AURのマルウェアの波でArch Linuxが全パッケージのプッシュを無効化

Why it matters

AUR recipes execute on developer machines that often hold source-control keys and cloud credentials. Attackers are turning trusted package ownership transfers into a distribution channel.

Arch LinuxはArch User Repositoryへのすべてのpushを無効化し、ボランティア運営のプロジェクトが悪意のあるコミットを削除している間、メンテナーがコミュニティのパッケージレシピを更新できないようにしました。この停止は日曜にInternational Cyber Digestによって拡散されました。これは、Arch LinuxのDevOps寄稿者であるRobin CandauがプロジェクトのAURメーリングリストでフリーズを確認した後のことです。

「現時点で状況に対処している間、push自体も完全に無効化しました」とCandauは8月1日に書きました。

この措置により、正当なパッケージ更新を含めAUR全体で新しいコミットがブロックされます。既存のパッケージレシピは引き続き閲覧・ダウンロードできますが、メンテナーは通常のGitワークフローを通じて修正や新しいバージョンを公開することができません。このフリーズはArch Linuxの公式リポジトリを通じて配布されるパッケージには影響しません。

2023年にArchスタッフに加わったLinuxシステム兼DevOpsエンジニアであるCandauは、すでに7月30日にパッケージの採用を無効化していました。彼は悪意のある採用とそれに続くコミットの急増を理由に挙げ、ユーザーに疑わしい活動を報告するよう求めていました。2日足らずで状況はエスカレートし、リポジトリ全体の書き込みフリーズに至りました。

二度目の封じ込めの失敗

Arch Linuxは6月以来、悪意のあるAUR活動と戦ってきました。6月12日のインシデント通知で、パッケージメンテナーのCampbell Jonesは、プロジェクトが大量の悪意あるパッケージ採用と更新を観測していると述べました。運営は、メンテナーが有害なコミットを追跡している間、アカウント作成、パッケージ更新、採用および新規パッケージ作成が中断される可能性があると警告しました。

その後プロジェクトは新規AUR登録を無効化しました。7月13日に、DevOps寄稿者のLeonidas Spyropoulosが登録を再開しました。再開時には使い捨てメールのブロック、必須のメール確認、およびメール変更のクールダウンが導入されました。

しかし、これらのアカウント管理では攻撃者が悪用していたより大きな脆弱性を排除できませんでした：放棄されたレシピが他者の手に渡った後でも、AURパッケージは名前と蓄積された信頼を保持し続けることができるのです。

Sonatypeは6月のキャンペーンを"Atomic Arch"と名付けました。同社の研究者は、攻撃者が孤立したパッケージを引き受け、PKGBUILDの指示を変更して悪意のあるnpm依存関係をインストールするようにしていたと述べています。悪意のある依存関係にはatomic-lockfile、js-digest、およびlockfile-jsが含まれます。Sonatypeは、複数の波にわたって約1,500のパッケージが影響を受けた可能性があると推定しましたが、その分析とパッケージ数は予備的であると注意を促しました。

Sonatypeが調査したペイロードには、認証情報の収集、アンチデバッグ、プロセスやファイルの隠蔽、およびデータの持ち出しの可能性に関連する機能が含まれていました。研究者らはGitHubの資格情報、SSHアーティファクト、HashiCorp Vaultトークン、ブラウザのクッキー、職場用コミュニケーションサービスからのデータへの参照を発見しました。Sonatypeは、ペイロードを実行したマシンは侵害されたものとして扱うよう助言しており、AURパッケージを削除するだけでは第二段階のマルウェアが残る可能性があるとしています。

最新の波からの報告は、異なる配布手法を示しています。7月下旬、AURユーザーは小さなELF実行ファイルを含むパッケージにフラグを付けました。これらは時にvalidator、assembler、optimizer、またはconverterと名付けられていました。コミュニティメンバーは、openconnect-sso、git-pkgs、nnn-nerdを含むパッケージへの疑わしい変更を報告しました。Archのメンテナーは報告が届くとコミットを元に戻し、アカウントを停止しました。公開されている証拠からは、7月下旬の活動がAtomic Archの背後にいる運営者によるものかどうかは確定できません。

AURの信頼の引き継ぎが弱点である

AURはArch Linuxの公式リポジトリ外のソフトウェアのためのユーザー提出のビルドレシピをホストしています。これらのレシピは公式パッケージのように精査されることはなく、そのスクリプトはビルドやインストールの過程で実行されます。したがって、悪意のある指示は上流のソフトウェア自体が侵害されていなくても開発者のワークステーションに到達する可能性があります。

放棄されたパッケージは攻撃者にとってそのワークフローに効率的に侵入するルートを与えます。攻撃者は馴染みのあるパッケージを引き受け、その認識しやすい名前と履歴を保持したまま、次回の更新時に既存ユーザーが使用する指示を変更できます。そのパッケージはすでに最も困難な配布のハードルをクリアしています：人々に信頼してインストールさせることです。

Arch Linuxは引き続き、AURソフトウェアを更新する前にすべてのPKGBUILDとインストールスクリプトの変更を確認するようユーザーに呼びかけています。全pushのフリーズは、自動化された攻撃者がアカウントを生成し、放置されたパッケージをスキャンし、ボランティアの監視チームがそれらを取り消すよりも速く悪意のある変更を公開できるようになると、手動レビューに頼ることの限界を示しています。

開発マシン上でArch LinuxまたはArch派生のディストリビューションを運用しているエンジニアリングチームにとって、直ちに露呈するリスクはデスクトップソフトウェアにとどまりません。開発者のシステムには通常、ソース管理の資格情報、SSHキー、クラウドトークン、ブラウザセッションが保存されています。侵害されたコミュニティのビルドスクリプトは、エンドポイントツールがパッケージ名を悪意あるものとして認識する前に、それらの資産にアクセスできるようにしてしまう可能性があります。