بسته‌های لینوکس جعلی Arch بدافزار را با امتیازات روت هدایت می‌کنند

یک عامل تهدید، بسته‌های مخربی را در مخزن کاربر Arch (AUR) بارگذاری کرد که جعل هویت دو ابزار کمکی محبوب، yay و paru بود.

AUR یک نمایه بسته نگهداری شده و پرکاربرد برای Arch Linux و توزیع های مشتق شده است که میزبان اسکریپت های ساخت بسته (PKGBUILDs) برای ابزارهای شخص ثالث و اختصاصی، نسخه های بتا یا بسته های قدیمی تر است که دیگر از طریق کانال های توزیع رسمی لینوکس در دسترس نیستند.

این مخزن اخیرا به هدف کمپین های مخرب تبدیل شده است، از جمله حمله ای در ماه ژوئن که در آن 400 بسته بدافزار سرقت مدارک را با قابلیت روت کیت توزیع کردند. کمپین دیگری در جولای باعث شد که Arch به طور موقت پذیرش بسته را غیرفعال کند.

آخرین کمپین در 13 اکتبر شناسایی شد و شامل بسته‌های مخربی بود که توسط کاربری به نام "marchos1as" با نام‌های تایپ‌کوات شده با تقلید از ابزارهای خط فرمان yay و paru بارگذاری شده بود.

این ابزارها که به عنوان کمک‌کننده‌های AUR نیز شناخته می‌شوند، مدیریت نرم‌افزار را در آرچ لینوکس با ساده‌سازی بازیابی و نصب بسته‌های ارائه‌شده توسط کاربر ساده می‌کنند.

موضوعی در لیست پستی آرچ لینوکس با نام "صدها بسته aur به صورت انبوه با بدافزار آپلود شد" به کاربران از آپلودهای مخرب هشدار داد.

در عرض چند دقیقه، اعضای انجمن تأیید کردند که بسته‌ها حاوی کد بالادستی قانونی همراه با یک اسکریپت نصب مخرب است که یک اسکریپت پوسته راه دور با امتیازات ریشه را اجرا می‌کند.

آندریاس ریچل، نگهدارنده AUR هشدار داد: «این بسته خود را به‌عنوان یک بسته‌بندی مجدد ساده از کمک کننده قانونی «yay» AUR نشان می‌دهد (همان URL بالادست، همان تاربال منبع)، اما نام بسته «yyay» و اسکریپت نصب مخرب نشان می‌دهد که این یک جعل هویت تروجانی است که برای ترکیب با بسته واقعی طراحی شده است.»

نگهدارنده دیگر، Emiliano Gandini Outeda، برخی از بسته های مخرب را فهرست کرده است که با استفاده از قوانین موجود در ابزار امنیتی برنامه منبع باز خود، TrustSight، هشداری را در سیستم او ایجاد می کند.

تیم AUR حساب متعلق به marchos1as را مسدود کرد و بسته های مخرب را از مخزن حذف کرد.

رایشل می گوید که محموله تحویل داده شده از این طریق از طریق URL ماشین Wayback که به یک مخزن شخصی (hellscripter/install-scripts) میزبانی شده در سرویس میزبانی روسی GitFlic اشاره می کرد، دریافت شد.

یک گزارش اخیر از شرکت امنیتی برنامه SafeDep یک کمپین npm با نام "DirtyBlanket" را مستند کرده است که کد را از یک مخزن "hellscripter/install-scripts" در Codeberg دریافت کرده است.

محققان یک کرم لینوکس را پیدا کردند که تروجان دسترسی از راه دور CHAOS را به عنوان یک سرویس فونت مستقر می کرد، که همچنین یک لودر را به بسته های AUR تزریق می کرد.

علاوه بر این، یک توصیه OSV در مورد فعالیت "DirtyBlanket" همان Wayback Machine و دامنه GitFlic را توصیف می کند.

با وجود اتصالات، در حال حاضر هیچ تاییدی مبنی بر مرتبط بودن این دو عملیات وجود ندارد.

کاربران Arch که بسته‌های مشکوک را دانلود کرده‌اند باید تصور کنند که سیستم‌هایشان در معرض خطر قرار گرفته است و اقدامات اصلاحی فوری انجام دهند.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

تجزیه و تحلیل کد VirusTotal AI پشتیبانی از اسکریپت ویندوز و لینوکس را گسترش می دهد

مایکروسافت در حال ارائه پشتیبانی از کانتینر لینوکس برای WSL است

نوع حمله جدید Spectre v2 هش رمز عبور ریشه لینوکس را در عرض چند دقیقه فاش می کند

CISA در مورد بهره برداری فعال از سه نقص هسته لینوکس هشدار می دهد

بسته های مخرب npm از دفاع نصب اسکریپت در زمان اجرا فرار می کنند