AUR套件庫遭供應鏈攻擊，Arch Linux暫停採用AUR套件功能

Arch Linux的社群套件庫AUR（Arch User Repository）近期再度出現供應鏈攻擊活動，導致官方暫時停用套件採用功能。這次攻擊活動中，大量AUR套件遭惡意接手，且出現可疑的程式碼提交。

根據資安研究社群IFIN的調查，最初遭植入惡意程式的套件是openconnect-sso，該套件於7月29日出現異常。IFIN認為，這波攻擊的多項行為與今年6月發生的AUR供應鏈攻擊相似，尤其是透過Tor網路外傳竊得資料的行為。Tor網路是一種匿名通信網路，允許用戶在網路上進行匿名通信。

GitHub使用者ysf分析openconnect-sso散布的惡意程式後發現，攻擊者竄改該套件的建置流程，使使用者建置套件時執行惡意載入器，再透過Tor網路下載第二階段惡意程式。這第二階段惡意程式可竊取瀏覽器帳密、加密貨幣錢包與密碼管理工具中的資料，也會搜尋雲端服務與程式開發環境中的憑證及機密資料，包括AWS、Azure、Google Cloud與Kubernetes相關憑證，GitHub與GitLab權杖，以及OpenAI、Anthropic與Google Gemini的API金鑰、HashiCorp Vault權杖。

背景與影響

AUR套件庫是Arch Linux用戶的重要資源，提供了大量的軟體套件。但是，AUR套件庫的開放性也使其容易受到攻擊。這次供應鏈攻擊活動凸顯了AUR套件庫的安全性問題，同時也提醒用戶需要更加注意套件的安全性。

Arch Linux開發維運團隊的暫時停用套件採用功能是為了防止攻擊者的惡意程式碼進一步傳播。然而，這也會對用戶的正常使用造成影響。用戶需要等待官方解除停用套件採用功能，或者尋找其他替代的軟體套件。

未來展望

AUR套件庫遭供應鏈攻擊的事件提醒我們，軟體安全性是非常重要的。用戶需要更加注意套件的安全性，同時也需要Arch Linux開發維運團隊加強AUR套件庫的安全性。未來，Arch Linux開發維運團隊可能會採取更嚴格的安全措施，以防止類似的攻擊活動再次發生。

同時，資安研究社群如IFIN的努力也非常重要，他們的調查和分析幫助我們了解攻擊者的行為和目標。用戶可以透過這些資安研究社群的報告和分析，更加了解軟體安全性問題，同時也可以採取更有效的防護措施。

最後，AUR套件庫遭供應鏈攻擊的事件也提醒我們，雲端安全和程式開發環境的安全性是非常重要的。用戶需要更加注意自己的雲端服務和程式開發環境中的憑證及機密資料，同時也需要採取更有效的安全措施，以防止攻擊者的惡意程式碼進一步傳播。