Вредоносные пакеты AUR маскировались под помощники yay и paru

Вредоносные пакеты разместил пользователь AUR с именем marchos1as. AUR, или Arch User Repository, — поддерживаемый сообществом каталог для Arch Linux и производных дистрибутивов. В нём хранятся сценарии сборки стороннего и проприетарного ПО, а также бета-версий и старых выпусков программ, которых уже нет в официальных каналах дистрибутива.

Названия подделок имитировали yay и paru. Эти инструменты, известные как AUR-помощники, упрощают поиск и установку программ из пользовательского каталога. О загрузках сообщили в теме списка рассылки Arch Linux о массовой публикации вредоносных пакетов в AUR. Участники сообщества быстро обнаружили, что в сборках использовался настоящий код проектов, дополненный вредоносным установочным сценарием.

Сценарий загружал из сети и запускал оболочечный скрипт с правами root. Сопровождающий AUR Андреас Райхель предупредил, что один из пакетов выдавал себя за перепаковку yay: в нём использовались тот же адрес исходного проекта и тот же архив с исходным кодом. Подмену выдавали название yyay и вредоносный установочный сценарий.

По словам Райхеля, полезная нагрузка скачивалась по адресу Wayback Machine, который вёл к личному репозиторию hellscripter/install-scripts на российском хостинге GitFlic. Другой сопровождающий, Эмилиано Гандини Оутеда, перечислил несколько вредоносных пакетов, обнаруженных на его системе по правилам инструмента анализа безопасности приложений TrustSight.

Команда AUR заблокировала учётную запись marchos1as и удалила вредоносные пакеты из каталога. Пользователям, которые успели скачать подозрительные сборки, рекомендовали считать свои системы скомпрометированными и немедленно принять меры для устранения последствий.

Другие атаки на AUR и связь с DirtyBlanket

Каталог уже становился целью вредоносных кампаний. В июне атака затронула 400 пакетов: они распространяли вредоносное ПО для кражи учётных данных с возможностями руткита. В июле другая кампания привела к временному отключению возможности принимать пакеты в Arch Linux.

В новой кампании обнаружили сходство с активностью DirtyBlanket, описанной компанией SafeDep. Кампания в npm загружала код из репозитория hellscripter/install-scripts на Codeberg. Исследователи нашли червя для Linux, который устанавливал троян удалённого доступа CHAOS под видом службы шрифтов и внедрял загрузчик в пакеты AUR.

В уведомлении OSV об активности DirtyBlanket также упоминаются тот же адрес Wayback Machine и домен GitFlic. Однако подтверждений связи между кампаниями нет.