Ponad 400 pakietów w Arch Linux AUR skompromitowanych. Rootkit i infostealer zbierają dane programistów

W repozytorium Arch User Repository (AUR), kluczowym źródle oprogramowania dla użytkowników Arch Linux, wykryto poważny incydent związany z łańcuchem dostaw. Ponad 400 pakietów zostało zmodyfikowanych w taki sposób, aby podczas instalacji pobierały i uruchamiały złośliwe oprogramowanie – rootkita wykorzystującego technologię eBPF oraz infostealera kradnącego dane uwierzytelniające. Atak jest wymierzony przede wszystkim w programistów i środowiska deweloperskie, gdzie przechwycone tokeny i klucze mogą otworzyć drogę do dalszych naruszeń.

Jak doszło do kompromitacji pakietów?

Z ustaleń społeczności Independent Federated Intelligence Network (IFIN) wynika, że osoba atakująca przejęła kontrolę nad pakietami w AUR, podszywając się pod zaufanego wydawcę. Część pakietów została wcześniej porzucona przez dotychczasowych opiekunów (tzw. orphaned packages), co umożliwiło atakującemu przejęcie nad nimi kontroli bez wzbudzania podejrzeń. Jak opisuje w swoim raporcie firma Sonatype, w zmodyfikowanych plikach PKGBUILD dodano skrypt uruchamiany po instalacji, który wywołuje menedżera pakietów npm, aby pobrać i zainstalować pakiet o nazwie atomic-lockfile.

„The modified packages add a post-install script that invokes npm and installs atomic-lockfile during package installation” – podaje Sonatype w swoim raporcie.

Sam pakiet atomic-lockfile jest złośliwym komponentem, który po uruchomieniu wdraża na systemie plik ELF o nazwie deps. Niezależny badacz Whanos, cytowany przez serwis BleepingComputer, określił ten plik jako „credential stealer with optional root-only eBPF rootkit capabilities”.

Co kradnie malware i na czym polega zagrożenie?

Analiza przeprowadzona przez badaczy ujawnia szeroki zakres celów infostealdera. Złośliwe oprogramowanie poszukuje przede wszystkim danych wrażliwych typowych dla stacji roboczych programistów: poświadczeń do repozytoriów GitHub, artefaktów SSH, tokenów do HashiCorp Vault, baz danych ciasteczek przeglądarek, a także danych z aplikacji komunikacyjnych takich jak Slack, Microsoft Teams, Discord i Telegram. Ponadto atakujący są w stanie przechwycić informacje z Dockera, Podmana oraz historię powłoki.

Dodatkowy stopień zagrożenia stanowi komponent rootkita. Technologia eBPF (extended Berkeley Packet Filter) pozwala na uruchamianie kodu w jądrze systemu, co daje złośliwemu oprogramowaniu niemal nieograniczoną kontrolę – w tym możliwość ukrywania procesów, plików i połączeń sieciowych przed standardowymi narzędziami monitorującymi. Sonatype potwierdza, że plik binarny zawiera odwołania do rootkita eBPF, który „could hide processes, files, and network interfaces”.

Kto jest narażony i jak reagować?

Ze względu na specyfikę AUR, atak dotyczy głównie użytkowników dystrybucji Arch Linux oraz pochodnych (np. Manjaro), którzy korzystają z tego repozytorium do pobierania oprogramowania. Ponieważ AUR nie jest przestrzenią weryfikowaną w takim stopniu jak oficjalne repozytoria Archa, każde pobranie pakietu spoza głównego kanału niesie ze sobą ryzyko.

Opiekunowie Arch Linux pracują nad usunięciem wszystkich złośliwych commitów i zablokowaniem kont odpowiedzialnych za atak. W komunikacie do społeczności Jonathan Grotelüschen, jeden z głównych opiekunów, zaapelował o zgłaszanie podejrzanych pakietów. W międzyczasie użytkownicy powinni:

• Sprawdzić, czy na ich systemie nie występuje pakiet atomic-lockfile. Na stronie Whanosa dostępna jest lista wskaźników kompromitacji (IoC) oraz skrypt weryfikujący.
• Pilnie zmienić wszystkie hasła i tokeny dostępowe, które mogły być przechowywane na skompromitowanym systemie.
• W przypadku potwierdzenia infekcji, rozważyć ponowną instalację systemu od zera, ponieważ rootkit eBPF może przetrwać standardowe zabiegi czyszczące.
• Korzystać wyłącznie z zaufanych, często aktualizowanych pakietów, najlepiej z oficjalnego repozytorium Arch Linux.

Atak na AUR to kolejny przypadek, gdy zaufanie do otwartego repozytorium zostało wykorzystane przeciwko jego użytkownikom. Dla osób zarządzających środowiskami deweloperskimi to sygnał, że weryfikacja pochodzenia oprogramowania i stosowanie zasady minimalnych uprawnień to nie tylko dobre praktyki, ale konieczność.