News Arch Linux: Über 1.600 AUR-Pakete mit Malware verseucht

[Tekkla]

Es ist nur eine Frage der Zeit, bis auch bei Debian Probleme auftauchen/bekannt werden.

Anders als beim AUR kann man bei Debian - und generell allen Distros mit Maintainern - die Commits auf Probleme abklopfen. In Zukunft wohl vermehrt auch mit KI gestützten Prozessen. Gerade wenn Pakete zu hunderten manipuliert werden, würde das einem KI-Agenten auffallen.

Ich glaube nicht, dass man dieses aktuelle AUR-Problem außerhalb von AUR und anderen von der Community betriebenen Repositories finden wird. AUR ist Wilder Westen mit nur seinen Bewohnern als Sheriffs.

Eingebundener Inhalt

youtube.com/watch/?v=nLC194fCcbM

An dieser Stelle findest du externe Inhalte von Youtube. Zum Schutz deiner persönlichen Daten werden externe Einbindungen erst angezeigt, wenn du dies durch Klick auf "Alle externen Inhalte laden" bestätigst: Alle externen Inhalte laden Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit werden personenbezogene Daten an Drittplattformen übermittelt.
Für mehr Informationen besuche die Datenschutz-Seite.

Eine gesunde Skepsis ('Brain.exe') ist super, um nicht auf offensichtlichen Blödsinn reinzufallen. Aber bei der Sicherheit deiner Paketquellen hilft dir dein Bauchgefühl leider ab einem gewissen Punkt überhaupt nichts mehr. Zu glauben, dass man sicher ist, nur weil man pacman nutzt und 'aufpasst', ist ein gefährlicher Trugschluss!

Das beste Beispiel ist XZ-Utils aus 2024, niemand hat das bemerkt, selbst absolute Core-Entwickler haben es monatelang nicht gemerkt. Ausgerollt in alle Linux Derivate wie Debian, Archlinux, Fedora etc.... !!! Nochmal Niemand nicht mal die ganzen Sicherheitsexperten haben es bemerkt, nur durch einen Zufall, wurde es rechtzeigt bemerkt.
Da war ein Backdoor im SSH Server, so das der Angreife auf JEDES SYSTEM dieser Welt hätte sich mit root rechten einloggen können!

Dagegen hätte auch keine Skepsis was gebracht. Auch ein anderes Tool als bin/brain hätte da nicht geholfen.

Wenn du ein zentrales Tool hast, dass einfach ein Loch hat, von dem (mit Glück) keiner weiß, dann kann es auch keine Softwarelösung dagegen geben. Folglich ist man dem einfach ausgeliefert. Das betrifft aber alles in deinem Leben. Wenn du etwas nicht weißt, dann kannst du dagegen auch keine Maßnahmen ergreifen. Isso.

 

[-nocturne-]

Ich glaube nicht, dass man dieses aktuelle AUR-Problem außerhalb von AUR und anderen von der Community betriebenen Repositories finden wird. AUR ist Wilder Westen mit nur seinen Bewohnern als Sherrifs.

Dagegen steht das kuratierte Chaotic-AUR das Pakete bereits als Binärdaten verteilt. Da fallen kompromitierte Daten schneller auf. Ich will nicht sagen dass das der heilige Gral ist, aber dem normalen AUR würde eine Kuratorirung sehr helfen.

 

[Terence-Hill]

Moin, ich habe pacman -Qm durchlaufen lassen. Vier Pakete wurden mir angezeigt. Hab alle mit pacman -Qi geprüft, Packer war immer
CachyOS <admin@cachyos.org>
Verifiziert durch : Signatur
Sollte ich das System neu aufsetzen ?

Hab das Scrip von Cachy durchlaufen lassen.
Clean: None of the known infected packages were installed within 2 days of the campaigns.
Sieht wohl ganz gut aus.

Nein, mit "pacman -Qm" hast du lediglich eine Abfrage gemacht welche Pakete sind über AUR installiert.
Du hast 4 Pakete.

Das bedeutet nicht, dass die Pakete infiziert sind, sondern lediglich dass du 4 Paket über die AUR-Repositories installiert hast. Packer muss immer ChachyOS sein, da die einen Spiegel aller AUR Paket bieten, die bauen die jedesmal neu mit den aggressiven Compiler-Optimierungen (wie LTO, x86-64 v3 / v4).



Ich habe mal die Liste mit den 1200 infizierten AUR Paketen auf Pastbin hochgeladen, drücke Strg + F und suche nach den 4 Paketn manuell, ist dort keines enthalten alles gut, ist eines enthalten, poste es nochmal und wir schauen es uns an.

Linkt Infected AUR: https://pastes.io/pMlj9SIn

 

[-nocturne-]

Moin, ich habe pacman -Qm durchlaufen lassen. Vier Pakete wurden mir angezeigt. Hab alle mit pacman -Qi geprüft, Packer war immer
CachyOS <admin@cachyos.org>
Verifiziert durch : Signatur
Sollte ich das System neu aufsetzen ?

Hab das Scrip von Cachy durchlaufen lassen.
Clean: None of the known infected packages were installed within 2 days of the campaigns.
Sieht wohl ganz gut aus.

Die Leute von Cachy haben ein Script gebaut mit dem sich sowohl die Pakete als auch der damit betroffene Zeitraum filtern lassen. Findest du hier Link

 

[TeSla67]

Nein, mit "pacman -Qm" hast du lediglich eine Abfrage gemacht welche Pakete sind über AUR installiert.
Du hast 4 Pakete.

Das bedeutet nicht, dass die Pakete infiziert sind, sondern lediglich dass du 4 Paket über die AUR-Repositories installiert hast. Packer muss immer ChachyOS sein, da die einen Spiegel aller AUR Paket bieten, die bauen die jedesmal neu mit den aggressiven Compiler-Optimierungen (wie LTO, x86-64 v3 / v4).

Ich habe mal die Liste mit den 1200 infizierten AUR Paketen auf Pastbin hochgeladen, drücke Strg + F und suche nach den 4 Paketn manuell, ist dort keines enthalten alles gut, ist eines enthalten, poste es nochmal und wir schauen es uns an.

Linkt Infected AUR: https://pastes.io/pMlj9SIn

Ich hatte zwischendurch das Script von CachyOS durchlaufen lassen.
Clean: None of the known infected packages were installed within 2 days of the campaigns.

 

[joecnstr]

Die Leute von Cachy haben ein Script gebaut mit dem sich sowohl die Pakete als auch der damit betroffene Zeitraum filtern lassen. Findest du hier Link

Wobei der Check für mich auch Satire pur ist. Das einzige was noch unsicherer ist als AUR ist wohl eine Adresse zu "curlen" und direkt auszuführen

 

[-nocturne-]

Wobei der Check für mich auch Satire pur ist. Das einzige was noch unsicherer ist als AUR ist wohl eine Adresse zu "curlen" und direkt auszuführen

Das Script kann man sich doch anschauen bevor man es ausführt.

edit: aber ich vestehe was du meinst. Als ich das gestern gelesen habe war das auch mein erster Gedanke.

 

[empy]

Und alle Sources vorher durchchecken

Probleme melden nicht vergessen.

 

[Capucius]

Wow, dieser Thread ist echt something else... So viel stolz präsentiertes Nichtwissen. Früher hatten Menschen noch den Anstand sich einfach nicht zu äußern, wenn man keine Ahnung von etwas hatte. Aber heute sind ja Meinungen wichtiger als Fakten, jeder darf seine Meinung haben und äußern. Brave new world.

 

[Defenz0r]

GitHub - KiefStudioMA/ks-aur-scanner: A comprehensive security scanner for Arch Linux AUR packages that analyzes PKGBUILDs and install scripts for malicious patterns, suspicious behavior, and security vulnerabilities. Written in Rust for performance

A comprehensive security scanner for Arch Linux AUR packages that analyzes PKGBUILDs and install scripts for malicious patterns, suspicious behavior, and security vulnerabilities. Written in Rust f...

github.com

 

[FreierBenutzername]

Wow, dieser Thread ist echt something else... So viel stolz präsentiertes Nichtwissen. Früher hatten Menschen noch den Anstand sich einfach nicht zu äußern, wenn man keine Ahnung von etwas hatte. Aber heute sind ja Meinungen wichtiger als Fakten, jeder darf seine Meinung haben und äußern. Brave new world.

Interessantes Verständnis von Meinungsfreiheit. Menschen haben gefälligst keine Meinung zu äußern, außer sie sind die Inbesitzer der Wahrhaftigkeit, der einzigen, göttlich gegebenen Wahrheit.

Nur sind es dann eben keine Meinungen mehr sondern... Fakten. Und wenn nur noch Fakten geäußert werden dürfen.. wie dürfen Fakten dann hinterfragt werden? Gar hinterlegt?

Ach, was weiß ich schon. Capucius hat gesprochen und ich halte lieber mein Meinungsmund

 

[-nocturne-]

Wow, dieser Thread ist echt something else... So viel stolz präsentiertes Nichtwissen. Früher hatten Menschen noch den Anstand sich einfach nicht zu äußern, wenn man keine Ahnung von etwas hatte. Aber heute sind ja Meinungen wichtiger als Fakten, jeder darf seine Meinung haben und äußern. Brave new world.

Wow, dieser Kommentar ist echt something else... So viel stolz präsentierte Arroganz. Früher hatten Menschen noch den Anstand sich nich herablassend zu äußern, wenn man eine andere Meinung hat. Aber heute kann jeder Troll, ob unwissend oder überheblich, seiner ungefilterten Ablehnung Ausdruck verleihen.

Ey mal ohne Spaß. Es ist echt Anstandslos derart herablassend über eine Diskussion herzufallen, mit der Implizierung alle anderen wären Idioten. Bisher waren die Kommentare, außer dem von dem komischen Esel, eine angenehme Konversation. Warum haben Leute wie @Capucius und @Emil_Esel so eine Freude daran anderen Menschen in die Suppe zu spucken.
Was stimmt mit euch nicht?!?