Nutzer der Linux-Distribution Arch Linux sollten vor\u00fcbergehend auf die Nutzung der Arch User Repositories (AUR) verzichten. Sie sind erneut Einfallstor f\u00fcr Malware. Als vor\u00fcbergehende Sofortma\u00dfnahme hat das Projekt Arch Linux am Donnerstag die \u00dcbergabe verwaister AUR an neue Inhaber ausgesetzt. Doch das reichte nicht. Seit Samstag werden \u00fcberhaupt alle Updates (push) von AUR unterbunden.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Zudem ist der Download (pull) von AUR-Instruktionen eingeschr\u00e4nkt. \u00dcber https:\/\/ funktioniert er noch, ist aber f\u00fcr den Produktiveinsatz nicht zu empfehlen. Denn die Einschr\u00e4nkungen sollen die weitere Verbreitung von Malware \u00fcber AUR hintanthalten, bis das Projekt eine L\u00f6sung gefunden hat.<\/p>\n
Es ist die zweite gro\u00dfe Malware-Epidemie bei AUR in den letzten Wochen. Im Juni brach bereits eine Angriffswelle via AUR \u00fcber Arch Linux<\/a> herein. Hunderte AUR-Paketbeschreibungen wurden mit Passwort-Stehlern verunreinigt, die dann auf Arch-Linux-Rechnern installiert wurden.<\/p>\n Ungepr\u00fcfte Instruktionen<\/p>\n AUR enthalten selbst keine Software, sondern PKGBUILD genannte Rezepte, mit denen Nutzer sich Softwarepakete am eigenen Rechner automatisiert zusammenbauen k\u00f6nnen. Diese Rezepte werden nicht unabh\u00e4ngig gepr\u00fcft, ihre Anwendung erfolgt auf eigene Gefahr. Das AUR-Portfolio enth\u00e4lt praktische und bequeme Software-Rezepte, sodass viele Arch-User gerne zugreifen, ohne alles nachzupr\u00fcfen. Empfiehlt das Rezept jedoch Malware und der Nutzer nickt das ab, kommt es zum Malheur.<\/p>\n Wird ein AUR offenbar nicht mehr gewartet, k\u00f6nnen Nutzer dies melden. Nach einer Weile wird das Repository als verwaist markiert. Dann k\u00f6nnen Dritte es \u201eadoptieren\u201c und die Wartung \u00fcbernehmen. Dies nutzten Angreifer aus: Sie \u00fcbernehmen verwaiste Beschreibungen und manipulieren das Rezept. Alternativ k\u00f6nnen Angreifer versuchen, den Zugang des echten Administrators zu \u00fcbernehmen, um das Repository zu ver\u00e4ndern.<\/p>\n Diesmal erfolgt ein zweistufiger Angriff, wie eine Analyse des Hamburgers Youssef Rebahi-Gilbert offenlegt. Zun\u00e4chst wird ein Loader<\/a> installiert, der seinen eigenen TOR-Client anlegt und dann von einem .onion-Server die Hauptmalware bezieht, bevor er sich deaktiviert. Die Hauptmalware ist demnach vielf\u00e4ltig<\/a>: Sie kopiert Daten, insbesondere Zugangsdaten und Kryptow\u00e4hrungsschl\u00fcssel, erlaubt die Ausf\u00fchrung beliebiger Instruktionen des Malware-Betreibers \u00fcber eine Hintert\u00fcr (Remote Access Trojan, RAT), und versucht zudem sich via SSH weiterzuverbreiten (Wurm).<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Das Angriffskonzept ist so erfolgreich, dass das Projekt Arch Linux die Pausetaste dr\u00fccken muss. Welche \u00c4nderungen AUR wann retten sollen, ist offen.<\/p>\n