며칠 전 , 인기 있는 Arch Linux 배포판 저장소, 특히 Arch 사용자 저장소( AUR) 에서 악성코드가 발견 되었습니다 . 이는 새로운 일이 아닙니다. 사이버 범죄자들이 Linux 배포판과 소프트웨어 패키지를 호스팅하는 서버를 공격하여 악성 코드나 백도어를 심는 사례는 이미 여러 차례 있었습니다. 심지어 사용자들이 안전하지 않은 프로그램을 설치하고 있다는 사실을 알아차리지 못하도록 체크섬을 변경하기도 했습니다.
이번 사건은 AUR 저장소에서 발생했기 때문에, 해당 악성 코드가 포함된 배포판을 사용하는 일부 사용자가 감염되었을 가능성이 있습니다 . AUR이 소스 코드에서 패키지를 컴파일하고 설치하는 과정이 매우 간편하다고 해서 소스 코드를 완전히 신뢰할 수 있는 것은 아니므로, 설치 전에 반드시 검증을 거쳐야 합니다. 따라서 모든 사용자, 특히 서버나 중요 시스템의 시스템 관리자는 설치 전에 주의를 기울여야 합니다.
실제로 AUR 웹사이트 자체에서도 콘텐츠 사용에 따른 위험은 사용자 본인이 감수해야 한다고 경고하고 있습니다. 이번 악성코드 발견은 바로 이 점을 잘 보여줍니다. 이번 사례에서 Acroread는 7월 7일에 수정되었습니다. 관리자가 없는 이 버려진 패키지는 xeactor라는 사용자가 수정했는데, 그는 Pastebin에서 스크립트 코드를 자동으로 다운로드하는 curl 명령어를 추가했습니다. 이 코드는 또 다른 일련의 명령어를 실행하고, 이 명령어는 다시 systemd 유닛을 생성하여 또 다른 일련의 명령어를 실행하도록 했습니다.
그리고 다른 두 개의 AUR 패키지도 악의적인 목적으로 동일한 방식으로 변조된 것으로 보입니다. 현재 저장소 관리자는 변조된 패키지를 제거하고 변조를 수행한 사용자의 계정을 삭제했으므로 나머지 패키지는 당분간 안전할 것으로 예상됩니다. 또한, 피해를 입은 사용자들에게 다행스러운 점은 포함된 악성 코드가 해당 시스템에 심각한 피해를 주지는 않았다는 것입니다. (스크립트 오류로 인해 더 심각한 손상을 막을 수 있었기 때문에) 단지 피해자 시스템에서 특정 정보를 가져오려고 시도했을 뿐입니다.