Major Malware Incident Hits Arch AUR!

SYNTHÈSE STRUCTURÉE

Contexte de l’incident

L’AUR est un dépôt communautaire où tout utilisateur peut soumettre des fichiers de construction (PKGBUILD). Cette ouverture, bien que précieuse, expose à des acteurs malveillants. L’intervenant explique : « because anybody can create a package build and contribute to the AUR occasionally you have these bad actors they show up ». La campagne récente a touché plus de 400 paquets, avec des commits malveillants qui téléchargent des charges utiles npm pendant l’installation.

Vérifier ses paquets AUR installés

Pour lister les paquets provenant de l’AUR, utilisez la commande :

pacman -Qm

L’option -Q interroge le gestionnaire de paquets, -m filtre les paquets provenant de dépôts externes (AUR). L’intervenant précise : « you can run this command… and you can see I don’t have much of anything ». Pour obtenir une liste sans les numéros de version (plus facile à traiter en script), ajoutez -q :

pacman -Qmq

Supprimer tous les paquets AUR en une commande

Si vous décidez de désinstaller tous vos paquets AUR par précaution, vous pouvez enchaîner les commandes :

sudo pacman -Rns $(pacman -Qmq)

L’option -Rns supprime le paquet, ses dépendances inutiles et les fichiers de configuration. L’intervenant prévient : « I’m not going to do this because I need all those aur packages », soulignant qu’il faut être certain de ne pas supprimer des outils essentiels.

Ne pas mettre à jour immédiatement

La fenêtre de risque concerne les mises à jour récentes (quelques jours). L’intervenant conseille : « if you haven’t updated your AUR packages in a while, you’re safe ». Il recommande d’attendre « a couple of weeks before you update » pour laisser le temps à l’équipe Arch de nettoyer le dépôt. Les paquets AUR étant souvent mis à jour de manière irrégulière, ce délai n’est pas problématique.

Inspecter un PKGBUILD avant installation

Avant d’installer un paquet AUR, surtout s’il est peu populaire, lisez son PKGBUILD. L’intervenant montre l’exemple de son propre paquet : « you can read my package build and you can see exactly what this package does ». Vérifiez la source (source=()) et les étapes de construction (build(), package()) pour détecter toute tentative de téléchargement ou d’exécution suspecte.

Identifier les paquets malveillants

Une liste des paquets compromis circule sur la liste de diffusion AUR. L’intervenant mentionne : « I think there’s some list of the known malicious packages out there ». Pour croiser cette liste avec vos paquets installés, utilisez :

pacman -Qmq | grep -f liste_malveillants.txt

Cela permet de vérifier rapidement si l’un de vos paquets est concerné.

Comportement des charges utiles npm

Les attaquants ont inséré des commandes dans les PKGBUILD qui téléchargent et exécutent des scripts npm pendant l’installation. Cela contourne les vérifications classiques car le code malveillant n’est pas dans le paquet final mais dans le processus de construction. L’intervenant explique : « malicious commits that attempt to download npm-based payloads during installation ».

Impact sur les distributions basées sur Arch

Les distributions comme CachyOS, Manjaro ou EndeavourOS sont également concernées car elles utilisent l’AUR. L’intervenant précise : « many Arch Linux users and people that run Arch Linux based distributions… most Arch users use packages from the AUR ». La recommandation s’applique donc à tous ces systèmes.

CONCEPTS CLÉS

AUR (Arch User Repository) : Dépôt communautaire où les utilisateurs partagent des fichiers PKGBUILD pour construire des paquets non officiels.
PKGBUILD : Script shell décrivant comment télécharger, compiler et installer un paquet sur Arch Linux.
npm : Gestionnaire de paquets pour Node.js, utilisé ici comme vecteur d’attaque pour télécharger des charges utiles malveillantes.
pacman -Qm : Commande listant les paquets installés provenant de dépôts externes (AUR ou autres).

CONCLUSION

La campagne malveillante sur l’AUR rappelle que la confiance accordée aux dépôts communautaires doit être tempérée par une vigilance constante. L’intervenant résume bien l’attitude à adopter : « just let your updates be for now… come back in a couple of weeks ». En tant qu’administrateur, privilégiez l’inspection manuelle des PKGBUILD pour les paquets sensibles et évitez les mises à jour précipitées en période d’incident. La sécurité d’un système Arch repose autant sur la qualité de ses dépôts officiels que sur la prudence de ses utilisateurs face aux contributions tierces.