Linux
Pacotes falsos do yay e do paru no AUR do Arch Linux instalavam malware com privilégios de administrador
Um utilizador publicou no AUR cópias com nomes quase iguais aos de duas ferramentas muito usadas no Arch Linux. O código era o verdadeiro, mas o script de instalação ia buscar e corria um ficheiro remoto como root. É o terceiro ataque ao repositório comunitário desde junho.
O repositório comunitário do Arch Linux voltou a ser usado para espalhar malware. Segundo o BleepingComputer, um utilizador publicou no AUR (Arch User Repository) pacotes com nomes muito parecidos com os de duas ferramentas populares, o yay e o paru, que traziam escondido um script capaz de correr código com privilégios de administrador. O caso foi detetado a 13 de outubro e é relevante para quem usa o Arch ou distribuições derivadas que recorrem ao mesmo repositório.
Como funcionava a armadilha
O AUR é mantido pela comunidade e guarda receitas de compilação (os ficheiros PKGBUILD) para programas que não estão nos repositórios oficiais. O yay e o paru são ajudantes que automatizam a pesquisa, a compilação e a instalação desses pacotes, por isso são das primeiras coisas que muitos utilizadores instalam. O atacante, com a conta marchos1as, apostou na troca de letras: um dos pacotes chamava-se yyay.
Na lista de correio do AUR, o mantenedor Andreas Reichel descreveu o pacote como uma cópia aparentemente fiel do yay, com o mesmo endereço de origem e o mesmo código-fonte. A diferença estava no script de instalação. As funções que deviam correr depois da instalação estavam vazias, para parecerem inofensivas a quem desse uma vista de olhos, enquanto uma linha fora delas descarregava e executava um script remoto como root sempre que o pacote era instalado ou atualizado. Segundo Reichel, o ficheiro vinha de um repositório pessoal alojado no serviço russo GitFlic, através de um endereço do Internet Archive.
A equipa do AUR baniu a conta e retirou os pacotes. Outro mantenedor, Emiliano Gandini Outeda, publicou uma lista dos pacotes que a sua ferramenta de análise, a TrustSight, tinha assinalado. O BleepingComputer nota que o mesmo repositório pessoal aparece numa campanha recente contra o npm, chamada DirtyBlanket, mas não há confirmação de que as duas operações estejam ligadas.
Terceiro ataque desde junho
Não é um caso isolado. Em junho, segundo o mesmo site, 400 pacotes do AUR distribuíram malware que roubava credenciais e tinha capacidades de rootkit, e em julho outra campanha levou o Arch a suspender temporariamente a adoção de pacotes.
Se instalaste um destes pacotes falsos, a recomendação do BleepingComputer é assumir que o sistema foi comprometido. Para o futuro, a própria ArchWiki lembra que os pacotes do AUR são conteúdo produzido por utilizadores, sem verificação aprofundada, e que o passo mais importante é ler o PKGBUILD, os ficheiros .install e os restantes ficheiros antes de compilar. Ferramentas de análise automática ajudam, mas a wiki avisa que não substituem essa verificação manual.
