){kind=link}
O projeto Arch Linux informou a desativação temporária da adoção de pacotes no Arch User Repository (AUR) em resposta a um fluxo recente de invasões e envios de códigos maliciosos em pacotes já existentes. A medida de segurança foi comunicada na lista de discussão oficial da distribuição pelo colaborador Robin Candau, que atua em nome da equipe de DevOps.
“Devido ao fluxo atual de adoções de pacotes maliciosos e commits de acompanhamento feitos através do AUR, a adoção de pacotes está desativada no momento enquanto lidamos com a situação”, explicou Candau, em comunicado divulgado nesta quinta-feira (30).
smart_display
Nossos vídeos em destaque
Diante da persistência das atividades suspeitas, a equipe de segurança endureceu ainda mais o bloqueio dias depois. “Agora também desativamos os envios (pushes) por enquanto, enquanto lidamos com a situação. Desculpem pelo inconveniente”, comunicou o desenvolvedor.
A onda de ataques teve início em 29 de julho e afetou inicialmente o pacote openconnect-sso. A campanha exibe semelhanças com incidentes anteriores ocorridos em junho e mantém o uso da rede Tor para o carregamento de ameaças, segundo análises técnicas conduzidas pelo Independent Federated Intelligence Network (Ifin) e por pesquisadores independentes da comunidade reunidos em fóruns de rastreamento e no GitHub.
Funcionamento da infecção em duas etapas
A campanha utiliza um processo de infecção dividido em duas partes. O primeiro estágio atua como um carregador que verifica a presença de depuradores, ambientes virtualizados e ferramentas de integração contínua (CI/CD) para evitar análises de segurança. Após essa checagem, o malware configura a persistência no sistema por meio de serviços do systemd e de tarefas agendadas.
O software oculta a própria execução ao se passar por um componente legítimo do sistema operacional. Assim, a ferramenta de comunicação oculta é mascarada para parecer um processo comum de gerenciamento e opera de forma invisível. O invasor utiliza essa conexão secreta para baixar a etapa final do ataque a partir de servidores anônimos na internet.
O segundo estágio consiste em um infostealer desenvolvido em Rust capaz de extrair credenciais de navegadores, carteiras de criptomoedas, chaves SSH, dados de gerenciadores de senhas e tokens de aplicativos de mensagens. A ameaça também possui capacidades de movimentação lateral ao utilizar chaves SSH roubadas para se espalhar por outros computadores conectados à rede.
Pesquisadores de segurança do Independent Federated Intelligence Network (Ifin) e analistas independentes que monitoram o incidente identificaram que mais de 200 pacotes do AUR podem ter sido comprometidos. Foram atingidos softwares conhecidos na comunidade, como boringssl-git, icloudpd, windscribe-cli-v2-bin e stirling-pdf-desktop-bin.
“A equipe de DevOps do Arch Linux continua trabalhando para remover os commits maliciosos e recomenda que os usuários verifiquem seus sistemas e fiquem atentos a eventos suspeitos de adoção de pacotes”, destacaram os relatórios de acompanhamento da comunidade e da equipe de suporte.
Por falar em segurança digital e malware, a Microsoft corrigiu falha crítica que permitia sequestro de redes corporativas. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.