Arch Linux AUR マルウェアインシデント：1,500 を超えるパッケージが影響

Arch Linux、巨大な AUR マルウェア侵害を解決

Arch Linux の開発者は、Arch User Repository (AUR) に影響したマルウェアインシデントは現在制御下にあると発表しました。最初に報告された 400 件の侵害パッケージに続き、最終的な数は 1,579 件のユーザー提供パッケージに上昇しました。開発者は認識しているすべての悪意あるコミットを削除しましたが、提供された影響を受けたパッケージのリストは多くを含むものの、すべての影響を受けたソフトウェアを網羅しているわけではないと指摘しています。

インシデントの範囲

このセキュリティ侵害は 1 日で急速に拡大し、感染したパッケージの数は 3 つの波で増加しました。

  • 初期発見: 400 件以上のパッケージが侵害。
  • 昼前の更新: 約 900 件のパッケージが感染と判明。
  • 最終評価: 1,579 件のパッケージが影響としてリスト化。

このインシデントは特に AUR を標的としており、AUR はユーザーがパッケージビルドスクリプト（PKGBUILD）を提供するコミュニティ主導のリポジトリです。公式の Arch Linux リポジトリとは異なり、AUR は公式開発者による審査が行われないため、ユーザー提供コンテンツにとってリスクが高い環境となります。

技術的指標と検出

コミュニティの分析によると、マルウェアは悪意ある npm 依存関係を通じて導入されたようです。具体的には、ユーザーは以下のパッケージを侵害の指標として特定しました：

  • atomic-lockfile
  • js-digest
  • lockfile-js

感染の確認方法

コミュニティメンバーは、システムが影響を受けたかどうかを確認するためのいくつかの方法を提案しています。

  1. 外部パッケージの確認: コマンド pacman -Qmi を使用して外部パッケージを一覧し、公式の影響パッケージリストと照合してください。
  2. 悪意あるファイルの検索: 以下の grep コマンドを実行して、一般的な場所で特定された悪意ある npm パッケージを検索します：
    • grep -rl "atomic-lockfile" / --include="package.json" --include="package-lock.json"
    • grep -rl "atomic-lockfile" ~/.npm 2>/dev/null
  3. ログの確認: pacman のログで疑わしいパッケージの記述を検索します：
    • grep -i "atomic-lockfile" /var/log/pacman.log 2>/dev/null

さらに、github.com/lenucksi/aur-malware-check にコミュニティが管理するスクリプトとパッケージリストのリポジトリが作成され、ユーザーがシステムを監査するのに役立ちます。

コミュニティの洞察とセキュリティベストプラクティス

このインシデントは、AUR ヘルパーの使用リスクと手動での審査の重要性について、Arch Linux ユーザー間で大きな議論を呼び起こしました。

AUR ヘルパーのリスク

多くのユーザーが、インストールプロセスを自動化する「pacman ラッパー」や AUR ヘルパー（yay や rua など）に懸念を示しました。批評家は、これらのツールがインストール前に PKGBUILD を確認する重要なステップをユーザーが飛ばす原因になると主張しています。

"AUR から直接インストールできる pacman ラッパーを作り始めた人たちを見ると、とても身震いしました… 事前に作られた pkgbuild は、タイポスクワッティングや戦術的な npm や pip 依存関係のリスクを取るほど便利ではありません。"

推奨される緩和策

攻撃対象を減らすために、経験豊富なユーザーは以下の実践を推奨しています。

  • 手動レビュー: すべての AUR パッケージをインストールする前に、必ず PKGBUILD とその依存関係を確認してください。
  • ビルド時に root を使用しない: 可能な限り非 root ユーザーでパッケージをビルドし、ローカルにインストールして、潜在的な侵害の影響を限定します。
  • パッケージ数を制限: インストールするパッケージを最小限に保ち、更新や監査を簡素化します。
  • 孤児パッケージの採用: 影響を受けたパッケージの多くが孤児化されていることに気付いたユーザーもいます。更新頻度は低いが人気のある孤児パッケージを採用することで、悪意ある者が所有権を取得するのを防げます。
  • 手動更新: 高リスクまたは重要なソフトウェアについては、ヘルパーによる自動 AUR 更新から手動更新へ切り替えます。

Sources