Die aktuelle Angriffswelle trifft das AUR nicht zum ersten Mal. Bereits im Juni lief laut Quelltext eine separate Kampagne über mehr als 400 Pakete, die ein Linux-Rootkit und Infostealer-Malware an ahnungslose Nutzer verteilte.
In der jüngsten Attacke beobachtete IFIN eine zweistufige Infektionskette. Die erste Stufe dient als Ladeprogramm, die zweite als Linux-x86_64-Nutzlast. Diese beschreiben die Forscher als Stealer-Malware mit Funktionen für Fernadministration sowie als SSH-Wurm.
Nach der Analyse von IFIN versucht die erste Stufe, einer Entdeckung auszuweichen, indem sie auf Debugger, Sandboxes, virtuelle Maschinen und CI/CD-Umgebungen prüft. Anschließend richtet sie systemd-Dienste und Cron-Jobs ein, um sich dauerhaft im System zu verankern. Danach lädt sie einen als dbus-daemon getarnten Tor-Client nach und startet ihn, um die zweite Stufe von einem „.onion“-Server abzurufen.
Die zweite Stufe ist ein in Rust entwickelter Infostealer. Ziel sind Browser-Zugangsdaten, Kryptowährungs-Wallets, Daten aus Passwortmanagern, Cloud- und Entwickler-Geheimnisse, API-Schlüssel von KI-Diensten, SSH-Schlüssel sowie Token von Messaging-Plattformen.
Zusätzlich verschafft die Malware den Angreifern die Möglichkeit, über einen verschlüsselten Tor-Kanal Befehle aus der Ferne auszuführen. Außerdem kann sie sich seitlich ausbreiten, indem sie gestohlene SSH-Schlüssel nutzt, um sich auf andere Systeme zu kopieren und dort auszuführen.
Ein Reddit-Nutzer, der die Kampagne verfolgt, behauptet, dass sie sich auf mehr als 200 AUR-Pakete ausgeweitet habe. Demnach erfolgte die Verbreitung entweder über kompromittierte Betreuerkonten oder durch die Übernahme verwaister Pakete.
Nach Angaben desselben Forschers sollen auch vergleichsweise populäre AUR-Pakete betroffen sein, darunter boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin und pgadmin4-server. Unabhängig bestätigt ist der kompromittierte Status dieser Pakete laut Quelltext bislang nicht. Auch eine vollständige Liste aller rund 200 mutmaßlich bösartigen AUR-Pakete lag zum Zeitpunkt der Veröffentlichung noch nicht vor.