قبل أيام ، تم اكتشاف برمجيات خبيثة في مستودع توزيعة Arch Linux الشهيرة، وتحديدًا في مستودع مستخدمي Arch ( AUR) . هذا ليس بالأمر الجديد؛ فقد شهدنا سابقًا هجمات من قبل مجرمين إلكترونيين على خوادم تستضيف توزيعات Linux وحزم البرامج، حيث قاموا بتعديلها ببرمجيات خبيثة أو ثغرات أمنية. بل إنهم قاموا بتغيير قيم التحقق من سلامة النظام (checksums) لمنع المستخدمين من إدراك أنهم يقومون بتثبيت برامج غير آمنة على أجهزتهم.
حسنًا، هذه المرة حدث ذلك في مستودعات AUR، لذا من المحتمل أن يكون هذا الكود الخبيث قد أصاب بعض المستخدمين الذين يستخدمون مدير الحزم هذا في توزيعاتهم، والذين تحتوي توزيعاتهم على هذا الكود الخبيث . كان ينبغي التحقق من الحزم قبل تثبيتها، لأنه على الرغم من سهولة تجميع وتثبيت الحزم من الكود المصدري في AUR، إلا أن هذا لا يعني أنه يجب علينا الوثوق بهذا الكود المصدري. لذلك، يجب على جميع المستخدمين اتخاذ بعض الاحتياطات قبل التثبيت، خاصةً إذا كانوا يعملون كمسؤولي أنظمة لخادم أو نظام بالغ الأهمية.
في الواقع، يحذر موقع AUR نفسه من أن استخدام المحتوى يقع على مسؤولية المستخدم الشخصية. ويؤكد اكتشاف هذه البرمجية الخبيثة هذه النقطة. في هذه الحالة، تم تعديل برنامج Acroread في 7 يوليو. هذه الحزمة المهجورة، التي تفتقر إلى مسؤول صيانة، تم تعديلها بواسطة مستخدم يُدعى xeactor، حيث أضاف أمر curl لتنزيل شفرة برمجية تلقائيًا من موقع Pastebin. ثم أطلق هذا الأمر سلسلة أخرى من الأوامر التي بدورها أنشأت وحدة systemd لتنفيذ سلسلة أخرى من الأوامر.
ويبدو أن حزمتين أخريين من مستودع AUR قد عُدّلتا بنفس الطريقة لأغراض خبيثة. في الوقت الحالي، قام مسؤولو المستودع بإزالة الحزم المُعدّلة وحذف حساب المستخدم الذي قام بذلك، لذا يبدو أن بقية الحزم ستكون آمنة في الوقت الراهن. علاوة على ذلك، ولراحة المتضررين ، لم يتسبب الكود الخبيث المُضمّن في أي ضرر جسيم للأجهزة المتضررة؛ بل اقتصرت محاولته (نعم، لأن خطأً في أحد البرامج النصية حال دون حدوث ضرر أكبر) على تحميل معلومات معينة من نظام الضحية.