Arch Linux, AUR Üzerinden Yayınlanan Kötü Amaçlı CHAOS RAT Paketlerini Kaldırdı
Arch Linux, kullanıcı topluluğu tarafından tespit edilen üç kötü amaçlı AUR (Arch User Repository) paketini yayından kaldırdı. Bu paketlerin CHAOS adlı uzaktan erişim truva atı (RAT) içerdiği anlaşıldı. Paketler, sistem üzerinde tam kontrol sağlayan tehlikeli bir zararlı yazılımı kuruyordu.
Kötü Amaçlı Paketler İki Gün İçinde Silindi
“librewolf-fix-bin”, “firefox-patch-bin” ve “zen-browser-patched-bin” adlarını taşıyan bu paketler, 16 Temmuz’da “danikpapas” kullanıcı adıyla AUR’ye yüklendi. Topluluk üyeleri, bu paketlerde olağandışı hareketler fark ederek durumu Arch Linux ekibine bildirdi. Geliştirici ekip, ihbarların ardından 18 Temmuz’da tüm paketleri sistemden kaldırdı.
Her bir paketin yapım betiği olan PKGBUILD dosyasında, “patches” adlı bir kaynak bölümü yer alıyordu. Bu bölümde, saldırgana ait bir GitHub deposuna yönlendirme yapılıyordu. Paket kurulum sürecinde bu depo klonlanıyor ve sahte bir yama gibi gösterilen zararlı komutlar çalıştırılıyordu. GitHub deposu daha sonra silindiği için detaylı analiz imkânı kalmadı.
CHAOS RAT, hem Linux hem de Windows sistemlerde çalışabilen açık kaynak bir zararlı yazılımdır. Saldırganlar bu yazılım aracılığıyla dosya yükleme, veri indirme, komut çalıştırma ve ters kabuk (reverse shell) açma gibi işlemler gerçekleştirebiliyor. Kurban cihaz, sürekli olarak komut bekleyen bir kontrol sunucusuna bağlanıyor. Bu kampanyada kullanılan sunucunun IP adresi 130.162[.]225[.]47:8080 olarak tespit edildi.
Aynı günlerde, yıllardır etkin olmayan bazı Reddit hesapları tekrar aktif hâle gelerek AUR üzerindeki bu paketleri öven yorumlar yaptı. Kullanıcılar bu yorumları sorgulayarak bir bileşeni VirusTotal’a yükledi. Yapılan analiz sonucu dosyanın CHAOS RAT içerdiği netleşti. Bu da olayın geniş çaplı bir sosyal mühendislik planı içerdiğini gösterdi.
Arch Linux ekibi, bu paketleri kurmuş olabilecek kullanıcılara özel bir uyarıda bulundu. Kullanıcıların /tmp dizininde “systemd-initd” adlı şüpheli bir çalıştırılabilir dosya olup olmadığını kontrol etmeleri gerektiği belirtildi. Böyle bir dosya tespit edilirse derhâl silinmesi gerektiği ifade edildi.
Bu olay, AUR sisteminin açık yapısının potansiyel risklerini bir kez daha ortaya koydu. Arch Linux kullanıcılarına, herhangi bir paketi kurmadan önce PKGBUILD dosyasını dikkatlice incelemeleri önerildi. Arch ekibi, benzer olayların yaşanmaması için kullanıcıların topluluk denetimini sürdürmelerinin kritik önem taşıdığını vurguladı.
