In questo articolo Indice dei contenuti 2 sezioni
Una nuova minaccia ha colpito la comunità di Arch Linux, la distribuzione molto amata da chi vuole il pieno controllo del proprio sistema. Un attore malevolo ha caricato sull’Arch User Repository, meglio conosciuto come AUR, alcuni pacchetti falsi che si spacciavano per due strumenti tra i più popolari dell’ecosistema, cioè yay e paru. Dietro l’aspetto familiare si nascondeva un malware capace di agire con i privilegi di root, e quindi con il massimo livello di accesso alla macchina.
Il meccanismo è tanto semplice quanto insidioso. Chi cercava uno dei due programmi poteva imbattersi nella versione contraffatta e installarla senza sospettare nulla, proprio perché il nome richiamava quello di software usati quotidianamente da moltissimi utenti della distribuzione. L’operazione puntava sull’abitudine e sulla fiducia, due elementi che in un ambiente aperto e collaborativo giocano un ruolo enorme.
Cosa sono yay e paru e perché sono finiti nel mirino
Per capire la portata dell’attacco conviene fare un passo indietro. L’AUR è un archivio gestito dalla comunità in cui gli utenti pubblicano script per compilare e installare programmi che non fanno parte dei repository ufficiali di Arch. È una risorsa preziosa perché permette di trovare praticamente qualsiasi software, ma proprio la sua natura aperta lo rende un terreno su cui chiunque può caricare contenuti. I pacchetti presenti in questo spazio non passano dalla stessa verifica riservata a quelli ufficiali, e la responsabilità di controllare cosa si installa ricade in buona parte su chi lo scarica.
Qui entrano in scena yay e paru. Si tratta dei cosiddetti AUR helper, strumenti che automatizzano la ricerca, il download e la compilazione dei pacchetti presenti nell’archivio comunitario. Invece di gestire ogni passaggio a mano, l’utente digita un comando e lascia fare al programma. La loro diffusione è enorme e proprio questa popolarità li ha trasformati in un bersaglio ideale. Imitare uno strumento che tutti conoscono significa aumentare in modo sensibile le probabilità che qualcuno cada nella trappola, soprattutto chi si avvicina ad Arch da poco e magari segue una guida trovata online senza guardare troppo per il sottile.
Il problema dei privilegi di root
L’aspetto più delicato dell’intera vicenda riguarda il livello di accesso ottenuto dal codice malevolo. L’installazione dei pacchetti su Arch richiede permessi amministrativi, e un software che riesce a girare con i privilegi di root ha in mano le chiavi dell’intero sistema. Può leggere e modificare qualsiasi file, alterare configurazioni sensibili e muoversi con una libertà che un normale programma eseguito dall’utente non avrebbe mai.
Un malware con questi poteri rappresenta il peggiore degli scenari possibili per chi amministra una macchina Linux. La fiducia riposta in strumenti di uso comune diventa così il punto debole sfruttato dall’attaccante, che non ha avuto bisogno di forzare alcuna protezione tecnica ma ha semplicemente atteso che fosse la vittima stessa a concedere l’accesso durante l’installazione.
Va detto che l’AUR mette a disposizione gli script di compilazione, i cosiddetti PKGBUILD, proprio perché chiunque possa leggerli prima di procedere. Dare un’occhiata a quel file, verificare con attenzione il nome esatto del pacchetto e controllare chi lo mantiene sono passaggi che spesso vengono saltati per fretta, ed è esattamente su questa disattenzione che fanno leva campagne come questa. Nel caso specifico i pacchetti falsi imitavano yay e paru, due nomi che gli utenti di Arch Linux associano a strumenti affidabili e che proprio per questo si prestavano a un inganno di questo tipo, con il risultato di portare sul sistema delle vittime un malware dotato dei privilegi di root.
Fonte: TecnoAndroid