- Büyük bir güvenlik ihlali, Arch Kullanıcı Deposu'ndaki (AUR) 400'den fazla paketi tehlikeye attı.
- Kötü amaçlı kampanya, kod çalıştırmak için commit sahtekarlığı ve yetkisiz npm/bun bağımlılıklarını kullandı.
- Sorun yalnızca kullanıcılar tarafından sürdürülen içerikle sınırlı olduğundan, resmi Arch Linux depoları tamamen etkilenmemiştir.
- Sistem yöneticileri, kötü amaçlı kod değişikliklerini aktif olarak temizliyor ve saldırıya karışan hesapları yasaklıyor.
Arch Linux kullanan herkes için son birkaç gün oldukça kaotik geçti; zira Arch Kullanıcı Deposu'na (AUR) sızmayı başaran büyük bir kötü amaçlı yazılım kampanyasıyla ilgili haberler ortaya çıktı . Bu topluluk odaklı merkez, ana depolarda bulunmayan çok çeşitli yazılımlarıyla seviliyor olsa da, son zamanlarda masum kullanıcıların güvenini istismar etmeye çalışan kötü niyetli aktörler için bir avlanma alanı haline geldi.
En baştan açıkça belirtmek gerekirse, bu güvenlik olayı kesinlikle AUR ile sınırlıdır ve Arch Linux ekibi tarafından doğrudan yönetilen resmi paketleri etkilemez . Bununla birlikte, birçok kullanıcı yazılım kurulumlarını otomatikleştirmek için AUR yardımcılarına güvendiğinden, yerel bir sistem güvenliğinin tehlikeye atılması olasılığı, topluluğu bir nebze savunma pozisyonuna sokmuştur.
400'lü Paket Uzlaşmasının Mekaniği
Teknik raporlara ve e-posta listesi tartışmalarına göre, bu koordineli saldırı sırasında 400'den fazla ayrı paket değiştirildi. Suçlular sadece niş araçları hedef almakla kalmadılar; exodus-wallet-bin, alvr ve anythingllm-appimage gibi yüksek profilli girdileri de hedef alarak , kötü amaçlı kodlarının çok çeşitli sistemlere ulaşma şansını en üst düzeye çıkardılar.
Bu kampanyanın en endişe verici yönlerinden biri, saldırganların kod değişiklik geçmişlerinde geliştirici kimliklerini nasıl taklit etmeyi başardıklarıydı . Meşru geliştiricilerin adlarını ve e-posta adreslerini taklit ederek, kötü amaçlı güncellemeleri standart bakım görevleri gibi gösterdiler; bu da sıradan bir gözlemcinin kodun derinliklerine inmeden bir şeylerin yanlış olduğunu fark etmesini çok daha zorlaştırdı.
Teknik olarak, kötü amaçlı yazılım genellikle npm veya bun gibi araçları çağıran ve atomic-lockfile gibi yetkisiz bağımlılıkları indiren kancalar ekleyerek çalışıyordu . Özellikle nodejs-elm paketi gibi durumlarda, PKGBUILD, /tmp dizini içinde doğrudan komut dosyaları çalıştırmak üzere değiştirilmişti; bu da kurulum işlemi sırasında harici kod çalıştırmak için bir arka kapı açıyordu.
Topluluk Nasıl Karşı Koyuyor?
Aur-general posta listesinde uyarı işaretleri belirir belirmez, Arch Linux yöneticileri kötü amaçlı commit'leri temizlemek ve ihlalle bağlantılı hesapları kalıcı olarak yasaklamak için harekete geçti. Bu hızlı müdahale, enfeksiyonun daha fazla yayılmasını önlemede çok önemliydi, ancak bu kadar büyük miktarda paketin temizlenmesi süreci anlaşılır bir şekilde biraz zahmetliydi.
Ekosistem içindeki diğer dağıtımlar, örneğin CachyOS, kullanıcıların yerel sistemlerinin tehlikeye atılmış paketlerden etkilenip etkilenmediğini kontrol etmelerine yardımcı olacak komut dosyaları yayınlayarak proaktif davrandılar . Bu tarayıcılar hızlı bir kontrol için son derece faydalı olsa da, kusursuz değiller ve kullanıcılara temiz bir taramanın mutlaka temkinli olmayı bırakmaları gerektiği anlamına gelmediği konusunda hala uyarıda bulunuluyor.
Topluluk deposundan sık sık yazılım indirenler için mevcut öneri, durum tamamen istikrara kavuşana kadar tüm AUR güncellemelerini durdurmaktır . Eğer mutlaka bir şey yüklemeniz gerekiyorsa, kurulum tarifine garip npm komutlarının veya beklenmedik harici indirmelerin eklenmediğinden emin olmak için PKGBUILD'in farkını manuel olarak incelemeniz çok önemlidir.
Bu olay, AUR yardımcı araçlarına fazla alışmış kullanıcılar için yüksek sesle bir uyarı niteliğinde. Paru veya yay gibi araçları kullanmak kolay olsa da, AUR'un dağıtık güven modelinin güvenli kalması için biraz manuel gözetim gerektirmesi nedeniyle, enter tuşuna basmadan önce komut dosyalarını okuma alışkanlığının yerini almamalıdır.
Son dönemdeki bu kötü niyetli faaliyet dalgası, topluluk yazılım depolarının açıklığı ile titiz güvenlik protokollerine duyulan ihtiyaç arasındaki süregelen mücadeleyi vurgulamaktadır. Bakımcıların hızlı müdahalesi, acil tehdidi etkisiz hale getirmiş ve deponun bütünlüğünü güvence altına almış olsa da, bu olay, kullanıcıların kendi kendine geliştirilen bir işletim sisteminde son savunma hattı olduğunu acı bir şekilde hatırlatmaktadır. Bilgili kalmak ve temel dijital hijyen uygulamak, bu tür koordineli tedarik zinciri saldırılarının kurbanı olmadan Arch Linux'un esnekliğinden yararlanmanın tek yoludur.
