O projeto Arch Linux desativou temporariamente a adoção de pacotes no Arch User Repository (AUR) após uma onda de tomadas maliciosas de pacotes já existentes.
A decisão foi anunciada na lista de e-mails da distribuição pelo colaborador Robin Candau, que informou que a medida é provisória até que uma solução seja encontrada.
“Devido ao atual aumento de adoções maliciosas de pacotes e de commits subsequentes feitos via AUR, a adoção de pacotes está desativada no momento enquanto lidamos com a situação”, disse Candau.
“Enviaremos uma atualização assim que for possível.
Enquanto isso, sintam-se à vontade para relatar eventos de adoção suspeitos ou commits que ainda não tenham sido tratados e mantenham-se atentos.”
A Independent Federated Intelligence Network (IFIN) realizou uma análise técnica do malware e informou que a campanha começou em 29 de julho com o pacote openconnect-sso.
Segundo a IFIN, a campanha apresenta várias semelhanças com a ofensiva anterior, incluindo o uso da rede Tor na fase inicial de preparação.
Em junho, uma campanha separada atingiu o AUR por meio de mais de 400 pacotes, distribuindo um rootkit para Linux e malware infostealer para usuários desavisados.
No ataque mais recente, os pesquisadores identificaram uma infecção em duas etapas.
A primeira atua como loader, enquanto a segunda é um payload para Linux x86_64 descrito como malware de roubo de dados com recursos de acesso remoto, ou RAT, e capacidades de worm via SSH.
A análise também mostrou que o loader da primeira fase evita a detecção ao verificar a presença de depuradores, sandbox, máquinas virtuais e ambientes de CI/CD antes de instalar serviços systemd e tarefas cron para garantir persistência.
Em seguida, ele baixa e executa um cliente Tor disfarçado de dbus-daemon para recuperar o payload da segunda etapa em um servidor .onion.
A segunda fase é um infostealer escrito em Rust que mira credenciais de navegador, carteiras de criptomoedas, dados de gerenciadores de senhas, segredos na nuvem e de desenvolvedores, chaves de API de serviços de IA, chaves SSH e tokens de plataformas de mensagens.
O malware também permite ao atacante executar comandos remotamente por meio de um canal Tor criptografado e pode se espalhar lateralmente usando chaves SSH roubadas para copiar e executar a si mesmo em outros sistemas.
Um usuário do Reddit que acompanha a campanha afirma que ela já se expandiu para mais de 200 pacotes do AUR, seja por meio de contas de mantenedores comprometidas, seja pela adoção de pacotes órfãos.
Segundo o mesmo pesquisador, a campanha atingiu pacotes do AUR bastante populares, como boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin e pgadmin4-server.
O status comprometido desses pacotes ainda não foi confirmado de forma independente e, até a publicação desta reportagem, uma lista completa com os 200 pacotes do AUR considerados maliciosos não havia sido divulgada.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...