Arch Linux: oltre 1.900 pacchetti AUR infettati da malware in pochi giorni

L'Arch User Repository (AUR) ha subito un attacco su larga scala nelle ultime ore: attori malevoli hanno iniettato codice dannoso negli script di installazione di centinaia di pacchetti, con il numero di pacchetti compromessi che ha raggiunto quota oltre 1.900 nel giro di pochi giorni. Il team di Arch Linux ha avviato le operazioni di contenimento, rimuovendo i pacchetti coinvolti e sospendendo la registrazione di nuovi account sulla piattaforma.

Per chi non conosce la struttura del sistema, l'AUR non fa parte dei repository ufficiali di Arch Linux. Si tratta di una raccolta di script di build (i cosiddetti PKGBUILD) mantenuti dalla community, che permettono di compilare e installare software non disponibile nei canali ufficiali. Il gestore pacchetti nativo pacman non accede all'AUR in modo diretto: per farlo occorre compilare manualmente il software o affidarsi a un helper AUR dedicato. Gli utenti che si limitano ai repository ufficiali non sono quindi esposti.

Come funziona l'attacco e chi è a rischio

Il vettore scelto dagli attaccanti è npm: gli script di installazione malevoli includevano npm come dipendenza e aggiungevano alla procedura di build un pacchetto npm compromesso. Il codice dannoso partiva in automatico durante l'esecuzione di npm install, senza che l'utente si accorgesse di nulla.

Le analisi preliminari, dettagliate nel report pubblicato su ioctl.fail, mostrano che il malware punta alla raccolta di dati dai profili dei browser. Nel mirino ci sono i browser basati su Chromium, tra cui Brave, Vivaldi, Opera, Microsoft Edge e Google Chrome, ma anche le applicazioni basate su Electron come Microsoft Teams, Discord e Slack. Il malware tenta inoltre di accedere alle credenziali degli account di GitHub, npm e ChatGPT.

Con il progredire dell'attacco, gli script malevoli si sono fatti più sofisticati, adottando tecniche di offuscamento per mascherare l'esecuzione del codice. Tra i pacchetti compromessi nell'ondata più recente figurano estensioni per Firefox e LibreWolf, vari pacchetti Node.js e plugin per Plasma 5 e Plasma 6.

Il rischio è concreto soprattutto per chi usa distribuzioni basate su Arch che semplificano l'accesso all'AUR tramite installer grafici, come CachyOS e Manjaro: in questi ambienti l'installazione di pacchetti AUR avviene con pochi clic, abbassando la soglia di attenzione degli utenti. CachyOS ha già reso disponibile uno script dedicato per scansionare il sistema e individuare i pacchetti coinvolti.

Come contromisura immediata, il team di Arch Linux ha disabilitato la registrazione di nuovi account AUR per contenere l'afflusso di pacchetti malevoli. Gli aggiornamenti dei PKGBUILD sono al momento riservati agli utenti già registrati. Il membro del team Jonathan Grotelüschen ha dichiarato sulla mailing list del progetto di ritenere rimossi tutti i commit dannosi noti, precisando che il lavoro di verifica prosegue. La raccomandazione del team resta invariata: ispezionare sempre manualmente gli script AUR prima di avviarli, senza mai dare per scontato il contenuto di ciò che si scarica.