Os utilizadores da distribuição Arch Linux devem suspender temporariamente o uso do Arch User Repository (AUR). Segundo o Heise, a plataforma tornou-se novamente numa porta de entrada para software malicioso, o que levou a equipa do projeto a bloquear todos os novos envios (push) desde o último sábado.
Como medida imediata, a transferência de projetos órfãos para novos donos já tinha sido suspensa na quinta-feira. O download (pull) de instruções continua a funcionar através do protocolo HTTPS, contudo, a sua utilização em ambientes de produção está fortemente desaconselhada. O objetivo passa por evitar a propagação da ameaça até a comunidade encontrar uma solução estrutural.
Receitas órfãs como porta de entrada
O repositório AUR não aloja software propriamente dito, mas sim ficheiros PKGBUILD, que funcionam como receitas para a compilação automática de pacotes nos computadores dos utilizadores. Como estes guiões não passam por validações independentes, o risco recai inteiramente sobre quem os executa. Quando um pacote deixa de receber manutenção, é marcado como órfão, permitindo que terceiros assumam a sua gestão.
Os atacantes aproveitam esta mecânica para adotar as descrições abandonadas e manipular as instruções originais. Noutros casos, tentam mesmo sequestrar as contas de administradores legítimos. Esta é a segunda grande epidemia de malware a atingir o repositório em poucas semanas, sucedendo a uma onda de ataques ocorrida em junho, onde centenas de pacotes foram contaminados com extratores de palavras-passe.
Ataque complexo em duas fases
Uma análise conduzida pelo investigador Youssef Rebahi-Gilbert, a partir de Hamburgo, revelou que a ameaça atual opera em duas etapas distintas. O processo começa com a instalação de um carregador inicial, que cria um cliente da rede TOR e descarrega a carga maliciosa principal a partir de um servidor oculto .onion, desativando-se logo de seguida.
A componente principal atua de forma multifacetada: copia dados sensíveis, em particular credenciais e chaves de criptomoedas, abre uma porta traseira (Remote Access Trojan) para executar comandos à distância, e tenta ainda propagar-se a outras máquinas através de ligações SSH com um comportamento semelhante ao de um verme informático. O sucesso desta abordagem obrigou o projeto a colocar o repositório em pausa, restando agora perceber quais as mudanças tecnológicas capazes de salvar o AUR e quando serão implementadas.
Nenhum comentário
Seja o primeiro!