400 paquets Arch Linux (AUR) infectés !!! Le danger des dépôts tiers... (Actu

SYNTHÈSE STRUCTURÉE

L’attaque : plus de 400 paquets compromis dans l’AUR

Adrien rapporte que « plus de 400 paquets ont été compromis d’un coup » dans l’AUR, le dépôt communautaire d’Arch Linux. Les serveurs officiels d’Arch n’ont pas été touchés : ce sont des « failles humaines via deux techniques de supply chain attack » qui ont été exploitées. Les paquets malveillants contiennent un info stealer (voleur de données) et un rootkit permettant de prendre le contrôle de la machine.

Technique n°1 : le typo-squatting

Le typo-squatting consiste à créer un paquet avec un nom presque identique à un logiciel populaire. Adrien donne l’exemple de « Fearfox » (au lieu de Firefox) : « vous faites une faute de frappe, vous faites un yay -S fearfox, vous oubliez le E parce que vous l’écrivez comme vous le prononcez et bim, vous installez le paquet compromis ». Cette technique exploite l’inattention ou la rapidité des utilisateurs.

Technique n°2 : la reprise de paquets abandonnés

Sur l’AUR, si un mainteneur abandonne son paquet, « n’importe qui peut en revendiquer la maintenance ». Les attaquants ont récupéré des paquets sains mais sans mainteneur, puis y ont poussé une mise à jour malveillante. Adrien cite l’exemple du paquet updpkg : « le nom reste le même, mais l’adresse mail a changé. On a une dépendance supplémentaire qui est poussée, npm. Et puis là, à la post-installation, on a des petits trucs pas très sympathiques ».

Le risque systémique des dépôts communautaires

Adrien insiste : « ce n’est pas un problème spécifique à Arch Linux, mais un problème systémique propre à tous les dépôts communautaires ». Que ce soit les PPA sur Ubuntu, les dépôts Copr sur Fedora, ou même les magasins Snap et Flatpak, le mécanisme est le même : « n’importe quel utilisateur peut créer un compte et publier un script d’installation, et il y a pas de contrôle au moment où le paquet il est envoyé ». Les équipes officielles ne valident pas ces paquets avant leur mise à disposition.

La différence avec les dépôts officiels

Dans les dépôts officiels, « chaque paquet est validé, signé, il y a des contrôles relativement stricts qui sont faits par des équipes restreintes et bien identifiées ». À l’inverse, les dépôts communautaires sont gérés par des anonymes. Adrien résume : « si c’est pas fourni et validé par la distribution elle-même, alors c’est plus risqué ».

L’importance de lire les scripts d’installation

Sur l’AUR, quand on utilise un outil comme yay pour installer un paquet, le script est affiché avant validation. Mais « souvent on le lit pas parce que bah voilà quoi ». Adrien avertit : « si vous lisez pas le script et que vous faites confiance à la personne qui a fait le paquet, bah en fait vous donnez les clés de votre système à un inconnu sur internet ». Il recommande de toujours inspecter ce que fait le script, notamment s’il télécharge un binaire depuis un serveur suspect.

Vérifier la réputation d’un paquet sur l’AUR

Pour limiter les risques, Adrien conseille d’aller sur le site de l’AUR et de vérifier la popularité et les votes d’un paquet. Par exemple, yay est « super connu, il y a beaucoup de votes, une grande valeur au niveau de la popularité », ce qui le rend moins risqué qu’un paquet comme ox-git qui n’a aucun vote. Ces indicateurs permettent d’évaluer la confiance qu’on peut accorder à un paquet.

Privilégier les dépôts officiels

La règle d’or : « si le logiciel il est disponible dans les dépôts officiels, privilégier toujours les dépôts officiels. Même si le logiciel il a une version de retard, la sécurité vaut mieux que la petite option gadget que vous attendiez ». Adrien rappelle que la quête de nouveauté ou la facilité (ne pas compiler depuis les sources) expose à des risques supplémentaires.

La vigilance comme bouclier

Adrien conclut sur une note de bon sens : « Linux est sécurisé mais c’est pas magique. La sécurité s’arrête là où commence la confiance aveugle des autres ». Il invite à « ne pas taper des commandes à l’aveugle » et à vérifier régulièrement les paquets installés depuis l’AUR pour détecter d’éventuelles anomalies.

CONCEPTS CLÉS

Supply chain attack : Attaque qui cible la chaîne de distribution d’un logiciel, en injectant du code malveillant dans un paquet légitime avant qu’il n’atteigne l’utilisateur.
Typo-squatting : Technique consistant à créer un paquet avec un nom très proche d’un logiciel connu (ex. fearfox pour firefox) pour piéger les utilisateurs qui font une faute de frappe.
Info stealer : Programme malveillant qui vole des données sensibles (mots de passe, clés SSH, sessions navigateur) sur la machine infectée.
Rootkit : Malware qui s’installe en profondeur dans le système pour en prendre le contrôle à distance, souvent de manière furtive.
AUR (Arch User Repository) : Dépôt communautaire d’Arch Linux où les utilisateurs peuvent publier des scripts d’installation (PKGBUILD) pour des logiciels non officiels.
PPA (Personal Package Archive) : Dépôt personnel pour Ubuntu/Debian, permettant à tout utilisateur de distribuer ses propres paquets sans validation préalable.
Copr : Équivalent des PPA pour Fedora, permettant de créer des dépôts tiers facilement.

CONCLUSION

Cette attaque massive sur l’AUR est un rappel brutal que la sécurité de Linux repose autant sur la vigilance de l’utilisateur que sur la robustesse du système. Les dépôts communautaires offrent une flexibilité précieuse, mais ils exposent à des risques que les dépôts officiels, avec leurs processus de validation, permettent d’éviter. La leçon est claire : privilégier les sources officielles, lire les scripts avant d’exécuter, et vérifier la réputation des paquets sont des réflexes indispensables pour ne pas transformer un outil puissant en porte d’entrée pour des attaquants.