400多个Arch Linux 包受陷,用于推送 rootkit、信息窃取器

攻击者通过伪装成AUR平台上的可信发布者，向受感染的软件包中植入了恶意代码。AUR是Arch Linux发行版中由社区维护的核心仓库，包含软件包的构建脚本（PKGBUILD），但由于并非经过严格审查，威胁行动者能够利用所有权变更不易被察觉的漏洞来推送恶意软件。

根据该开源情报社区成员Michael Taggart的分析，受感染的软件包通过修改预安装脚本，下载并执行了一个名为atomic-lockfile的恶意npm包。独立安全研究员Whanos指出，该npm包中包含一个名为“deps” 的Linux ELF载荷，具备凭证窃取功能，并可选择启用仅限root权限的eBPF rootkit能力。该恶意软件主要针对开发者工作站和构建环境，窃取浏览器数据、Electron应用信息、Slack、Microsoft Teams、Discord、GitHub、npm、Vault、Docker/Podman、SSH、VPN材料、shell历史记录以及其他本地开发者机密信息。借助eBPF技术，恶意软件能够在内核中运行并隐藏自身进程。另据Sonatype公司的报告，攻击者还劫持了至少20个AUR上的无人认领包，通过修改PKGBUILD文件添加后安装脚本，调用npm获取并安装恶意包。

Sonatype公司报告称，该Linux二进制文件明确具有信息窃取功能，针对以下类型的敏感信息：GitHub凭证、SSH工件、HashiCorp Vault令牌、浏览器cookie数据库、Slack数据、Discord数据、Microsoft Teams数据、Telegram数据。此外，该二进制文件能够对数据进行归档、处理多部分文件并执行HTTP上传，具备典型的数据外传能力。

目前，AUR维护者正在识别并移除所有恶意提交，同时封禁推送这些软件包的账户。Arch Linux官方建议用户仅信任更新频繁且有活跃社区维护的项目，并查阅受影响软件包列表及入侵指标。如发现受感染的软件包，用户应更换所有凭证，并考虑从头重新安装Arch Linux系统，因为rootkit可能无法通过常规清理手段彻底清除。