News Arch Linux: Über 1.600 AUR-Pakete mit Malware verseucht

[Tekkla]

Es ist nur eine Frage der Zeit, bis auch bei Debian Probleme auftauchen/bekannt werden.

Anders als beim AUR kann man bei Debian - und generell allen Distros mit Maintainern - die Commits auf Probleme abklopfen. In Zukunft wohl vermehrt auch mit KI gestützten Prozessen. Gerade wenn Pakete zu hunderten manipuliert werden, würde das einem KI-Agenten auffallen.

Ich glaube nicht, dass man dieses aktuelle AUR-Problem außerhalb von AUR und anderen von der Community betriebenen Repositories finden wird. AUR ist Wilder Westen mit nur seinen Bewohnern als Sheriffs.

Eingebundener Inhalt

youtube.com/watch/?v=nLC194fCcbM

An dieser Stelle findest du externe Inhalte von Youtube. Zum Schutz deiner persönlichen Daten werden externe Einbindungen erst angezeigt, wenn du dies durch Klick auf "Alle externen Inhalte laden" bestätigst: Alle externen Inhalte laden Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit werden personenbezogene Daten an Drittplattformen übermittelt.
Für mehr Informationen besuche die Datenschutz-Seite.

Eine gesunde Skepsis ('Brain.exe') ist super, um nicht auf offensichtlichen Blödsinn reinzufallen. Aber bei der Sicherheit deiner Paketquellen hilft dir dein Bauchgefühl leider ab einem gewissen Punkt überhaupt nichts mehr. Zu glauben, dass man sicher ist, nur weil man pacman nutzt und 'aufpasst', ist ein gefährlicher Trugschluss!

Das beste Beispiel ist XZ-Utils aus 2024, niemand hat das bemerkt, selbst absolute Core-Entwickler haben es monatelang nicht gemerkt. Ausgerollt in alle Linux Derivate wie Debian, Archlinux, Fedora etc.... !!! Nochmal Niemand nicht mal die ganzen Sicherheitsexperten haben es bemerkt, nur durch einen Zufall, wurde es rechtzeigt bemerkt.
Da war ein Backdoor im SSH Server, so das der Angreife auf JEDES SYSTEM dieser Welt hätte sich mit root rechten einloggen können!

Dagegen hätte auch keine Skepsis was gebracht. Auch ein anderes Tool als bin/brain hätte da nicht geholfen.

Wenn du ein zentrales Tool hast, dass einfach ein Loch hat, von dem (mit Glück) keiner weiß, dann kann es auch keine Softwarelösung dagegen geben. Folglich ist man dem einfach ausgeliefert. Das betrifft aber alles in deinem Leben. Wenn du etwas nicht weißt, dann kannst du dagegen auch keine Maßnahmen ergreifen. Isso.

 

[-nocturne-]

Ich glaube nicht, dass man dieses aktuelle AUR-Problem außerhalb von AUR und anderen von der Community betriebenen Repositories finden wird. AUR ist Wilder Westen mit nur seinen Bewohnern als Sherrifs.

Dagegen steht das kuratierte Chaotic-AUR das Pakete bereits als Binärdaten verteilt. Da fallen kompromitierte Daten schneller auf. Ich will nicht sagen dass das der heilige Gral ist, aber dem normalen AUR würde eine Kuratorirung sehr helfen.

 

[Terence-Hill]

Moin, ich habe pacman -Qm durchlaufen lassen. Vier Pakete wurden mir angezeigt. Hab alle mit pacman -Qi geprüft, Packer war immer
CachyOS <admin@cachyos.org>
Verifiziert durch : Signatur
Sollte ich das System neu aufsetzen ?

Hab das Scrip von Cachy durchlaufen lassen.
Clean: None of the known infected packages were installed within 2 days of the campaigns.
Sieht wohl ganz gut aus.

Nein, mit "pacman -Qm" hast du lediglich eine Abfrage gemacht welche Pakete sind über AUR installiert.
Du hast 4 Pakete.

Das bedeutet nicht, dass die Pakete infiziert sind, sondern lediglich dass du 4 Paket über die AUR-Repositories installiert hast. Packer muss immer ChachyOS sein, da die einen Spiegel aller AUR Paket bieten, die bauen die jedesmal neu mit den aggressiven Compiler-Optimierungen (wie LTO, x86-64 v3 / v4).



Ich habe mal die Liste mit den 1200 infizierten AUR Paketen auf Pastbin hochgeladen, drücke Strg + F und suche nach den 4 Paketn manuell, ist dort keines enthalten alles gut, ist eines enthalten, poste es nochmal und wir schauen es uns an.

Linkt Infected AUR: https://pastes.io/pMlj9SIn

 

[-nocturne-]

Moin, ich habe pacman -Qm durchlaufen lassen. Vier Pakete wurden mir angezeigt. Hab alle mit pacman -Qi geprüft, Packer war immer
CachyOS <admin@cachyos.org>
Verifiziert durch : Signatur
Sollte ich das System neu aufsetzen ?

Hab das Scrip von Cachy durchlaufen lassen.
Clean: None of the known infected packages were installed within 2 days of the campaigns.
Sieht wohl ganz gut aus.

Die Leute von Cachy haben ein Script gebaut mit dem sich sowohl die Pakete als auch der damit betroffene Zeitraum filtern lassen. Findest du hier Link

 

[TeSla67]

Nein, mit "pacman -Qm" hast du lediglich eine Abfrage gemacht welche Pakete sind über AUR installiert.
Du hast 4 Pakete.

Das bedeutet nicht, dass die Pakete infiziert sind, sondern lediglich dass du 4 Paket über die AUR-Repositories installiert hast. Packer muss immer ChachyOS sein, da die einen Spiegel aller AUR Paket bieten, die bauen die jedesmal neu mit den aggressiven Compiler-Optimierungen (wie LTO, x86-64 v3 / v4).

Ich habe mal die Liste mit den 1200 infizierten AUR Paketen auf Pastbin hochgeladen, drücke Strg + F und suche nach den 4 Paketn manuell, ist dort keines enthalten alles gut, ist eines enthalten, poste es nochmal und wir schauen es uns an.

Linkt Infected AUR: https://pastes.io/pMlj9SIn

Ich hatte zwischendurch das Script von CachyOS durchlaufen lassen.
Clean: None of the known infected packages were installed within 2 days of the campaigns.

 

[joecnstr]

Die Leute von Cachy haben ein Script gebaut mit dem sich sowohl die Pakete als auch der damit betroffene Zeitraum filtern lassen. Findest du hier Link

Wobei der Check für mich auch Satire pur ist. Das einzige was noch unsicherer ist als AUR ist wohl eine Adresse zu "curlen" und direkt auszuführen

 

[-nocturne-]

Wobei der Check für mich auch Satire pur ist. Das einzige was noch unsicherer ist als AUR ist wohl eine Adresse zu "curlen" und direkt auszuführen

Das Script kann man sich doch anschauen bevor man es ausführt.

edit: aber ich vestehe was du meinst. Als ich das gestern gelesen habe war das auch mein erster Gedanke.

 

[empy]

Und alle Sources vorher durchchecken

Probleme melden nicht vergessen.

 

[Defenz0r]

GitHub - KiefStudioMA/ks-aur-scanner: A comprehensive security scanner for Arch Linux AUR packages that analyzes PKGBUILDs and install scripts for malicious patterns, suspicious behavior, and security vulnerabilities. Written in Rust for performance

A comprehensive security scanner for Arch Linux AUR packages that analyzes PKGBUILDs and install scripts for malicious patterns, suspicious behavior, and security vulnerabilities. Written in Rust f...

github.com

 

[Tekkla]

Vielleicht ist es ganz gut, dass aktuell mal etwas genauer aufs AUR geschaut wird. Gibt anscheinend noch mehr als nur eine Art von verseuchten Paketen.

https://extreme.pcgameshardware.de/threads/aur-compromised-400-packages-affected-20260611-uebernommen-aus-cachyos-forum.675426/post-12104595

 

[TeSla67]

Nichts ist so schlecht das es nicht für irgendwas gut wäre. Zumindest hab ich das Thema AUR Pakete jetzt deutlich mehr auf dem Schirm.

 

[saldorin]

Niemand liest die Diffs

Bullshit. Jeder, der verantwortungsvoll mit dem AUR umgeht, liest die Diffs. Es ist ja nun auch in aller Regel wirklich kein nennenswerter Aufwand bei Updates - zu 99% ändert sich nur Version und Hash -> kein Risiko (für diese Art von Angriff). Und wenn sich mehr als nur das ändert, dann muss man halt genauer hinschauen.
Nicht umsonst wird im Arch-Wiki mehrfach in dicken, roten Kästen betont, dass man die PKGBUILDS lesen und verstehen soll.

Das Problem ist eher, dass Cachy und co von Haus aus AUR-Helper - teilweise sogar mit GUI! - mitbringen. Und DAS ist in meinen Augen komplett unverantwortlich. User, die die PKGBUILDs nicht lesen und verstehen können/wollen, sollten das AUR nicht verwenden, Punkt.
Da sollte man bei den "einsteigerfreundlichen" Arch-Derivaten lieber Garudas Beispiel folgen und ein kuratiertes Extra-Repo anbieten, wo eine Auswahl von AUR-Paketen angeboten wird.

Anders als beim AUR kann man bei Debian - und generell allen Distros mit Maintainern - die Commits auf Probleme abklopfen.

Warum sollst du das beim AUR nicht auch können? Oo

 

[Tekkla]

Warum sollst du das beim AUR nicht auch können? Oo

Ich frage zurück: Wer soll es machen?

 

[saldorin]

Wer soll es machen?

Jeder, der ein AUR-Paket installieren oder updaten will? Wie es halt gängige Praxis und ausdrücklich empfohlen ist?