Nutzer der Linux-Distribution Arch Linux sollten vorübergehend auf die Nutzung der Arch User Repositories (AUR) verzichten. Sie sind erneut Einfallstor für Malware. Als vorübergehende Sofortmaßnahme hat das Projekt Arch Linux am Donnerstag die Übergabe verwaister AUR an neue Inhaber ausgesetzt. Doch das reichte nicht. Seit Samstag werden überhaupt alle Updates (push) von AUR unterbunden.

Zudem ist der Download (pull) von AUR-Instruktionen eingeschränkt. Über https:// funktioniert er noch, ist aber für den Produktiveinsatz nicht zu empfehlen. Denn die Einschränkungen sollen die weitere Verbreitung von Malware über AUR hintanthalten, bis das Projekt eine Lösung gefunden hat.

Es ist die zweite große Malware-Epidemie bei AUR in den letzten Wochen. Im Juni brach bereits eine Angriffswelle via AUR über Arch Linux herein. Hunderte AUR-Paketbeschreibungen wurden mit Passwort-Stehlern verunreinigt, die dann auf Arch-Linux-Rechnern installiert wurden.

Ungeprüfte Instruktionen

AUR enthalten selbst keine Software, sondern PKGBUILD genannte Rezepte, mit denen Nutzer sich Softwarepakete am eigenen Rechner automatisiert zusammenbauen können. Diese Rezepte werden nicht unabhängig geprüft, ihre Anwendung erfolgt auf eigene Gefahr. Das AUR-Portfolio enthält praktische und bequeme Software-Rezepte, sodass viele Arch-User gerne zugreifen, ohne alles nachzuprüfen. Empfiehlt das Rezept jedoch Malware und der Nutzer nickt das ab, kommt es zum Malheur.

Wird ein AUR offenbar nicht mehr gewartet, können Nutzer dies melden. Nach einer Weile wird das Repository als verwaist markiert. Dann können Dritte es „adoptieren“ und die Wartung übernehmen. Dies nutzten Angreifer aus: Sie übernehmen verwaiste Beschreibungen und manipulieren das Rezept. Alternativ können Angreifer versuchen, den Zugang des echten Administrators zu übernehmen, um das Repository zu verändern.

Diesmal erfolgt ein zweistufiger Angriff, wie eine Analyse des Hamburgers Youssef Rebahi-Gilbert offenlegt. Zunächst wird ein Loader installiert, der seinen eigenen TOR-Client anlegt und dann von einem .onion-Server die Hauptmalware bezieht, bevor er sich deaktiviert. Die Hauptmalware ist demnach vielfältig: Sie kopiert Daten, insbesondere Zugangsdaten und Kryptowährungsschlüssel, erlaubt die Ausführung beliebiger Instruktionen des Malware-Betreibers über eine Hintertür (Remote Access Trojan, RAT), und versucht zudem sich via SSH weiterzuverbreiten (Wurm).

Das Angriffskonzept ist so erfolgreich, dass das Projekt Arch Linux die Pausetaste drücken muss. Welche Änderungen AUR wann retten sollen, ist offen.

(ds)