O projeto Arch Linux desativou temporariamente a adoção de pacotes no Arch User Repository (AUR) após uma onda de tomadas maliciosas de pacotes já existentes.
A decisão foi anunciada na lista de e-mails da distribuição pelo colaborador Robin Candau, que informou que a medida é provisória até que uma solução seja encontrada.
“Devido ao atual aumento de adoções maliciosas de pacotes e de commits subsequentes feitos via AUR, a adoção de pacotes está desativada no momento enquanto lidamos com a situação”, disse Candau.
“Enviaremos uma atualização assim que for possível.
Enquanto isso, sintam-se à vontade para relatar eventos de adoção suspeitos ou commits que ainda não tenham sido tratados e mantenham-se atentos.”
A Independent Federated Intelligence Network (IFIN) realizou uma análise técnica do malware e informou que a campanha começou em 29 de julho com o pacote openconnect-sso.
Segundo a IFIN, a campanha apresenta várias semelhanças com a ofensiva anterior, incluindo o uso da rede Tor na fase inicial de preparação.
Em junho, uma campanha separada atingiu o AUR por meio de mais de 400 pacotes, distribuindo um rootkit para Linux e malware infostealer para usuários desavisados.
No ataque mais recente, os pesquisadores identificaram uma infecção em duas etapas.
A primeira atua como loader, enquanto a segunda é um payload para Linux x86_64 descrito como malware de roubo de dados com recursos de acesso remoto, ou RAT, e capacidades de worm via SSH.
A análise também mostrou que o loader da primeira fase evita a detecção ao verificar a presença de depuradores, sandbox, máquinas virtuais e ambientes de CI/CD antes de instalar serviços systemd e tarefas cron para garantir persistência.
Em seguida, ele baixa e executa um cliente Tor disfarçado de dbus-daemon para recuperar o payload da segunda etapa em um servidor .onion.
A segunda fase é um infostealer escrito em Rust que mira credenciais de navegador, carteiras de criptomoedas, dados de gerenciadores de senhas, segredos na nuvem e de desenvolvedores, chaves de API de serviços de IA, chaves SSH e tokens de plataformas de mensagens.
O malware também permite ao atacante executar comandos remotamente por meio de um canal Tor criptografado e pode se espalhar lateralmente usando chaves SSH roubadas para copiar e executar a si mesmo em outros sistemas.
Um usuário do Reddit que acompanha a campanha afirma que ela já se expandiu para mais de 200 pacotes do AUR, seja por meio de contas de mantenedores comprometidas, seja pela adoção de pacotes órfãos.
Segundo o mesmo pesquisador, a campanha atingiu pacotes do AUR bastante populares, como boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin e pgadmin4-server.
O status comprometido desses pacotes ainda não foi confirmado de forma independente e, até a publicação desta reportagem, uma lista completa com os 200 pacotes do AUR considerados maliciosos não havia sido divulgada.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...