数日前、人気のArch Linuxディストリビューションリポジトリ、具体的にはArch User Repository（AUR）でマルウェアが検出されました。これは目新しいことではありません。これまでにも、サイバー犯罪者がLinuxディストリビューションやソフトウェアパッケージをホストするサーバーを攻撃し、悪意のあるコードやバックドアを仕込んで改変する事例がありました。彼らはユーザーがシステムに安全でないものをインストールしていることに気づかないように、チェックサムを改ざんすることさえありました。
今回はAURリポジトリで発生したため、この悪意のあるコードは、ディストリビューションでこのパッケージマネージャーを使用していたユーザー、およびディストリビューションに悪意のあるコードが含まれていたユーザーに感染した可能性があります。AURはソースコードからパッケージを簡単にコンパイルしてインストールできますが、だからといってそのソースコードを信頼して良いというわけではありません。そのため、すべてのユーザーはインストール前に何らかの対策を講じるべきです。特に、サーバーや重要なシステムのシステム管理者として作業している場合はなおさらです。
実際、AURのウェブサイト自体が、コンテンツの使用はユーザー自身の責任で行うべきだと警告している。今回のマルウェアの発見は、まさにこの点を証明している。このケースでは、Acroreadが7月7日に改変された。メンテナーのいないこの孤立したパッケージは、xeactorというユーザーによって改変され、Pastebinからスクリプトコードを自動的にダウンロードするcurlコマンドが追加された。これにより、さらに一連のコマンドが実行され、そのコマンドがsystemdユニットを作成して、さらに一連のコマンドを実行するという流れになった。
また、他の2つのAURパッケージも同様の方法で悪意を持って改変されていたようです。今のところ、リポジトリ管理者は改変されたパッケージを削除し、改変を行ったユーザーのアカウントも削除したため、残りのパッケージは当面は安全と思われます。さらに、影響を受けたユーザーにとって幸いなことに、含まれていた悪意のあるコードは、影響を受けたマシンに深刻な被害を与えることはありませんでした。被害者のシステムから特定の情報を読み込もうとしただけでした（スクリプトの1つにエラーがあったため、より深刻な被害は回避されました）。