逾400个Arch Linux AUR软件包遭劫持用于部署信息窃取器与eBPF rootkit
内容提要
本周，攻击者控制了Arch用户软件仓库（AUR）中的400多个软件包，植入凭证窃取程序。该恶意程序窃取开发者信息，并在获取root权限后加载eBPF rootkit以隐藏自身。用户需检查6月11日后安装的软件包，若发现可疑，需更换所有凭证并排查持久化机制。此次攻击显示AUR对软件包历史记录的过度依赖。
关键要点
-
攻击者控制了Arch用户软件仓库（AUR）中的400多个软件包，植入凭证窃取程序。
-
该恶意程序窃取开发者信息，并在获取root权限后加载eBPF rootkit以隐藏自身。
-
用户需检查6月11日后安装的软件包，若发现可疑，需更换所有凭证并排查持久化机制。
-
此次攻击显示AUR对软件包历史记录的过度依赖，攻击者通过篡改构建脚本诱使用户执行恶意负载。
-
恶意软件窃取多种凭证，包括浏览器Cookie、GitHub令牌和SSH密钥等，并通过HTTP发送数据。
-
Arch维护者正重置恶意提交并呼吁用户报告可疑软件包，建议用户核查安装记录并排查持久化机制。
-
此次攻击与2018年PDF阅读器软件包劫持事件手法类似，但规模显著扩大，属于新趋势的供应链攻击。
延伸解读
攻击背景与影响
此次Arch Linux AUR软件包劫持事件显示了供应链攻击的新趋势，攻击者利用用户对软件包历史记录的信任，篡改构建脚本而非直接利用软件漏洞。这种方法使得恶意软件在外观上与正常软件无异，用户需提高警惕，尤其是对近期易主或长时间未更新的软件包。
用户应对措施
用户在6月11日后安装的AUR软件包需进行仔细核查，建议更换所有可能被窃取的凭证，并排查系统中的持久化机制。特别要注意systemd服务和BPF映射的异常情况，以确保系统安全。
未来的安全警惕
此次事件提醒用户在安装软件包时，不仅要关注软件包的名称和历史记录，还需审查当前维护者的可信度。对新活跃或易主的软件包应保持高度警惕，避免潜在的安全风险。
延伸问答
Arch Linux AUR软件包遭劫持的事件是如何发生的？
攻击者通过篡改构建脚本控制了400多个AUR软件包，植入凭证窃取程序，诱使用户执行恶意负载。
这次攻击的主要目标是什么？
主要目标是窃取开发者的机密信息，包括浏览器Cookie、GitHub令牌和SSH密钥等。
用户该如何检查自己是否受到影响？
用户需检查6月11日后安装的AUR软件包，并对照受影响软件列表进行核查。
eBPF rootkit在此次攻击中扮演了什么角色？
eBPF rootkit在获取root权限后加载，用于隐藏恶意程序的存在，阻止调试器附加。
此次攻击与2018年PDF阅读器软件包劫持事件有什么相似之处？
两者都利用了对软件包历史记录的信任，但此次攻击规模显著扩大，属于新趋势的供应链攻击。
Arch维护者对此次攻击采取了哪些措施？
Arch维护者正在重置恶意提交、封禁相关账户，并呼吁用户报告可疑软件包。
