偽のAURヘルパーがroot権限でコードを実行
研究者らは、人気ツールの「yay」と「paru」を装った偽のArch Linuxパッケージを発見しました。これらはインストール時に、root権限で悪意あるコードを実行します。攻撃者は本物のプログラムの構成要素をそのまま残したうえで危険なコマンドを加えており、ユーザーがすり替えに気づきにくくなっていました。
キャンペーンの経緯
このキャンペーンは10月13日、Arch User Repository（AUR）で確認されました。AURは、Arch Linuxとその派生ディストリビューション向けのコミュニティ運営のカタログです。公式リポジトリと異なり、メンバーが独自のビルドスクリプトを公開できます。
「marchos1as」というハンドル名を使う攻撃者は、よく知られたユーティリティに似た名前のプログラムを大量に公開しました。
yayとparuを狙ったおとり
主なおとりは、AURのソフトウェアのインストールを簡単にする2つのヘルパー、yayとparuでした。たとえば偽パッケージ「yyay」は、本物のyayをほぼ丸ごと複製していました。
AURメンテナーのAndreas Reichel氏は、攻撃者が元のプロジェクトのアドレスとソースアーカイブをそのまま残していたことを突き止めました。ただし攻撃者は、悪意あるインストールスクリプトを追加していました。
リモートスクリプト経由でroot権限を奪取
追加されたスクリプトは、インストール時にリモートのシェルスクリプトをダウンロードし、root権限で実行します。これにより、外部のコードが最高のシステム権限を得ることになります。
攻撃者はペイロードを、Wayback Machineのリンク経由で配布していました。リンク先は、ロシアのプラットフォームであるGitFlic上のhellscripter/install-scriptsリポジトリです。
検知と対応
Arch Linuxコミュニティのメンバーが、不審なパッケージに気づきました。開発者のEmiliano Gandini Outeda氏も、自身のツール「TrustSight」でこの脅威を検知しています。
その後、AURの管理者はmarchos1asのアカウントをブロックし、悪意あるパッケージを削除しました。影響を受けたユーザー数は不明です。
DirtyBlanketキャンペーンとの類似点
このインフラは、SafeDepが以前に調査したDirtyBlanketキャンペーンと似ています。9月には、9つの偽npmパッケージがLinuxワームを拡散しました。
このマルウェアは、システムフォントサービスを装ってトロイの木馬「CHAOS」をインストールしました。さらにSSH鍵を使って他のマシンへ移動し、AURパッケージにもローダーを仕込んでいました。
共通する痕跡と異なるホスティング先
両キャンペーンには、hellscripter/install-scriptsとWayback Machineが関わっています。それでも、ホスティング先は異なります。DirtyBlanketではコードがCodebergに置かれていましたが、今回の攻撃ではGitFlicが使われました。
研究者らは、同一のグループが両方の攻撃を実行しているとは確認していません。そのため、ワームのあらゆる機能を今回の偽パッケージのものと断定するのは時期尚早です。
AURがたどってきた問題の多い経緯
AURはこれまでもセキュリティ上の問題に見舞われてきました。6月には、攻撃者が数百のパッケージを感染させ、ルートキット機能を備えた情報窃取マルウェアを拡散しました。7月には、大量の乗っ取りを受けて、開発者が放棄されたパッケージを新しいメンテナーへ引き継ぐ手続きを一時的に制限しました。
同様のなりすまし手口は以前にも、CHAOS RATの拡散に使われています。
ユーザーが取るべき対策
不審なパッケージをインストールした場合は、システムが侵害されたものとして扱ってください。認証情報を変更し、信頼できるイメージからOSを再インストールします。
AURからインストールする前に、パッケージ名とメンテナーを正確に確認してください。あわせて、PKGBUILDとすべてのインストールスクリプトにも目を通すことが重要です。
翻訳元: https://meterpreter.org/fake-arch-linux-packages/
