Поддельные пакеты yay и paru в AUR запускали вредоносный код с правами root
Изображение: OpenAI
В Arch User Repository (AUR) нашли вредоносные пакеты, которые из-за опечатки можно было установить вместо yay или paru, сообщает Help Net Security. При установке они загружали и выполняли сторонний код с правами root.
13 октября пользователь заявил в рассылке aur-general о загрузке сотен вредоносных пакетов. Менее чем через час сопровождающий AUR подтвердил наличие вредоносного кода в установочных скриптах, заблокировал аккаунт marchos1as и удалил все его пакеты. Вредоносный скрипт лежал в личном проекте на российском сервисе gitflic.ru, и один из сопровождающих пакетов AUR после этого написал, что «пока» будет блокировать российские домены, хотя среди лучших знакомых ему разработчиков есть выходцы из России.
В AUR пользователи публикуют сценарии сборки программ для Arch Linux и родственных дистрибутивов. Утилиты yay и paru автоматизируют установку и обновление такого ПО. Опечатка в названии при установке самой утилиты могла привести к выбору подделки.
В пакете yyay, который один из сопровождающих AUR прогнал через сканер вредоносного ПО, злоумышленник оставил обычные функции установки пустыми, а вредоносную команду поместил вне них. Она загружала скрипт linux.sh и выполняла его с правами root при установке или обновлении через pacman. При этом пакет ссылался на настоящий проект yay и использовал тот же архив исходников.
В июне злоумышленники уже захватывали заброшенные пакеты AUR и меняли инструкции сборки, добавляя установку вредоносного npm-пакета с функциями кражи учётных данных. По оценке исследователей, та кампания могла затронуть около 1500 пакетов. В конце июля новая волна вредоносного ПО заставила проект приостановить передачу заброшенных пакетов новым сопровождающим, а спустя несколько дней остановить все загрузки в AUR.
