Beberapa hari yang lalu , perisian hasad telah dikesan dalam repositori pengedaran Arch Linux yang popular, khususnya Arch User Repository ( AUR) . Ini bukanlah sesuatu yang baharu; kita pernah melihat penjenayah siber menyerang pelayan yang mengehoskan pengedaran dan pakej perisian Linux sebelum ini, mengubah suainya dengan kod berniat jahat atau pintu belakang. Mereka juga mengubah suai checksum untuk mengelakkan pengguna daripada menyedari bahawa mereka sedang memasang sesuatu yang tidak selamat pada sistem mereka.
Nah, kali ini ia berlaku dalam repositori AUR, jadi kod berniat jahat ini mungkin telah menjangkiti beberapa pengguna yang menggunakan pengurus pakej ini pada pengedaran mereka dan pengedarannya mengandungi kod berniat jahat tersebut . Pakej sepatutnya disahkan sebelum pemasangan, kerana meskipun AUR mudah mengkompil dan memasang pakej daripada kod sumber, itu tidak bermakna kita harus mempercayai kod sumber tersebut. Oleh itu, semua pengguna harus mengambil langkah berjaga-jaga sebelum memasang, terutamanya jika mereka bekerja sebagai pentadbir sistem pelayan atau sistem kritikal.
Malah, laman web AUR sendiri memberi amaran bahawa kandungan tersebut harus digunakan atas risiko pengguna sendiri. Penemuan perisian hasad ini menunjukkan perkara ini. Dalam kes ini, Acroread telah diubah suai pada 7 Julai. Pakej yatim piatu ini, yang kekurangan penyelenggara, telah diubah suai oleh pengguna bernama xeactor yang memasukkan arahan curl untuk memuat turun kod skrip secara automatik daripada Pastebin. Ini kemudian melancarkan satu lagi jujukan arahan yang, seterusnya, mencipta unit systemd untuk melaksanakan satu lagi jujukan arahan.
Dan nampaknya dua pakej AUR lain telah diubah suai dengan cara yang sama untuk tujuan yang berniat jahat. Buat masa ini, pentadbir repositori telah mengalih keluar pakej yang diubah suai dan memadam akaun pengguna yang melakukannya, jadi nampaknya pakej yang lain akan selamat buat masa ini. Tambahan pula, untuk melegakan mereka yang terjejas , kod berniat jahat yang disertakan tidak melakukan apa-apa yang benar-benar serius kepada mesin yang terjejas; ia hanya cuba (ya, kerana ralat dalam salah satu skrip menghalang kerosakan yang lebih serius) untuk memuatkan maklumat tertentu daripada sistem mangsa.