Arch Linuxプロジェクトは、既存のArch User Repository(AUR)パッケージが悪意ある形で乗っ取られる事例が急増したことを受け、パッケージの譲渡(adoption)機能を一時的に無効化しました。
この決定は、コントリビューターのRobin Candau氏によってディストリビューションのメーリングリスト上で発表されました。同氏は、解決策が見つかるまでの間の一時的な措置だと説明しています。
「AURを通じた悪意あるパッケージ譲渡とそれに続くコミットが現在急増しているため、状況に対応する間、パッケージの譲渡機能を無効化しています」とCandau氏は発表しました。
「対応が可能になり次第、続報をお伝えします。それまでの間、まだ対処されていない不審な譲渡イベントやコミットがあれば、遠慮なく報告してください。引き続き警戒をお願いします」
Independent Federated Intelligence Network(IFIN)はこのマルウェアの技術分析を実施し、今回のキャンペーンは7月29日に「openconnect-sso」というパッケージから始まったと報告しています。
IFINによると、今回のキャンペーンはステージング用にTorネットワークを使用している点など、前回のキャンペーンと多くの類似点があるとのことです。
6月には、別のキャンペーンが400以上のパッケージを通じてAURを襲い、Linux向けのルートキットと情報窃取マルウェアを何も知らないユーザーに配布していました。
今回の最新の攻撃では、研究者らは2段階の感染プロセスを確認しています。第1段階はローダーとして機能し、第2段階はLinux x86_64向けのペイロードで、リモート管理(RAT)機能とSSHワーム機能を備えた情報窃取マルウェアとされています。
さらなる分析によると、第1段階のローダーはデバッガー、サンドボックス、仮想マシン、CI/CD環境の有無をチェックすることで検知を回避したうえで、永続化のためにsystemdサービスとcronジョブをインストールするとのことです。
その後、dbus-daemonに偽装したTorクライアントをダウンロードして起動し、「.onion」サーバーから第2段階のペイロードを取得します。
第2段階はRustで書かれた情報窃取マルウェアで、ブラウザの認証情報、暗号資産ウォレット、パスワードマネージャーのデータ、クラウド・開発者向けのシークレット情報、AIサービスのAPIキー、SSHキー、メッセージングプラットフォームのトークンを標的とします。
また、攻撃者に暗号化されたTorチャネル経由でのリモートコマンド実行機能を提供するほか、盗み出したSSHキーを使って自身を他のシステムにコピー・実行させることで横方向に拡散することも可能です。
このキャンペーンを追跡しているあるReddit利用者によると、乗っ取られたメンテナーアカウントの悪用、あるいは孤立した(orphaned)パッケージの譲渡を通じて、被害は200以上のAURパッケージにまで拡大しているとのことです。
同じ研究者によると、今回のキャンペーンはboringssl-git、icloudpd、windscribe-cli-v2-bin、stirling-pdf-desktop-bin、openconnect-sso、arduino-language-server-noclang-bin、pgadmin4-serverなど、比較的人気の高いAURパッケージにも広がっているといいます。
これらのパッケージが実際に侵害されているかどうかは第三者による確認が取れておらず、悪意があるとみられる200個のAURパッケージの全リストも、本記事公開時点では公開されていません。
攻撃者より先に、すべてのレイヤーをテストせよ
セキュリティチームが記録できている攻撃成功のログはわずか54%、アラートが発報されるのはたった14%にとどまります。残りは環境内を検知されずに移動しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(breach and attack simulation)がSIEMやEDRのルールをどのようにテストし、脅威の検知漏れを防ぐかを解説しています。
