News Arch Linux: Über 1.600 AUR-Pakete mit Malware verseucht

[Joshu4undZirael]

Um so populärer Linux wird um so öfter wird es angegriffen, leider aber war nur eine Frage der Zeit bis das sichtbarer wurde.
Doch ich hab jetzt zweimal gelesen und annähernd nichts verstanden, auch ein Grund warum ich nicht wechsel.
Nennt mich dumm aber ich empfinde Linux einfach noch zu kompliziert. Selbst das installieren und konfigurieren einiger Programme ist eine Wissenschaft für sich.

Aber Hersteller von Virenschutz werden sich wohl bald die Hände reiben, wieder ein neues gewinnbringendes Geschäft.
Ich werde weiter beobachten und wer weiß, vielleicht ändere ich irgendwann meine Meinung zur Handhabung von Linux und steige um. Mein Sohn jedenfalls ist begeistert von seinem CachyOS und versucht mich davon zu überreden.

 

[Unfaced]

Hab mir mal den AURscanner installiert... übers AUR soll angeblich brauchbar sein, scannen vom Code mit clamav vor dem packagebuilt

 

[EM_EN]

Wenn ich CachyOS anwerfe alle paar Tage machte ich die Updates immer bequem über Pacman.

Absolut, zumal ich Pacman beim "arbeiten " gern zuschaue.

Das beliebte Distros angegriffen werden, war da nur eine Frage der Zeit. Und wenn die Vordertür mich nicht reinlässt, versucht man es halt durch die Hinter/AUR-Tür.

 

[joecnstr]

Hab mir mal den AURscanner installiert... übers AUR soll angeblich brauchbar sein, scannen vom Code mit clamav vor dem packagebuilt

Blöde Frage: Haben denn viele Leute / du wirklich überhaupt irgend eine Software über AUR installiert? Ich hab das Gefühl die meissten verwechseln AUR mit den Standard Repository.

Das "pacman -Qm" zeigt ja nicht wirklich Pakete an, die aus AUR kommen, sondern einfach alle "fremden" Pakete, also Pakete die aktuell (nicht mehr) in einem offiziellen Repo vorhanden sind. Wie schon erwähnt wurde, zeigt dir "pacman -Qi" viele Details zum Paket an, zum Beispiel ob es eben doch aus einem offiziell Repo stammt (aber jetzt nicht mehr dort vorhanden ist) oder auch den Installationsgrund.

Einfach ausgedrückt: Wenn man von AUR vorher noch nie gehört hat, ist es ziemlich sicher dass man nichts daraus hat...

Zu clamav: Vielleicht unterschätz ich das Tool jetzt, aber klassische Virenscanner schauen sich keinen Code an bzw können ihn nicht zuverlässig bewerten. Sie schauen sich die resultierende Binärdateien an (die "exe") und suchen nach Bitmustern von bekannter Malware

 

[Unfaced]

Ich hab 5 oder 6 Pakete aus dem AUR installiert tatsächlich.

Und was clamav macht schau ich mir im Detail noch an beim nächsten Update, denn grundsätzlich hast du recht

 

[Cleriker]

Um so populärer Linux wird um so öfter wird es angegriffen, leider aber war nur eine Frage der Zeit bis das sichtbarer wurde.
Doch ich hab jetzt zweimal gelesen und annähernd nichts verstanden, auch ein Grund warum ich nicht wechsel.
Nennt mich dumm aber ich empfinde Linux einfach noch zu kompliziert. Selbst das installieren und konfigurieren einiger Programme ist eine Wissenschaft für sich.

Eigentlich ja nicht mehr. Die PAketmanager sind super einfach geworden. Genau darin liegt aber die Krux, denn die User müssen weniger Ahnung haben und machen schneller was, das sie vorher nicht geschafft hätten.
Also wie bei Windows. Umso einfacher es scheint, desto größer ist die Gefahr dass mal was in die Hose geht.

 

[joecnstr]

Eigentlich ja nicht mehr. Die PAketmanager sind super einfach geworden. Genau darin liegt aber die Krux, denn die User müssen weniger Ahnung haben und machen schneller was, das sie vorher nicht geschafft hätten.
Also wie bei Windows. Umso einfacher es scheint, desto größer ist die Gefahr dass mal was in die Hose geht.

Auf die Gefahr mich zu wiederholen: Das aktuelle Problem hat nicht direkt mit dem Paketmanager oder den offiziellen Quellen zu tun. Nur wenn du dich aktiv in das AUR begibst und von dort Software beziehst, bist du exponiert.

Ich versuche mal den Windows Vergleich:

Offizielle Repos (Linux) == Windows Update und MS Store, jeweils safe und automatisch weil sich jemand gut darum kümmert

AUR == inoffizielle Downloadseite für Tools, jeweils mit Vorsicht zu genießen, weil man wissen muss, was passiert wenn man den Code compiled (bzw auf die exe doppelklickt)

Ein Unterschied ist aber, dass die offiziellen Repos bei den großen Distros einfach schon fast alles enthalten. Man muss wirklich kaum auf AUR ausweichen, hab es selbst nur 1-2x temporär genutzt

 

[Andreas1975]

Selbst das installieren und konfigurieren einiger Programme ist eine Wissenschaft für sich.

Doppelklick, bzw im AppStore auf "Installation" klicken.
Ja das ist Raketenwissenschaft in Reinkultur.

Blöde Frage: Haben denn viele Leute / du wirklich überhaupt irgend eine Software über AUR installiert? Ich hab das Gefühl die meissten verwechseln AUR mit den Standard Repository.

Es kann gar keine blöden Fragen geben.
So ein Gefühl beschleicht mich auch. Aber eventuell stimmt ja auch etwas mit meinem Gefühl nicht.

Umso einfacher es scheint, desto größer ist die Gefahr dass mal was in die Hose geht.

Na da kann man als Linux User ja tiefen entspannt sein. Die Installation von Programmen ist ja eine eigene Wissenschaft.
Aber selbst bei BSD ist ja nicht 100% sicher. Insbesondere durch die Linux Kompatibilität wird auch BSD angreifbarer mit jeder Schadsoftware/Sicherheitslücke von Linux Programmen.

 

[Tekkla]

Um so populärer Linux wird um so öfter wird es angegriffen, leider aber war nur eine Frage der Zeit bis das sichtbarer wurde.

Du hast nicht verstanden, worum es hierbei geht.

Ein Unterschied ist aber, dass die offiziellen Repos bei den großen Distros einfach schon fast alles enthalten. Man muss wirklich kaum auf AUR ausweichen, hab es selbst nur 1-2x temporär genutzt

Leider gibt es da ein paar schmerzliche Ausnahmen. Coolercontrol ist so eine, sofern du das nicht immer selber bauen (lassen) willst. Andererseits ist man bei bekannten und aktiven Projekten auf der Hut und bekommt in aller Regel schnell mit, wenn sich wer von außerhalb an den Projektdateien zu schaffen macht.

 

[Misanthrop68]

Sich jetzt hier Gegenseite Vorwürfe zu machen, bringt nicht, ist gegen die Regeln und wird ab hier Gelöscht!

 

[Terence-Hill]

Um so populärer Linux wird um so öfter wird es angegriffen, leider aber war nur eine Frage der Zeit bis das sichtbarer wurde.
Doch ich hab jetzt zweimal gelesen und annähernd nichts verstanden, auch ein Grund warum ich nicht wechsel.
Nennt mich dumm aber ich empfinde Linux einfach noch zu kompliziert. Selbst das installieren und konfigurieren einiger Programme ist eine Wissenschaft für sich.

Aber Hersteller von Virenschutz werden sich wohl bald die Hände reiben, wieder ein neues gewinnbringendes Geschäft.
Ich werde weiter beobachten und wer weiß, vielleicht ändere ich irgendwann meine Meinung zur Handhabung von Linux und steige um. Mein Sohn jedenfalls ist begeistert von seinem CachyOS und versucht mich davon zu überreden.

Ich möchte ja in deiner "Theorie" nicht reingrätschen aber Linux ist seit 20 Jahren unglaublich populär, damit meine ich so richtig richtig populär, den auf ca. 90% der Weltweiten Server läuft auf Linux!

Dazu kommen noch nahezu alle IoT Geräte aus dem Privaten und Industrie Sektor.

Und hier ist auch nicht Linux dran schuld sondern wieder mal "npm"

 

[empy]

Naja, eine Kosten-Nutzen-Rechnung macht beides zu möglicherweise attraktiven Zielen.

 

[Cleriker]

Jetzt hast du genau das belegt, was @joecnstr und @Andreas1975 vermutet haben.
Hier wurden die Pakete ja nicht aus dem Standard Repository verteilt, sondern aus dem Arch USER Repository.
Es war die Community selbst, die diese Pakete ausgeteilt hat.
So als würdest du was hier in einem von Usern gemachten Sammelthread laden.

 

[Terence-Hill]

Will gar nichts wissen welch Spott die Linux Community Mircosoft entgehen geworfen hätte, wenn die Malware in ihren Updates verteilen.
Use Linux they said, it's safe they said.

Ich glaube, du verwechselst da etwas gewaltig.
Nicht Arch Linux oder CachyOS haben Malware verteilt. Die Schadsoftware stammte aus dem AUR (Arch User Repository), einer inoffiziellen Drittanbieter-Quelle. Warum wurde diese Software überhaupt von dort installiert?
Weil sie eben nicht in den offiziellen Repositories enthalten ist.

Nach deiner Logik wäre auch Android unsicher und würde Malware verteilen, nur weil du eine App aus einer inoffiziellen Quelle als APK installierst! Oder Microsoft und Windows wären schuld, wenn du dir ein infiziertes Programm aus dem Internet herunterlädst!

 

[Misanthrop68]

Es geht weiter. Achtet auf die Umgangsformen und Respektiert auch Meinungen anderer. Diskutiert, Tauscht euch aus, aber keiner brauch dazu persönlich Angegriffen zu werden.

 

[Andreas1975]

Naja, eine Kosten-Nutzen-Rechnung macht beides zu möglicherweise attraktiven Zielen.

Auf was beziehst Du Dich da eigentlich? Was sind beides möglicherweise attraktive Ziele?