- Masveida drošības pārkāpums ir apdraudējis vairāk nekā 400 pakotnes Arch lietotāju repozitorijā (AUR).
- Ļaunprātīgā kampaņa koda izpildei izmantoja commit spoofing un neatļautas npm/bun atkarības.
- Oficiālās Arch Linux repozitoriji paliek pilnībā neskarti, jo problēma attiecas tikai uz lietotāju uzturētu saturu.
- Sistēmu administratori aktīvi attīra ļaunprātīgus izmaiņu ierakstus un bloķē uzbrukumā iesaistītos kontus.
Šīs ir bijušas diezgan haotiskas dienas ikvienam, kas izmanto Arch Linux, jo parādījās ziņas par masveida ļaunprogrammatūras kampaņu , kurai izdevās iefiltrēties Arch lietotāju repozitorijā (AUR). Lai gan šis kopienas vadītais centrs ir iecienīts plašās programmatūras izvēles dēļ, kas nav atrodama galvenajos repozitorijos, tas nesen ir kļuvis par medību vietu ļaunprātīgiem dalībniekiem, kuri vēlas izmantot neko nenojaušo lietotāju uzticību.
Lai jau no paša sākuma būtu pilnīgi skaidrs, šis drošības incidents ir stingri ierobežots ar AUR un neietekmē oficiālās pakotnes, kuras tieši pārvalda Arch Linux komanda. Tomēr, tā kā tik daudzi lietotāji paļaujas uz AUR palīgiem, lai automatizētu programmatūras instalēšanu, lokalizētas sistēmas kompromitēšanas iespējamība noteikti ir likusi kopienai nedaudz aizsardzības pozīcijā.
400 pakotnes kompromisa mehānika
Saskaņā ar tehniskajiem ziņojumiem un adresātu sarakstu diskusijām, šī koordinētā uzbrukuma laikā tika mainītas vairāk nekā 400 atsevišķas pakotnes. Vainīgie nebija vērsti tikai pret nišas rīkiem; viņi uzbruka arī tādiem augsta līmeņa ierakstiem kā exodus-wallet-bin, alvr un anythingllm-appimage , nodrošinot, ka viņu ļaunprātīgajam kodam ir vislielākā iespējamā iespēja sasniegt plašu sistēmu klāstu.
Viens no satraucošākajiem šīs kampaņas aspektiem bija tas, kā uzbrucējiem izdevās viltot uzturētāju identitātes savā izmaiņu vēsturē. Atdarinot likumīgu līdzstrādnieku vārdus un e-pasta adreses, viņi lika ļaunprātīgajiem atjauninājumiem izskatīties pēc standarta apkopes uzdevumiem, padarot nejaušam novērotājam daudz grūtāk pamanīt, ka kaut kas nav kārtībā, neiedziļinoties kodā.
Tehniski runājot, ļaunprogrammatūra bieži darbojās, pievienojot āķus, kas izsauca tādus rīkus kā npm vai bun, lai lejupielādētu neatļautas atkarības, piemēram, atomic-lockfile . Atsevišķos gadījumos, piemēram, ar nodejs-elm pakotni, PKGBUILD tika modificēts, lai izpildītu skriptus tieši /tmp direktorijā, kas būtībā atvēra aizmugurējās durvis ārēja koda izpildei instalēšanas procesa laikā.
Kā kopiena cīnās pretī
Tiklīdz aur-general adresātu sarakstā tika parādīti brīdinājuma signāli, Arch Linux administratori nekavējoties rīkojās, lai iztīrītu ļaunprātīgos izmaiņu ierakstus un neatgriezeniski bloķētu ar pārkāpumu saistītos kontus. Šī ātrā reaģēšana ir bijusi izšķiroša, lai novērstu infekcijas tālāku izplatīšanos, lai gan tik liela pakotņu apjoma tīrīšanas process saprotams, ka ir nedaudz darbietilpīgs.
Arī citas ekosistēmas distribūcijas, piemēram, CachyOS, ir bijušas proaktīvas, izlaižot skriptus, lai palīdzētu lietotājiem pārbaudīt, vai viņu lokālās sistēmas ir skārušas kādas no kompromitētajām pakotnēm. Lai gan šie skeneri ir neticami noderīgi ātrai pārbaudei, tie nav nevainojami, un lietotāji joprojām tiek brīdināti, ka tīra skenēšana nenozīmē, ka viņiem jāpārtrauc būt piesardzīgiem.
Tiem, kas bieži iegūst programmatūru no kopienas krātuves, pašreizējais ieteikums ir apturēt visus AUR atjauninājumus, līdz situācija ir pilnībā stabilizējusies. Ja jums absolūti nepieciešams kaut ko instalēt, ir svarīgi manuāli pārbaudīt PKGBUILD atšķirību, lai pārliecinātos, ka instalēšanas receptē nav ielavījušās dīvainas npm komandas vai negaidītas ārējas lejupielādes.
Visa šī epizode kalpo kā skaļš modinātāja zvans lietotājiem, kuri ir pārāk pieraduši pie saviem AUR palīgiem. Tādu rīku kā paru vai yay izmantošana ir ērta , taču tiem nevajadzētu aizstāt ieradumu faktiski izlasīt skriptus pirms Enter taustiņa nospiešanas, jo AUR izkliedētā uzticamības modeļa drošībai ir nepieciešama neliela manuāla uzraudzība.
Šis nesenais ļaunprātīgo darbību vilnis izceļ pastāvīgo cīņu starp kopienas programmatūras krātuvju atvērtību un nepieciešamību pēc stingriem drošības protokoliem. Lai gan uzturētāju ātrā rīcība ir neitralizējusi tiešos draudus un nodrošinājusi krātuves integritāti, šis notikums kalpo kā skarbs atgādinājums, ka lietotāji ir pēdējā aizsardzības līnija pašrocīgi veidotā operētājsistēmā. Informētības saglabāšana un pamata digitālās higiēnas ievērošana joprojām ir vienīgais veids, kā baudīt Arch Linux elastību, nekļūstot par šāda veida koordinētu piegādes ķēdes uzbrukumu upuriem.
