Az Arch Linux AUR-ja egy olyan malware incidenssel küzd, amely felhasználók által hozzájárult csomagokat érint, és rosszindulatú commitokat tartalmaz, amelyek az npm-alapú payloadok letöltésére próbálnak kísérletet tenni a telepítés során.

A problémát először az Arch Linux aur-general levelezőlistáján jelentették, ahol a közreműködők egy dedikált szálon követik az érintett csomagokat. A takarítási munkálatok folyamatban vannak, a rosszindulatú commitokat eltávolítják, és a kapcsolódó fiókokat letiltják.

Fontos megjegyezni, hogy ez az incidens csak az Arch User Repository-t érinti, nem az Arch Linux hivatalos csomagtárolóit.

Ebben az esetben gyanús módosítások kerültek az AUR csomagokba, amelyek

npm

parancsokat adtak hozzá, amelyek nem kapcsolódtak az eredeti szoftverhez. A közösségi jelentések szerint a rosszindulatú logika a telepítés során aktiválódik, gyakran olyan npm csomagokkal, mint az

atomic-lockfile

.

Egy világos példa az

alvr

AUR csomag, ahol egy gyanús frissítés npm-hez kapcsolódó viselkedést adott hozzá olyan szoftverhez, amely általában nem használ

npm

-t. További jelentések hasonló változtatásokat emelnek ki más csomagokban, és az Arch közreműködők arra kérik a felhasználókat, hogy jelentsenek további rosszindulatú commitokat a központi szálon.

Ennek fényében az Arch felhasználóknak nem szabad frissíteniük az AUR csomagokat átnézés nélkül. Ellenőrizzék a

PKGBUILD

diffeket, nézzék meg az új

.install

fájlokat, és legyenek óvatosak, ha a frissítések

npm

parancsokat vagy a szoftverhez nem kapcsolódó függőségeket vezetnek be.

A felhasználóknak, akik nemrégiben frissítették az érintett AUR csomagokat, át kell nézniük a csomag történetét, meg kell vizsgálniuk a végrehajtott gyanús telepítési szkripteket, és bármilyen váratlan npm-alapú telepítési viselkedést lehetséges kompromittálásként kell kezelniük.

Az Arch közösség még mindig értékeli az incidens teljes terjedelmét, és az érintett csomagok listája változhat. Jelenleg több AUR csomag kapott rosszindulatú commitokat, a közreműködők eltávolítják őket, és a felhasználókat emlékeztetik, hogy nézzék át az AUR csomagokat a telepítés előtt.

További részletekért látogasson el az Arch AUR Jelentési Szálára.