due operazioni siano correlate

. Gli utenti Arch che hanno scaricato i pacchetti sospetti dovrebbero presumere che i loro sistemi siano stati compromessi e intraprendere immediatamente azioni correttive.