Il y a quelques jours , un logiciel malveillant a été détecté dans le dépôt de la distribution Arch Linux, plus précisément dans l'Arch User Repository ( AUR) . Ce n'est pas la première fois ; nous avons déjà constaté que des cybercriminels s'attaquaient à des serveurs hébergeant des distributions Linux et des paquets logiciels, en les modifiant avec du code malveillant ou des portes dérobées. Ils allaient même jusqu'à altérer les sommes de contrôle pour empêcher les utilisateurs de se rendre compte qu'ils installaient un logiciel dangereux sur leur système.
Cette fois-ci, l'incident s'est produit dans les dépôts AUR. Ce code malveillant a donc pu infecter certains utilisateurs qui utilisaient ce gestionnaire de paquets sur leur distribution et dont celle-ci contenait ce code malveillant . Il est impératif de vérifier les paquets avant leur installation. En effet, malgré la facilité avec laquelle AUR compile et installe les paquets à partir du code source, cela ne signifie pas que l'on puisse faire confiance à ce code source. Par conséquent, tous les utilisateurs doivent prendre des précautions avant d'installer quoi que ce soit, en particulier les administrateurs système de serveurs ou de systèmes critiques.
En effet, le site web d'AUR lui-même avertit que le contenu doit être utilisé aux risques et périls de l'utilisateur. La découverte de ce logiciel malveillant le démontre. Dans ce cas précis, Acroread a été modifié le 7 juillet. Ce paquet orphelin, sans responsable, a été modifié par un utilisateur nommé xeactor qui y a inclus une commande curl pour télécharger automatiquement du code depuis un dépôt Pastebin. Ceci a ensuite déclenché une autre série de commandes qui, à leur tour, ont créé une unité systemd pour exécuter une nouvelle série de commandes.
Il semblerait que deux autres paquets AUR aient été modifiés de la même manière à des fins malveillantes. Pour l'instant, les administrateurs du dépôt ont supprimé les paquets altérés et le compte de l'utilisateur responsable. Les autres paquets semblent donc hors de danger pour le moment. De plus, et c'est un soulagement pour les personnes concernées , le code malveillant n'a causé aucun dommage grave aux machines infectées ; il a seulement tenté (une erreur dans un script ayant empêché des dégâts plus importants) de charger certaines informations depuis le système de la victime.