Una letra de más basta para comprometer Linux: hackers suplantaron herramientas populares

Se detectaron en Arch Linux paquetes falsos que se hacían pasar por las populares herramientas yay y paru y que, al instalarse, ejecutaban código malicioso con privilegios root. Los atacantes ocultaron comandos peligrosos entre componentes legítimos de los programas para que los usuarios no notaran la suplantación.

La campaña fue detectada el 13 de octubre en Arch User Repository (AUR), el catálogo de paquetes de usuario para Arch Linux y distribuciones derivadas. Un atacante con el alias marchos1as subió masivamente programas con nombres semejantes a utilidades conocidas. Los paquetes maliciosos se difundieron a través de AUR, donde la comunidad publica scripts de construcción para programas que no están en los repositorios oficiales.

Los principales cebos fueron yay y paru, herramientas de línea de comandos que facilitan la búsqueda, compilación e instalación de programas desde AUR. Por ejemplo, el paquete falso yyay reproducía prácticamente al yay legítimo. El mantenedor de AUR Andreas Reichel determinó que el autor conservó la URL original del proyecto y el archivo del código fuente, pero añadió un script de instalación malicioso.

Al instalar ese paquete, un script adicional descargaba un script shell remoto y lo ejecutaba con privilegios root. Como resultado, código externo obtenía los máximos privilegios del sistema. Para entregar el contenido malicioso, el atacante usó un enlace de Wayback Machine que apuntaba al repositorio personal hellscripter/install-scripts en la plataforma rusa GitFlic.

La comunidad de Arch Linux alertó al notar la publicación masiva de paquetes sospechosos. El desarrollador Emiliano Gandini Outeda también detectó programas infectados mediante reglas de su propia herramienta TrustSight. Los administradores de AUR bloquearon la cuenta marchos1as y eliminaron los paquetes maliciosos. Aún se desconoce el número de usuarios afectados.

La infraestructura del ataque recuerda a la campaña DirtyBlanket, que fue investigó SafeDep. En septiembre los atacantes publicaron en npm nueve paquetes falsos capaces de propagar un gusano para Linux. El malware instalaba el troyano CHAOS bajo la apariencia de un servicio de fuentes del sistema, usaba claves SSH para acceder a otras máquinas e inyectaba un cargador en paquetes AUR.

En ambas campañas aparecen los repositorios hellscripter/install-scripts y enlaces de Wayback Machine. Sin embargo, en el caso de DirtyBlanket el código se alojó en Codeberg, mientras que en el ataque de octubre apareció GitFlic. Las coincidencias despiertan sospechas, pero los investigadores aún no han confirmado que las dos operaciones hayan sido obra del mismo grupo. No se puede atribuir automáticamente las capacidades del gusano DirtyBlanket a los nuevos paquetes falsos.

Para Arch Linux el problema no es nuevo. En junio los atacantes infectaron cientos de paquetes AUR, distribuyendo un ladrón de datos con capacidades de rootkit. En julio los desarrolladores prohibieron temporalmente adoptar paquetes abandonados para su mantenimiento debido a capturas masivas. El ataque actual utiliza un enfoque distinto, ofreciendo a los usuarios programas con nombres parecidos a los reales.

A los usuarios que instalaron paquetes sospechosos se les recomienda considerar el sistema comprometido, comprobar sus credenciales y reinstalar el sistema operativo desde una imagen de confianza. Antes de instalar programas desde AUR conviene verificar el nombre exacto del paquete, el mantenedor y el contenido de PKGBUILD y los scripts de instalación. Una suplantación similar ya se había utilizado antes para distribuir el RAT CHAOS mediante paquetes de navegador falsos.