Un actor de amenazas publicó paquetes maliciosos en el Arch User Repository (AUR) haciéndose pasar por las populares herramientas auxiliares yay y paru. El AUR es un repositorio mantenido por la comunidad que aloja scripts de compilación (PKGBUILDs) para software de terceros, versiones beta o antiguas que no están en los canales oficiales de Arch Linux y sus derivados.
El repositorio ha sido blanco de campañas maliciosas recientemente. En junio, 400 paquetes distribuyeron malware que robaba credenciales y tenía capacidades de rootkit. Otra campaña en julio llevó a Arch a deshabilitar temporalmente la adopción de paquetes.
La última campaña se detectó el 13 de octubre e involucró paquetes maliciosos subidos por un usuario llamado 'marchos1as' bajo nombres que imitaban por error tipográfico las herramientas de línea de comandos yay y paru. Estas herramientas, conocidas como asistentes de AUR, simplifican la gestión de software en Arch Linux al agilizar la obtención e instalación de paquetes contribuidos por usuarios.
Un hilo en la lista de correo de Arch Linux titulado 'hundreds of aur packages were mass uploaded with malware' alertó a los usuarios sobre las subidas maliciosas. En cuestión de minutos, miembros de la comunidad confirmaron que los paquetes contenían código legítimo de origen combinado con un script de instalación malicioso que ejecutaba un script de shell remoto con privilegios de root.
El paquete se presenta como una simple reempaquetado del legítimo asistente de AUR 'yay' (misma URL de origen, mismo tarball de código fuente), pero el nombre del paquete 'yyay' y el script de instalación malicioso revelan que es una suplantación troyanizada diseñada para mezclarse con el paquete real.
El mantenedor del AUR Andreas Reichel emitió esta advertencia. Otro mantenedor, Emiliano Gandini Outeda, enumeró algunos paquetes maliciosos que activaron una alerta en su sistema utilizando reglas de su herramienta de seguridad de aplicaciones de código abierto, TrustSight.
El equipo del AUR prohibió la cuenta de marchos1as y eliminó los paquetes maliciosos del repositorio. Reichel señala que el payload entregado de esta manera se obtenía a través de una URL de Wayback Machine que apuntaba a un repositorio personal (hellscripter/install-scripts) alojado en el servicio de hosting ruso GitFlic.
Posibles vínculos con el gusano npm
Un informe reciente de la empresa de seguridad de aplicaciones SafeDep documentó una campaña de npm denominada 'DirtyBlanket' que obtenía código de un repositorio 'hellscripter/install-scripts' en Codeberg. Los investigadores encontraron un gusano de Linux que desplegaba el troyano de acceso remoto CHAOS disfrazado de servicio de fuentes, que también inyectaba un cargador en paquetes del AUR. Además, un aviso de OSV sobre la actividad 'DirtyBlanket' describe el mismo dominio de Wayback Machine y GitFlic.
A pesar de las conexiones, actualmente no hay confirmación de que las dos operaciones estén relacionadas. Los usuarios de Arch que descargaron los paquetes sospechosos deben asumir que sus sistemas fueron comprometidos y tomar medidas de remediación inmediatas.
Construya su plan de seguridad para ataques impulsados por IA
Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.
Artículos relacionados:
- VirusTotal AI code analysis expands Windows, Linux script support
- Microsoft is rolling out Linux container support to WSL
- New Spectre v2 attack variant leaks Linux root password hash in minutes
- CISA alerts of active exploitation of three Linux kernel flaws
- Malicious npm packages evade install-script defenses at runtime
- Arch Linux
- AUR
- Linux
- Packages
Bill Toulas – Artículo anterior
Publicar un comentario Reglas de la comunidad
Debe iniciar sesión para publicar un comentario. ¿Aún no es miembro? Regístrese ahora.
También te puede gustar:
Deja una respuesta