Arch Linux deaktiviert Paketübernahmen im AUR wegen neuer Malware-Welle

Das Arch-Linux-Projekt hat die Übernahme verwaister Pakete im Arch User Repository, kurz AUR, vorübergehend deaktiviert.

Die Entscheidung gab der Mitwirkende Robin Candau über die Mailingliste des Projekts bekannt. Wegen des aktuellen Zustroms bösartiger Paketübernahmen und darauffolgender Commits über das AUR sei die Übernahmefunktion vorübergehend deaktiviert, während das Team die Situation bearbeite, erklärte Candau. Nutzer wurden zugleich gebeten, verdächtige Übernahmen oder Commits zu melden und wachsam zu bleiben.

Bereits im Juni hatte eine erste, deutlich größere Angriffswelle das AUR getroffen, ursprünglich mit mehr als 400 kompromittierten Paketen, wobei sich die tatsächliche Zahl nach weiteren Untersuchungen auf schätzungsweise 1.500 belief. Arch-Entwickler bereinigten das Repository damals um mehr als 1.900 kompromittierte Pakete und sperrten vorübergehend neue Kontoregistrierungen, bevor sie das Repository Mitte Juni für bereinigt erklärten und die Registrierung am 13. Juli wieder öffneten. Nach Einschätzung von Sicherheitsforschern des Independent Federated Intelligence Network, kurz IFIN, setzte sich die Kampagne trotz dieser Bereinigung in einer zweiten und nun dritten Welle fort, wobei die aktuelle Welle am 29. Juli mit dem Paket openconnect-sso begann und eine gegenüber der Juni-Kampagne veränderte technische Architektur nutzt.

Zweistufige Infektion mit Tor-Anbindung in Linux

Laut der technischen Analyse von IFIN handelt es sich um eine zweistufige Infektionskette. Die erste Stufe fungiert als Lader, der zunächst prüft, ob er in einer Debugging-Umgebung, einer Sandbox, einer virtuellen Maschine oder einer CI/CD-Umgebung läuft, um einer Entdeckung zu entgehen. Ist dies nicht der Fall, richtet der Lader über Systemd-Dienste und Cron-Jobs dauerhaften Zugriff ein und lädt anschließend einen als dbus-daemon getarnten Tor-Client herunter, über den die zweite Stufe von einem .onion-Server nachgeladen wird.

Bei dieser zweiten Stufe handelt es sich um eine in der Programmiersprache Rust geschriebene Schadsoftware mit Infostealer-, Fernzugriffs- und SSH-Wurm-Funktionen. Sie zielt unter anderem auf im Browser gespeicherte Zugangsdaten, Kryptowährungs-Wallets, Daten aus Passwort-Managern, Cloud- und Entwickler-Geheimnisse, API-Schlüssel für KI-Dienste, SSH-Schlüssel sowie Zugangstoken für Messaging-Plattformen ab. Zusätzlich ermöglicht sie Angreifern die Ausführung von Befehlen über einen verschlüsselten Tor-Kanal und kann sich mithilfe gestohlener SSH-Schlüssel eigenständig auf weitere Systeme kopieren und dort ausführen.

Bislang mehr als 200 betroffene Pakete gemeldet

Nach Angaben eines auf Reddit die Kampagne verfolgenden Nutzers soll sich diese inzwischen auf mehr als 200 AUR-Pakete ausgeweitet haben, entweder über kompromittierte Maintainer-Konten oder durch die Übernahme verwaister Pakete. Genannt werden dabei unter anderem die vergleichsweise populären Pakete boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin und pgadmin4-server. Eine unabhängige Bestätigung des Kompromittierungsstatus dieser Pakete liegt bislang nicht vor, eine vollständige Liste aller mutmaßlich betroffenen rund 200 Pakete wurde bis zur Veröffentlichung nicht bereitgestellt.

(red)