For et par dage siden blev der opdaget malware i det populære Arch Linux-distributionslager, nærmere bestemt Arch User Repository ( AUR) . Dette er ikke noget nyt; vi har set cyberkriminelle angribe servere, der hoster Linux-distributioner og softwarepakker, før og ændre dem med ondsindet kode eller bagdøre. De ændrede endda checksummerne for at forhindre brugerne i at indse, at de installerede noget usikkert på deres systemer.
Denne gang skete det i AUR-arkiverne, så denne ondsindede kode kunne have inficeret nogle brugere, der brugte denne pakkehåndtering i deres distribution, og hvis distribution indeholdt den ondsindede kode . Pakker burde have været verificeret før installation, for på trods af al den lethed, hvormed AUR kompilerer og installerer pakker fra kildekode, betyder det ikke, at vi skal stole på kildekoden. Derfor bør alle brugere tage nogle forholdsregler, før de installerer, især hvis de arbejder som sysadministratorer for en server eller et kritisk system.
Faktisk advarer AUR-webstedet selv om, at indholdet skal bruges på brugerens eget ansvar. Opdagelsen af ​​denne malware demonstrerer dette. I dette tilfælde blev Acroread ændret den 7. juli. Denne forældreløse pakke, der manglede en vedligeholder, blev ændret af en bruger ved navn xeactor, som inkluderede en curl-kommando til automatisk at downloade scriptkode fra en Pastebin. Dette startede derefter en anden sekvens af kommandoer, der igen oprettede en systemd-enhed til at udføre endnu en sekvens af kommandoer.
Og det ser ud til, at to andre AUR-pakker er blevet ændret på samme måde med ondsindede formål. Indtil videre har arkivadministratorerne fjernet de ændrede pakker og slettet kontoen for den bruger, der gjorde det, så det ser ud til, at resten af ​​pakkerne vil være sikre for tiden. Desuden, til de berørtes lettelse , gjorde den inkluderede skadelige kode ikke noget alvorligt ved de berørte maskiner; den forsøgte kun (ja, fordi en fejl i et af scriptene forhindrede mere alvorlig skade) at indlæse visse oplysninger fra offerets system.