The AUR Malware Attack Never Stopped

SYNTHÈSE STRUCTURÉE

Contexte : l’AUR, une cible devenue attractive

L’AUR est le dépôt communautaire d’Arch Linux, équivalent des PPA pour Ubuntu ou COPR pour Fedora. Il permet à quiconque de soumettre et maintenir des paquets. L’intervenant rappelle que « l’AUR avait effectivement zéro contrôle sur qui peut adopter un paquet orphelin » (un paquet sans mainteneur). Cette faille a été exploitée par un ou plusieurs groupes qui ont créé suffisamment de comptes pour adopter environ 1 500 paquets (chiffre en augmentation). L’attaquant a réparti les adoptions sur plusieurs comptes pour éviter un point de défaillance unique.

Premier vecteur d’attaque : le hook post-install

Les paquets malveillants utilisaient un hook post-install (PKGBUILD avec une section post_install) pour exécuter automatiquement une commande après l’installation. La commande initiale installait des paquets npm (npm install, atomic lock file, axios, got), dont l’un était l’infostealer. L’intervenant précise que « ça ne fonctionne même pas dans toutes les situations », ce qui montre une exécution imparfaite mais dangereuse.

Réaction initiale des modérateurs : script de détection

Face à la répétition du même schéma (mêmes paquets npm installés), les modérateurs de l’AUR ont écrit un script pour détecter cette signature spécifique. Ils ont nettoyé les paquets concernés. Mais l’attaquant a simplement changé de commande et de paquet, en utilisant une nouvelle variante.

Évolution : obfuscation basique

La nouvelle vague d’attaques utilise la même technique (hook post-install) mais avec une obfuscation rudimentaire. L’intervenant montre un exemple où la commande est cachée dans une chaîne de caractères avec des guillemets : « si vous voyez quelque chose comme ça dans un paquet AUR, c’est un malware. 100% du temps, c’est un malware. Il n’y a jamais aucune bonne raison d’inclure une chaîne qui ressemble à ça dans un script de build. » Il qualifie cette obfuscation de « baby’s first obfuscation » et précise qu’elle a cassé les scripts de détection initiaux qui cherchaient des chaînes spécifiques comme npm ou bun.

Attaques non-malveillantes mais nuisibles

En parallèle, d’autres personnes profitent de la brèche pour des actions non destructrices mais perturbatrices. L’intervenant cite un exemple où un paquet orphelin a été modifié pour ajouter une chaîne humoristique dans les fichiers de configuration shell (bashrc, zshrc, fish) et un script nommé albanianvirus2.sh. Le message traduit insulte l’utilisateur et le redirige vers d’autres outils. L’intervenant commente : « c’est juste un truc stupide et drôle », mais cela montre que la faille est exploitée par tous.

Comptes dormants : le vrai danger

Un cas plus inquiétant est celui d’un ancien mainteneur qui a conservé l’accès aux notifications par email après l’adoption de son paquet. Il a ainsi pu observer l’attaquant. Le compte ayant adopté le paquet a été créé en 2024, bien avant la campagne actuelle. L’intervenant souligne : « quand j’ai dit qu’on ne sait pas combien de comptes dormants existent, c’est ce que je veux dire. » Même si l’inscription de nouveaux comptes est désactivée, les attaquants peuvent utiliser des comptes existants, créés il y a des mois, pour continuer leurs actions.

Réaction officielle : désactivation des inscriptions et communication

Suite à la première vidéo de l’intervenant, un article a été publié sur le fil d’actualité Arch. Il confirme l’incident et annonce des mesures temporaires : désactivation de la création de nouveaux comptes, blocage des mises à jour de paquets et des adoptions. L’intervenant cite le message officiel : « Nous encourageons tous les utilisateurs de paquets AUR à examiner tous les builds de paquets et les modifications de scripts d’installation lors des mises à jour, surtout en ce moment. » Il note que la désactivation des inscriptions est une bonne chose, mais que cela ne résout pas le problème des comptes dormants.

Désinformation et sous-estimation du problème

L’intervenant critique vivement un article de Phoronix titré « Arch Linux now believes malware incident under control ». Il affirme que ce n’est pas le cas : « ce n’a jamais été sous contrôle ». Peu après, une nouvelle vague d’attaques a eu lieu, confirmant que le problème est persistant. Il qualifie la nouvelle méthode d’obfuscation de « 300 IQ » plutôt que de « sophistiquée », car elle reste basique.

Solutions proposées : coûteuses ou insuffisantes

Plusieurs solutions externes sont apparues, comme un script de scan utilisant ClaudeLM (IA) pour analyser les paquets avant installation. L’intervenant met en garde : « ça va devenir très cher très vite » (3 cents par paquet, avec des milliers de paquets à scanner à chaque commit). Il doute que ce soit une solution viable à long terme.

Nécessité d’une refonte des politiques de l’AUR

L’intervenant conclut que l’AUR ne peut plus fonctionner comme avant. Il propose plusieurs pistes : ajouter un humain dans le processus d’adoption, vérifier les commits des nouveaux comptes, exiger une ancienneté minimale avant de pouvoir adopter des paquets, ou encore utiliser l’IA en complément des vérifications humaines. Il reconnaît que même l’âge du compte n’est pas une garantie, car des comptes de 2024 sont impliqués. Il envisage un avenir où l’AUR deviendrait plus restrictif, avec un petit groupe de mainteneurs vérifiés, mais il regrette cette perspective : « j’aime l’AUR pour ce qu’il est, mais peut-être que ça ne fonctionne plus sur le web moderne. »

Avertissement sur la portée de l’attaque

L’intervenant précise que seuls les utilisateurs d’Arch Linux ou de ses dérivés (Manjaro, EndeavourOS, CachyOS, etc.) qui installent des paquets depuis l’AUR sont potentiellement affectés. Les utilisateurs de SteamOS, Linux Mint ou d’autres distributions non-Arch ne sont pas concernés. Il insiste : « Pacman n’installe pas depuis l’AUR. » Il conseille de vérifier la liste des paquets compromis (lien en description) et de noter que seules les mises à jour récentes (moins d’une semaine à une semaine et demie) sont dangereuses.

CONCEPTS CLÉS

• Paquet orphelin : paquet AUR dont le mainteneur a abandonné la maintenance, pouvant être adopté par n’importe quel utilisateur disposant d’un compte.
• Hook post-install : script exécuté automatiquement après l’installation d’un paquet, souvent utilisé pour des tâches de configuration, mais détourné ici pour exécuter du code malveillant.
• Infostealer : type de malware conçu pour voler des informations sensibles (mots de passe, tokens, etc.) sur la machine infectée.
• Obfuscation : technique consistant à rendre un code difficile à lire ou à analyser, souvent utilisée par les malwares pour échapper à la détection.
• Compte dormant : compte AUR créé à l’av