400以上のArch Linuxパッケージが侵害され、ルートキットや情報窃取型マルウェアが仕込まれた

Arch User Repository（AUR）内の400以上のパッケージが、認証情報やアクセストークンを狙ったLinux用ルートキットおよび情報窃取型マルウェアを配布しています。

オープンソース情報コミュニティ「Independent Federated Intelligence Network（IFIN）」の報告によると、新たなメンテナがAURプラットフォーム上で信頼できるパブリッシャーを装い、感染したパッケージを配布しているとのことです。

Arch Linuxディストリビューションはパワーユーザーや開発者の間で人気があり、AURカタログを利用して、インストール済みのソフトウェア、ドライバ、カーネルの最新版を提供しています。

AURはArchディストリビューション向けのコミュニティ管理リポジトリであり、Archの公式リポジトリでは入手できないソフトウェアのダウンロード、コンパイル、インストール手順を記載したパッケージビルドスクリプト（PKGBUILD）が含まれています。

AURには、プロプライエタリなアプリケーション、オープンソースソフトウェアのベータ版やナイトリービルド、ニッチなユーティリティ、および後のリリースで削除された機能を保持しているパッケージの旧バージョンなどが含まれているため、Archベースのディストリビューションにとって不可欠なものと考えられています。

しかし、AURは審査済みの場ではなく、攻撃者はこれを利用して、誰にも気づかれることなく所有権を変更したパッケージを通じてマルウェアを配布することが可能です。

IFINのメンバーであるMichael Taggart氏によると、侵害されたパッケージは、atomic-lockfileと呼ばれる悪意のあるnpmパッケージをダウンロードして実行するプレインストールスクリプトによって改変されています。

独立系セキュリティ研究者のWhanos氏は、atomic-lockfileのサンプルの一つに「deps」という名前のLinux ELFペイロードが含まれており、これは「オプションでroot限定のeBPF（拡張Berkeley Packet Filter）ルートキット機能を備えた認証情報窃取型マルウェア」であると指摘しています。

「これは開発者のワークステーションやビルド環境向けに設計されています。標的となるのは、ブラウザやElectronアプリケーションのデータ、Slack、Microsoft Teams、Discord、GitHub、npm、Vault、Docker/Podman、SSH、VPN関連情報、シェル履歴、およびその他のローカルな開発者秘密情報です」と、Whanos氏はレポートで述べています。

eBPF技術を活用することで、このマルウェアは特権を昇格させてカーネル内部で実行され、ローカルプロセスを隠蔽することが可能です。

サプライチェーン管理企業のSonatypeも、AURリポジトリを標的とし、悪意のあるnpmパッケージ「atomic-lockfile」を配布するキャンペーンに関するレポートを発表したが、その手法は異なるものであった。

Sonatype の研究者によると、この脅威アクターは AUR 上の少なくとも 20 の放置されたパッケージを乗っ取り、Arch Linux パッケージに必要なビルド情報を含む Bash スクリプトである PKGBUILD ファイルを改変して atomic-lockfile をプッシュしたとのことです。

報告書によると、攻撃者はnpmを呼び出して悪意のあるパッケージを取得するためのインストール後スクリプトを追加した。

「改変されたパッケージには、パッケージのインストール中に npm を呼び出して atomic-lockfile をインストールするポストインストールスクリプトが追加されています」とSonatype は述べています。

しかし、分析の結果、このnpmパッケージは、プロセス、ファイル、およびネットワークインターフェースを隠蔽できるeBPFルートキットへの参照を含むLinux実行ファイルをインストールすることが判明した。

さらに、このLinuxバイナリには情報窃取機能が含まれており、以下の種類の機密情報を標的としていることが判明した：

• GitHubの認証情報
• SSH関連情報
• HashiCorp Vault トークン
• ブラウザのクッキーデータベース
• Slackデータ
• Discordデータ
• Microsoft Teamsのデータ
• Telegramのデータ

Sonatypeは、このバイナリがデータのアーカイブ、マルチパートファイルの処理、およびHTTPアップロードを実行できることを確認しており、一般的な情報漏洩メカニズムに必要な機能が備わっている。

AURのメンテナは、すべての悪意のあるコミットを特定して削除し、それらをプッシュしたアカウントを禁止する作業を進めています。

Arch Linux パッケージのメンテナである Jonathan Grotelüschen 氏は、コミュニティへのメッセージの中で、発見した悪意のあるパッケージをすべて報告するようユーザーに呼びかけました。

一般的なルールとして、頻繁に更新が行われ、活発なコミュニティが存在するプロジェクトのみを信頼することをお勧めします。

Arch ユーザーは、影響を受けるパッケージのリストを確認し、Whanos のレポートに記載されている侵害の兆候を探すことが推奨されます。

Michael Taggart氏はまた、システム上のatomic-lockfileマルウェアをチェックするスクリプトについても言及しました。

侵害されたパッケージが見つかった場合、通常のクリーンアップ作業ではルートキットが残存する可能性があるため、ユーザーはすべての認証情報を更新し、Archを最初から再インストールすることを検討すべきです。