Giriş
400’den fazla Arch User Repository (AUR) paketinin, kullanıcı bilgilerini hedef alan bir Linux rootkit ve infostealer zararlısı dağıttığı ortaya çıktı. Bu durum, gelişmiş kullanıcılar arasında popüler olan Arch Linux dağıtımının güvenliğini ciddi şekilde tehdit etmektedir.
Saldırı Nasıl Çalışıyor?
Yeni bir bakımcı, AUR platformunda güvenilir bir yayıncıyı taklit ederek enfekte paketleri kullanıcılara iletmektedir. IFIN (Independent Federated Intelligence Network) tarafından yayınlanan rapora göre, bu zararlı paketler, aşağıdaki zararlı bileşeni indirecek ve çalıştıracak şekilde preinstall skriptleri ile modifiye edilmiştir:
- atomic-lockfile adlı npm paketi
Bağımsız güvenlik araştırmacısı Whanos, atomic-lockfile paketinin bir örneğinin, eBPF (Extended Berkeley Packet Filter) kök yeteneklerine sahip bir “credential stealer” olarak tanımladığı bir Linux ELF yüklemesi içerdiğini belirtmektedir.
Etkilenen Sistemler
Bahsedilen zararlı yazılım, özellikle geliştirici iş istasyonları ve inşa ortamlarını hedef alarak aşağıdaki verileri toplayabilir:
- Tarayıcı ve Electron uygulama verileri
- Slack verileri
- Microsoft Teams verileri
- Discord verileri
- GitHub kimlik bilgileri
- npm ve Docker/Podman ile ilgili materyaller
- SSH belgeleri
- HashiCorp Vault tokenleri
- Shell geçmişi ve diğer yerel geliştirici sırları
Zararlı yazılım, eBPF teknolojisini kullanarak işlem ve dosyaları gizleyebilmekte ve sistemdeki yetkileri artırabilmektedir.
Çözüm ve Korunma
AUR yöneticileri, tüm zararlı taahhütleri tanımlamak ve kaldırmak için çalışmaktadır. Kullanıcılara, karşılaşılan zararlı paketleri bildirmeleri önerilmektedir. Arch kullanıcılarının şu adımları takip etmesi önerilir:
- Etkilenen paketler listesini gözden geçirin ve Whanos tarafından sağlanan tehlike göstergelerini kontrol edin.
- atomic-lockfile zararlısını kontrol eden bir script kullanın. Buradan ulaşabilirsiniz.
- Eğer zararlı paketler bulunursa, tüm kimlik bilgilerini değiştirmeyi ve sistemin kök temizleme işlemlerinin zayıf kalabileceği için Arch’ı baştan kurmayı düşünün.
Bu tür tehditlere karşı en iyi korunma yöntemi, sık güncellemeler alan ve aktif bir topluluk etrafında dönen projeleri güvenilir kabul etmektir.
