Arch Linux يجمّد اعتماد حزم AUR بعد عمليات استحواذ خبيثة
جمّد Arch Linux مؤقتاً اعتماد حزم AUR بعد عمليات استحواذ خبيثة، ما حوّل الخطر من إزالة حزمة واحدة إلى مراجعة مصدر الصيانة ومفاتيح المطورين.
جمّد Arch Linux آلية ثقة عادية في مستودع البرمجيات المجتمعي بعد أن حوّلت عمليات استحواذ خبيثة على حزم AUR إدخالات يتيمة إلى مسار لتوصيل البرمجيات الخبيثة. ذكرت BleepingComputer أن المشروع عطّل مؤقتاً اعتماد حزم Arch User Repository بينما يتعامل المشرفون مع أحداث اعتماد مشبوهة وعمليات commit لاحقة.
يسمح اعتماد AUR عادةً بتبني حزمة يتيمة وتحديثها بواسطة مشرف جديد. في هذه الحملة، أصبح ذلك المسار نقطة يمكن عندها أن يحصل المطورون على أداة مجتمعية مألوفة بعد أن تغيّر سجل صيانتها خلفها.
تحوّل اعتماد الحزم إلى نقطة التحكم
أعلن المساهم Robin Candau في قائمة Arch البريدية أن اعتماد الحزم عُطّل بسبب تدفق حالي من عمليات الاعتماد والـcommits الخبيثة عبر AUR. وطلب Candau أيضاً من المستخدمين الإبلاغ عن أحداث اعتماد أو commits مشبوهة لم تتم معالجتها بعد.
يغيّر ذلك مهمة التشغيل من فحص اسم حزمة واحد إلى فحص مسار المصدر حول الحزمة. الفرق التي تسحب حزم AUR إلى محطات عمل المطورين أو بيئات البناء تحتاج الآن إلى مراجعة ما إذا كانت الحزمة قد اعتُمدت حديثاً، وما إذا تغير حساب المشرف، وما إذا جاء آخر commit من مسار موثوق.
الباحثون أشاروا إلى حمولة Linux على مرحلتين
أفادت Independent Federated Intelligence Network بأن الحملة بدأت في July 29 مع حزمة openconnect-sso. وربط تقييم IFIN نفسه النشاط بأنماط من حملة سابقة، بما في ذلك staging عبر Tor.
وصف تحليل البرمجية الخبيثة مرحلة تحميل أولى ومرحلة ثانية Linux x86_64 بوظائف infostealer وإدارة عن بعد وانتشار عبر SSH. وتحدد خلاصة BleepingComputer بيانات المتصفح، ومحافظ العملات المشفرة، وبيانات مديري كلمات المرور، وأسرار cloud والمطورين، ومفاتيح API لخدمات AI، ومفاتيح SSH، ورموز منصات المراسلة ضمن البيانات المستهدفة، ما يجعل انكشاف بيانات الاعتماد الخطر التشغيلي المركزي.
يجعل ذلك الحادثة أكبر من مشكلة تنظيف جهاز مكتبي. يمكن لمحطة عمل مطور مخترقة أن تربط ثقة الحزم بوصول cloud وبيانات اعتماد المستودعات وحركة SSH داخلية، لذلك يجب أن تشمل المعالجة تدوير المفاتيح ومراجعة الحسابات لا إزالة الحزمة فقط.
إساءة استخدام AUR السابقة رفعت مستوى الخطر
يأتي التجميد الأخير بعد حملة منفصلة في June وصفتها BleepingComputer بأنها أثرت في أكثر من 400 حزمة Arch Linux ببرمجيات rootkit وinfostealer. ونقلت BleepingComputer عن مستخدم Reddit يتابع النشاط الحالي زعمه أن الحملة توسعت إلى أكثر من 200 حزمة AUR، إما عبر حسابات مشرفين مخترقة أو من خلال اعتماد حزم يتيمة.
أشارت BleepingComputer إلى أن حالة الاختراق لتلك الحزم لم تُؤكد بشكل مستقل وأن القائمة الكاملة بكل الحزم التي يُعتقد أنها خبيثة لم تكن متاحة وقت النشر. إلى أن ينشر مشرفو Arch حلاً أوضح، يبقى أمام فرق الدفاع مسار تدقيق عملي: سجل الاعتماد الحديث، والـcommits الجديدة، وانكشاف بيانات الاعتماد محلياً.
