Foto di Lukas.

L'Arch User Repository (AUR) è un archivio di pacchetti mantenuti dalla comunità che consente agli utenti di Arch Linux e delle distribuzioni derivate, come Manjaro, di installare software non presenti nei repository ufficiali. I pacchetti AUR sono composti da script di build che permettono di compilare applicazioni da sorgente o da binari forniti dai manutentori dei pacchetti stessi. Il sistema si basa su contributi volontari e su un meccanismo di adozione dei pacchetti orfani, tramite il quale un utente può subentrare alla manutenzione quando il precedente maintainer non è più attivo. Questa flessibilità rende l'AUR uno strumento molto diffuso, ma espone anche a rischi quando gli account dei maintainer vengono compromessi o quando pacchetti non più mantenuti diventano vettori di attacco.

Pochi giorni fa l'adozione dei pacchetti nell'AUR è stata sospesa dopo una serie di compromissioni che hanno permesso a malintenzionati di prendere il controllo di pacchetti esistenti e utilizzarli per distribuire codice dannoso. La misura è temporanea e resterà in vigore finché non verrà individuata una soluzione strutturale, dato che un fenomeno analogo era già accaduto a giugno (quando circa 400 pacchetti sono stati compromessi) e non è più possibile sottovalutare il pericolo: «A causa dell'attuale afflusso di adozioni malevole di pacchetti e dei commit successivi effettuati tramite l'AUR, l'adozione dei pacchetti è attualmente disabilitata mentre gestiamo la situazione». Contemporaneamente, gli utenti di Arch sono invitati a segnalare eventi sospetti e a mantenere alta l'attenzione: «Invieremo un aggiornamento non appena saremo in grado di farlo. Nel frattempo, sentitevi liberi di segnalare eventi di adozione sospetti o commit che non sono ancora stati gestiti, e restate vigili».

Un'analisi tecnica condotta dall'Independent Federated Intelligence Network indica che la campagna è iniziata il 29 luglio con il pacchetto openconnect-sso. Nell'attacco più recente è stata identificata una catena di infezione a due stadi. Il primo stadio funge da loader del malware vero e proprio, uno stealer (sottra informazioni) con funzionalità di amministrazione remota e capacità di propagazione tramite SSH. Questa struttura modulare consente agli attaccanti di mantenere persistenza e di espandere la compromissione su più sistemi. Il loader del primo stadio integra tecniche di evasione che includono controlli per rilevare debugger, sandbox, macchine virtuali e ambienti CI/CD. Solo in assenza di questi indicatori procede a installare servizi systemd e attività cron per garantire la persistenza. Successivamente scarica e avvia un client Tor mascherato da dbus-daemon, utilizzato per recuperare il secondo stadio da un server raggiungibile tramite indirizzo .onion.

Il secondo stadio è implementato in Rust e mira a sottrarre credenziali dei browser, wallet di criptovalute, dati dei gestori di password, segreti cloud e di sviluppo, chiavi API di servizi AI, chiavi SSH e token di piattaforme di messaggistica. Oltre al furto di informazioni, il malware consente l'esecuzione di comandi remoti attraverso un canale Tor cifrato e può propagarsi lateralmente sfruttando chiavi SSH rubate. Attualmente, l'attacco si sarebbe esteso a oltre 200 pacchetti AUR, tramite compromissione degli account dei maintainer o adozione di pacchetti rimasti orfani. Tra i pacchetti citati figurano boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin e pgadmin4-server. La compromissione di questi pacchetti non è stata confermata in modo indipendente e non è disponibile un elenco sicuro e completo dei pacchetti coinvolti.

Articoli suggeriti:

Debian verso lo stop ai contributi generati dalla IA

Linus Torvalds cambia rotta: chi non vuole l'IA in Linux può anche anda...

Torlink, il motore torrent da terminale che unifica ricerca e download

I comandi Linux arrivano su Windows: Microsoft integra le CoreUtils nel proprio ...

La sospensione dell'adozione dei pacchetti rappresenta una misura di contenimento immediata, necessaria per impedire ulteriori compromissioni mentre il team di Arch Linux valuta soluzioni più robuste per prevenire questi atti. È chiaramente evidente però la vulnerabilità dei repository gestiti dalla comunità quando gli account dei maintainer vengono compromessi o quando pacchetti non più mantenuti diventano un vettore di attacco.

Consigliamo la lettura di:

Debito tecnologico e collasso dello slopware

La California fa marcia indietro: Linux esentato dalla legge sulla verifica dell...

In morte del sistema operativo

Verifica dell'età nel cuore di Linux