Another Malware Wave Hit Arch Linux's AUR

SYNTHÈSE STRUCTURÉE

Contexte : une récidive prévisible

L’intervenant rappelle que la précédente vague de spam n’avait pas été réellement résolue. Les mesures prises (rejet des adresses email jetables, vérification obligatoire de l’email avec un jeton limité à 24 heures, verrouillage des changements d’email pendant un cooldown) étaient « pas du tout liées au problème ». Il insiste : « Ce problème ne va pas disparaître, jamais. » Cette nouvelle attaque confirme son analyse, car elle exploite exactement les mêmes failles structurelles.

Le premier paquet malveillant : pgadmin4-server.git

Le premier signalement, apparu sur Reddit, concernait un paquet nommé pgadmin4-server.git. Le code ajoutait un binaire nommé pasa et l’exécutait via pseudo. L’intervenant souligne que voir pseudo dans un PKGBUILD est un signal d’alarme immédiat : « Soit c’est une erreur, soit c’est malveillant. Il n’y a pas vraiment de bonne raison de faire ça. » Ce paquet était un info stealer, c’est-à-dire un programme conçu pour voler des données sensibles.

Une attaque massive : environ 200 paquets compromis

Très rapidement, environ 200 autres paquets ont été découverts, tous faisant la même chose. L’intervenant précise que le post initial était généré par IA, mais que le problème a été indépendamment vérifié : « C’est un vrai problème qui existe sur l’AUR. » La liste des paquets affectés inclut des noms comme git-pkgs, nnn-nerd, proxy-pin et un typosquat de Brave, brave-origin (au lieu de brave-origin-bin).

La méthode d’attaque : les demandes d’adoption et de « out-of-date »

L’attaque repose sur deux mécanismes de l’AUR :

• La fonction « report as out of date » : un bouton qui permet de signaler qu’un paquet est obsolète. L’intervenant explique que ce bouton n’est pas là sans raison, mais qu’il peut être utilisé pour attirer l’attention sur des paquets qui n’ont pas besoin de mise à jour.
• La demande d’adoption (orphan request) : un utilisateur peut demander à reprendre un paquet dont le mainteneur ne répond plus. Si le mainteneur ne réagit pas dans un délai donné, le paquet est orphelin et peut être adopté.

L’attaquant enchaînait ces deux actions pour prendre le contrôle de paquets légitimes, puis y injectait du code malveillant. Certains mainteneurs ont refusé les demandes, mais d’autres paquets, réellement abandonnés, ont été adoptés sans surveillance.

Les messages étranges : « second plane » et vidéos YouTube

Les demandes d’adoption contenaient des messages bizarres, comme « Mr. President, a second plane has hit the boom » accompagnés de deux liens YouTube. L’intervenant a vérifié : le premier lien pointe vers une chanson de 1984 avec une pochette représentant les Twin Towers, le second vers un mème de chat français traduit via Google Translate. Il conclut : « Quel est le lien ? Je n’en ai aucune idée. » Ces messages semblent être un artefact de l’attaquant, peut-être un test ou une signature.

Les paquets réellement abandonnés : une faille de processus

Certains paquets attaqués étaient des paquets qui auraient dû être supprimés de l’AUR lorsqu’ils sont passés dans les dépôts officiels d’Arch. Par exemple, un paquet AUR devenu disponible dans extra aurait dû être retiré, mais ne l’a pas été. Résultat : aucun mainteneur actif, personne ne surveillait, et l’attaquant a pu les adopter sans difficulté. L’intervenant souligne que cela révèle un manque de nettoyage systématique de l’AUR.

Les paquets typosquattés : un problème de SEO

Le typosquatting est une technique qui consiste à créer un paquet avec un nom très proche d’un paquet légitime (par exemple brave-origin au lieu de brave-origin-bin). L’intervenant explique que l’AUR a un très bon référencement : « Si vous cherchez Brave Origin AUR, vous trouverez la version malveillante en premier résultat. » Cela rend l’attaque particulièrement efficace, car les utilisateurs qui cherchent un paquet légitime peuvent tomber sur le paquet malveillant sans s’en rendre compte.

Les changements de code : des noms génériques et suspects

Les modifications apportées aux paquets compromis utilisaient des noms de fichiers ou de fonctions très génériques : minifier, encryptor, renderer, translator. L’intervenant note que contrairement à la vague précédente, il n’est plus possible de détecter ces attaques avec un simple grep sur les changements de PKGBUILD. Il faut maintenant examiner chaque modification, en particulier celles issues d’adoptions, car « aucun changement pendant cette période ne peut être immédiatement approuvé, sauf si vous savez que vous l’avez fait vous-même ».

Les comptes compromis : une possibilité à ne pas exclure

L’intervenant précise qu’il n’a pas connaissance de comptes compromis, mais que cela ne peut pas être totalement exclu. La majorité des changements provenaient de comptes récemment créés avec des noms aléatoires ou générés automatiquement. Il recommande donc de ne pas faire confiance à un changement simplement parce qu’il provient d’un compte existant.

La réponse des mainteneurs : désactivation des adoptions et des pushs

Robin Kandu, un mainteneur de l’AUR, a annoncé sur la liste de diffusion : « Les adoptions de paquets AUR sont désactivées en raison de l’afflux actuel d’adoptions malveillantes et de commits de suivi effectués via l’AUR. Nous enverrons un suivi dès que possible. » Ensuite, les pushs ont également été désactivés, ainsi que les inscriptions et les demandes de « out-of-date ». L’AUR est passé en mode lecture seule. L’intervenant note que cela montre une réaction plus rapide que la fois précédente, mais que la situation reste grave.

La démission de Morten Linderud : un signe de burnout ?

L’intervenant mentionne la démission de Morten Linderud (Foxboron) du projet Arch Linux, après environ 10 ans de contribution. Il précise : « Je ne pense pas que ce soit directement lié, mais je ne serais pas surpris que ce genre de problèmes, la gestion des failles de sécurité, tout ce bazar, mène à un certain épuisement. » Cela soulève la question de la charge de travail des mainteneurs bénévoles.

Les recommandations pour l’avenir : repenser les adoptions et le typosquatting

L’intervenant propose plusieurs pistes :

• Limiter les adoptions aux mainteneurs de confiance, ou exiger une validation par un modérateur avant qu’une adoption ne soit effective.
• Mettre en place une surveillance accrue des typosquattings, par exemple via un scan IA ou une vérification manuelle systématique des noms de paquets proches de paquets existants.
• Ajouter des avertissements dans les AUR helpers (comme yay ou paru) lorsqu’un paquet est nouveau ou a changé de mainteneur, pour inciter l’utilisateur à vérifier avant d’installer.

Il conclut : « L’AUR est une ressource fantastique, mais elle ne peut pas continuer à fonctionner dans l’état où elle est actuellement. »

CONCEPTS CLÉS

• AUR (Arch User Repository) :