Arch Linux blokuje adopcję osieroconych pakietów
Zespół DevOps Arch Linux miał wyłączyć możliwość przejmowania osieroconych pakietów w Arch User Repository, znanym jako AUR. Powodem była fala złośliwych adopcji pakietów oraz kolejnych zmian publikowanych już po przejęciu ich przez nowych opiekunów. Informacja została przytoczona w dyskusji pod wpisem na blogu Schneier on Security, wraz z odwołaniem do krótkiej analizy złośliwego oprogramowania.
Osierocony pakiet to taki, który nie ma aktywnego opiekuna odpowiadającego za jego rozwój i aktualizacje. W opisanym schemacie atakujący mieli tworzyć nowe konta, przejmować utrzymanie takich pakietów, a następnie wypychać do nich złośliwe aktualizacje. Zainstalowanie jednej z takich wersji mogło prowadzić do obecności malware na systemie użytkownika.
Atak wykorzystywał proces zmiany opiekuna
Opisany przypadek dotyczy ryzyka związanego z łańcuchem dostaw oprogramowania. Użytkownik może ufać nazwie pakietu i korzystać z jego wcześniejszej historii, ale aktualizacja pochodzi już od osoby, która przejęła nad nim kontrolę. Jeżeli zmiana nie zostanie zauważona, mechanizm dystrybucji oprogramowania może zostać wykorzystany do dostarczenia złośliwego kodu.
- Adopcja osieroconych pakietów w AUR została wyłączona.
- Atakujący mieli zakładać nowe konta i przejmować pakiety bez aktywnego opiekuna.
- Po adopcji publikowali złośliwe aktualizacje instalujące malware.
- Według przytoczonej analizy ładunek próbował odbierać polecenia przez Tor i przesyłać dane użytkowników.
Ładunek miał funkcje trojana zdalnego dostępu
Michael Taggart, którego analizę przytoczono w komentarzu, ocenił, że złośliwy ładunek wygląda na trojana zdalnego dostępu, czyli RAT. Tego rodzaju program może pozwolić operatorowi na wydawanie poleceń zaatakowanemu systemowi. Materiał nie zawiera informacji pozwalających niezależnie potwierdzić pełny zakres funkcji ani liczbę pakietów objętych kampanią.
Według opisu program miał przyjmować polecenia za pośrednictwem sieci Tor i próbować wysyłać szeroki zakres danych z urządzenia. Są to informacje o potencjalnych możliwościach ładunku, a nie szczegółowa instrukcja jego działania. Źródło nie podaje również, jakie konkretne dane były celem ani ilu użytkowników mogło zostać dotkniętych problemem.
Wcześniejsze ograniczenia nie zatrzymały kampanii
Z przytoczonego opisu wynika, że rejestracja nowych kont w AUR została zawieszona w czerwcu. Następnie wznowiono ją 13 lipca, po wprowadzeniu dodatkowych, określonych jako niewielkie, ograniczeń dotyczących tworzenia kont. Według komentującego zabezpieczenia te okazały się nieskuteczne, ponieważ złośliwe adopcje i kolejne zmiany w pakietach nadal były obserwowane.
Wyłączenie adopcji osieroconych pakietów ogranicza jeden z opisanych sposobów przejęcia kontroli nad istniejącymi projektami, ale nie stanowi ogólnej oceny bezpieczeństwa wszystkich elementów AUR. Użytkownicy powinni traktować dodatkową ostrożnością pakiety po zmianie opiekuna, zwłaszcza gdy aktualizacja pojawia się bez jasnego wyjaśnienia. W przypadku podejrzeń dotyczących pakietu właściwym krokiem jest korzystanie z oficjalnych komunikatów projektu i wstrzymanie instalacji do czasu wyjaśnienia sprawy.
Informacja pojawiła się pod wpisem o ekspedycji morskiej
Główny wpis, pod którym pojawiła się dyskusja, nie dotyczył Arch Linux. Opisywał ekspedycję naukową, podczas której wykorzystano pokładowy mikroskop konfokalny z wirującym dyskiem, nazwany Squid. Urządzenie używa laserów do badania mikroskopijnych szczegółów budowy organizmów i pozwalało obserwować procesy biologiczne bezpośrednio na statku.
W ciągu dwóch tygodni ekspedycja odkryła 31 nowych gatunków morskich. Autor wpisu zaznaczył, że nie wiadomo, czy wśród nich znalazły się nowe gatunki kałamarnic. Wątek bezpieczeństwa został dodany w komentarzach, zgodnie z charakterem tego cyklu publikacji. Informacje o AUR pochodzą z przytoczonej wypowiedzi i linkowanej przez komentującego analizy, a nie z pełnego komunikatu zamieszczonego w samym wpisie.
