超过 400 个 Arch Linux 软件包被攻破,用于推送 rootkit 和信息窃取程序
Arch 用户仓库 (AUR) 中的 400 多个软件包正在分发针对凭据和访问令牌的 Linux rootkit 和信息窃取恶意软件。开源情报社区独立联邦情报网络 (IFIN) 的一份报告指出，一名新的维护者正在 AUR 平台上欺骗受信任的发布者，以推送受感染的软件包。Arch Linux 发行版在高级用户和开发人员中很受欢迎，它使用 AUR 目录提供已安装软件、驱动程序和内核的最新版本。AUR 是一个由社区维护的 Arch 发行版软件仓库，其中包含软件包构建脚本 (PKGBUILD)，以及用于下载、编译和安装 Arch 官方软件仓库中没有的软件的说明。AUR 对于任何基于 Arch 的发行版来说都是必不可少的，因为它包含专有应用程序、开源软件的 beta/nightly 版本、小众实用程序以及保留了在后续版本中可能已被删除的功能的旧版本软件包。然而，这并非一个经过审查的空间，攻击者可以利用它通过所有权变更的软件包来推送恶意软件，而不会有人注意到。据 IFIN 成员 Michael Taggart 称，被入侵的软件包被修改，预安装脚本会下载并执行名为 atomic-lockfile 的恶意 npm 包。独立安全研究员 Whanos 指出，原子锁文件的一个样本包含一个名为 deps 的 Linux ELF 有效载荷，它是一个“凭证窃取器，具有可选的仅限 root 用户的 eBPF [扩展伯克利数据包过滤器] rootkit 功能”。Whanos 在报告中表示：“它是为开发者工作站和构建环境设计的。它的目标是浏览器和 Electron 应用程序数据、Slack、Microsoft Teams、Discord、GitHub、npm、Vault、Docker/Podman、SSH、VPN 资料、shell 历史记录和其他本地开发者机密。 ”借助 eBPF 技术，恶意软件可以在内核中以提升的权限运行，并隐藏本地进程。供应链管理公司 Sonatype 也发布了一份报告，指出有人针对 AUR 存储库发起攻击，并传播恶意 atomic-lockfile npm 包，但使用了不同的方法。Sonatype 的研究人员表示，攻击者劫持了 AUR 上至少 20 个孤立软件包，并通过修改 PKGBUILD 文件（一个包含 Arch Linux 软件包所需构建信息的 Bash 脚本）推送了 atomic-lockfile。根据报告，攻击者添加了一个安装后脚本来调用 npm 并检索恶意软件包。Sonatype 表示：“修改后的软件包添加了一个安装后脚本，该脚本会在软件包安装期间调用 npm 并安装 atomic-lockfile。”然而，分析表明，npm 包安装了一个 Linux 可执行文件，其中包含对 eBPF rootkit 的引用，该 rootkit 可以隐藏进程、文件和网络接口。此外，该 Linux 二进制文件表明它具有信息窃取功能，目标是以下类型的敏感信息：Sonatype 确定该二进制文件可以归档数据、处理多部分文件和执行 HTTP 上传，因此具备典型的数据外泄机制的功能。AUR 维护人员正在努力识别和删除所有恶意提交，并封禁提交这些提交的帐户。Arch Linux 软件包维护者 Jonathan Grotelüschen 在致社区的一封信中敦促用户 举报他们发现的任何恶意软件包。一般来说，建议只信任那些更新频繁且拥有活跃社区的项目。建议 Arch 用户查看受影响软件包列表，并查找Whanos 报告中提供的入侵指标。Michael Taggart 还指出，有一个脚本会检查系统上是否存在 atomic-lockfile 恶意软件。如果发现受感染的软件包，用户应轮换所有凭据，并考虑从头开始重新安装 Arch，因为 rootkit 可能在正常的清理工作中幸存下来。
10个月宝宝每天需要喝多少奶粉？
