Die Arch-Linux-Community ist in Alarmbereitschaft. Nach einer Welle böswilliger Übernahmen war das Projekt gezwungen, die Paketeinführung im Arch User Repository (AUR) auszusetzen..
“ Aufgrund des aktuellen Zustroms bösartiger Paketübernahmen und nachfolgender Commits über die AUR ist die Paketübernahme derzeit deaktiviert, während die Situation bearbeitet wird. „Dies ist der zweite große Angriff dieser Art innerhalb weniger Wochen.
Eine zweistufige Angriffskampagne
Im ersten Schritt wird ein Loader installiert, der prüft, ob Debugging-Tools oder virtualisierte Umgebungen vorhanden sind, um eine Erkennung zu vermeiden. Es stellt seine Beständigkeit durch die Dienste sicher systemd und Aufgaben cronlädt dann einen getarnten Tor-Client herunter, um die Hauptnutzlast von einem .onion-Server abzurufen.
In der zweiten Stufe wird ein Informationsdiebstahler (Infostealer) eingesetzt), bei der es sich um Rust-basierte Malware handelt. Es zielt auf eine Vielzahl sensibler Daten ab: Browser-Anmeldeinformationen, Kryptowährungs-Wallets, Passwort-Manager-Daten, SSH-Schlüssel und Authentifizierungstoken.
Ausgestattet mit Funktionen vom Typ RAT (Remote Access Trojan), ermöglicht es dem Angreifer, Befehle aus der Ferne auszuführen und sich mithilfe gestohlener SSH-Schlüssel auf andere Systeme auszubreiten.
Das Adoptionssystem als Angriffsvektor
Das Arch User Repository (AUR) ist eine tragende Säule der Distribution und ermöglicht der Community die gemeinsame Nutzung von Build-Skripten (PKGBUILD) für Software.
Der Betrieb basiert auf einem Vertrauensmodell : Wenn ein Betreuer ein Paket aufgibt, wird es verwaist und kann von einem anderen Benutzer übernommen werden, um seine Kontinuität sicherzustellen.
Diese Funktionalität ist zum Hauptangriffsvektor geworden. Böswillige Akteure übernehmen verwaiste, manchmal beliebte Pakete, um durch Updates stillschweigend Code einzuschleusen.
Da viele Benutzer etablierten Paketen vertrauen, bleiben diese Änderungen oft unbemerkt.
Ein Aufruf zur Wachsamkeit
Als sofortige Reaktion hat das Arch Linux DevOps-Team nicht nur die Adoptionsfunktion deaktiviert, sondern auch Aktualisierungen des AUR eingeschränkt. Das Projekt ruft zur Wachsamkeit der Community auf und fordert Benutzer auf, verdächtige Adoptionsereignisse oder Commits zu melden, die noch nicht behoben wurden.
