AUR (Arch User Repository) снова столкнулся с волной вредоносных пакетов — на этот раз ...
AUR (Arch User Repository) снова столкнулся с волной вредоносных пакетов — на этот раз злоумышленники используют механизм «усыновления» заброшенных пакетов, ранее не имевших сопровождающего. После прошлой атаки, затронувшей более 1500 пакетов, и последовавшей волны спама команда Arch временно отключила функцию передачи пакетов другим пользователям и призвала сообщество внимательно следить за подозрительными действиями. Ситуация усугубляется тем, что почти одновременно о своём уходе объявил Морten Linderud («Foxboron») — разработчик Arch Linux с десятилетним стажем, член security-команды и сопровождающий десятков ключевых пакетов, включая mkinitcpio, Pacman и archlinux-keyring. Он планирует продолжать работу в сфере безопасности (TPM, Secure Boot), но отходит от дел проекта, оставляя без сопровождающего множество важных пакетов. Оба этих событий тревожны: уход опытных мейнтейнеров создаёт «бесхозные» пакеты, которые становятся лёгкой мишенью для атак через тот же механизм усыновления, которым уже пользуются злоумышленники.