Stay Safe On The AUR In The Face Of Arch Linux Malware
Cette vidéo explique comment vérifier la sécurité des paquets AUR avant et après installation, en insistant sur l’analyse manuelle des PKGBUILD, des sources et des dépendances, car « même si ce n’est pas intentionnellement malveillant, vous devriez toujours vérifier que le paq...
SYNTHÈSE STRUCTURÉE
Vérifier le nom du paquet pour éviter le typosquatting
Le typosquatting exploite les fautes de frappe pour installer un paquet malveillant. L’intervenant cite l’exemple d’Exodus (portefeuille crypto) avec des variantes comme « Exidus » ou « Exodis ». Il recommande de vérifier que le nom correspond exactement à celui documenté officiellement par le projet, et de signaler tout nom suspect aux modérateurs AUR.
Consulter les sources et leur provenance
Il faut examiner les sources listées dans le PKGBUILD : « Regardez où cela pointe ». Pour un paquet comme LibreWolf, les sources doivent venir du dépôt officiel (Codeberg). Pour une application propriétaire comme Discord, le binaire doit provenir du site officiel. Si une source provient d’un site inconnu, c’est un signal d’alarme.
Analyser les votes, la popularité et les commentaires
Ces indicateurs ne sont pas une garantie absolue, mais ils donnent des tendances. L’intervenant précise : « Aucun de ces signaux ne doit être traité comme une garantie que ce paquet est sûr ». Un paquet avec une longue activité et des commentaires positifs est généralement fiable, mais un paquet ancien avec un seul commentaire récent négatif mérite une attention particulière.
Vérifier la date de soumission
Un paquet connu (comme Firefox) ne devrait pas être récent sur l’AUR. L’intervenant affirme : « Si vous voyez un paquet Firefox vieux d’une semaine, c’est faux ». Cependant, un projet récemment relancé peut avoir une soumission récente, donc ce n’est qu’un indicateur parmi d’autres.
Examiner le mainteneur et le soumetteur
Recherchez l’historique du mainteneur sur l’AUR. S’il maintient plusieurs paquets connus et sûrs, c’est un bon signe. Mais attention : « Ne lui faites pas trop confiance, car un compte pourrait être compromis ». Un mainteneur avec un seul paquet inconnu est plus suspect.
Lire le PKGBUILD en détail
Le PKGBUILD est un script bash. L’intervenant insiste : « C’est un script bash. Vous pouvez exécuter à peu près n’importe quelle commande que vous voulez à l’intérieur ». Il faut vérifier chaque fonction :
package(): installe les fichiers dans le répertoire racine du paquet.prepare(): applique les patches.build(): compile le logiciel.check(): exécute les tests (souvent ignoré).pkgver(): génère le numéro de version.
Toute commande inhabituelle (comme rm -rf /home) ou obfusquée (base64) est un drapeau rouge.
Vérifier les dépendances
Les dépendances doivent correspondre à celles du projet officiel. L’intervenant donne un exemple concret : « Pourquoi une application Go aurait-elle besoin de NPM ? » Un ajout inattendu (comme NPM dans un paquet récent) peut cacher un infostealer.
Surveiller les hooks pré/post-installation
Les fonctions pre_install, post_install, pre_upgrade, post_upgrade, pre_remove, post_remove sont exécutées à des moments précis. Elles peuvent être définies dans le PKGBUILD ou dans un fichier .install séparé. L’intervenant recommande : « Appliquez les mêmes vérifications à ce fichier », car il peut contenir des commandes dangereuses.
Chercher des avis externes
Si vous avez un doute, demandez sur les forums Arch, Reddit, ou même à un LLM. L’intervenant conseille : « Si personne n’a posé la question, allez la poser sur Reddit ». Il rappelle que la communauté est souvent prête à aider.
CONCEPTS CLÉS
- Typosquatting : technique où un paquet malveillant utilise un nom très similaire à un paquet légitime (ex. « Exidus » au lieu d’« Exodus »).
- PKGBUILD : script bash structuré qui définit les variables et fonctions nécessaires à la construction d’un paquet AUR.
- Hooks (pre/post) : scripts exécutés automatiquement avant ou après l’installation, la mise à jour ou la suppression d’un paquet.
- Obfuscation : technique de masquage de code (ex. chaînes base64) souvent utilisée pour cacher des actions malveillantes.
CONCLUSION
La sécurité sur l’AUR repose sur une vigilance active et une compréhension de base des scripts bash. L’intervenant résume : « Cela va nécessiter d’apprendre à construire des logiciels et à écrire du code, au moins superficiellement, mais c’est nécessaire ». Aucun indicateur seul n’est fiable ; c’est la combinaison de plusieurs vérifications (nom, sources, dépendances, historique, communauté) qui permet de minimiser les risques.