สรุปสั้น

โครงการ Arch Linux ตัดสินใจปิดฟังก์ชันรับช่วง (adoption) แพ็กเกจบน Arch User Repository หรือ AUR เป็นการชั่วคราว หลังเผชิญคลื่นการยึดแพ็กเกจที่มีอยู่เดิมเพื่อฝังมัลแวร์อย่างต่อเนื่อง โดยนาย Robin Candau ผู้ร่วมพัฒนาของโครงการ เป็นผู้ประกาศเรื่องนี้ผ่านเมลลิงลิสต์ของดิสทริบิวชัน และระบุว่าเป็นมาตรการชั่วคราวจนกว่าจะหาทางแก้ที่ถาวรได้ พร้อมขอให้ผู้ใช้ช่วยกันรายงานเหตุการณ์รับช่วงแพ็กเกจหรือคอมมิตที่น่าสงสัยซึ่งยังไม่มีใครจัดการเข้ามา

การวิเคราะห์เชิงเทคนิคโดยเครือข่าย Independent Federated Intelligence Network (IFIN) ระบุว่าปฏิบัติการรอบนี้เริ่มขึ้นเมื่อวันที่ 29 กรกฎาคม 2569 จากแพ็กเกจชื่อ openconnect-sso และมีลักษณะคล้ายคลึงกับปฏิบัติการรอบก่อนหลายจุด โดยเฉพาะการใช้เครือข่าย Tor เป็นจุดพักเพย์โหลด การติดเชื้อแบ่งออกเป็นสองขั้น ขั้นแรกเป็นโหลดเดอร์ที่คอยหลบการตรวจจับ ส่วนขั้นที่สองเป็นมัลแวร์ขโมยข้อมูลที่เขียนด้วยภาษา Rust ทำงานบน Linux x86_64 ซึ่งมาพร้อมความสามารถสั่งงานจากระยะไกลและแพร่ตัวเองข้ามเครื่องแบบเวิร์มผ่าน SSH

ขอบเขตความเสียหายที่แท้จริงยังไม่ชัดเจน ผู้ใช้ Reddit รายหนึ่งที่ติดตามปฏิบัติการนี้อ้างว่าการโจมตีลามไปแล้วกว่า 200 แพ็กเกจ ทั้งผ่านบัญชีผู้ดูแลที่ถูกยึดและผ่านการรับช่วงแพ็กเกจที่ถูกละทิ้ง แต่สถานะการถูกฝังมัลแวร์ของแพ็กเกจเหล่านั้นยังไม่ได้รับการยืนยันจากแหล่งอิสระ และยังไม่มีการเผยแพร่รายชื่อแพ็กเกจทั้งหมดที่เชื่อว่าเป็นอันตราย ณ เวลาที่รายงานข่าว

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 31 กรกฎาคม พ.ศ. 2569 ว่า โครงการ Arch Linux ได้ระงับการรับช่วงแพ็กเกจบน AUR เป็นการชั่วคราว หลังพบว่ามีการยึดแพ็กเกจที่มีอยู่แล้วเพื่อฝังโค้ดอันตรายเพิ่มขึ้นอย่างผิดปกติ ประกาศดังกล่าวเผยแพร่บนเมลลิงลิสต์ aur-general โดยนาย Robin Candau ซึ่งเขียนว่า “เนื่องจากขณะนี้มีการรับช่วงแพ็กเกจที่เป็นอันตรายและคอมมิตต่อเนื่องหลั่งไหลเข้ามาผ่าน AUR การรับช่วงแพ็กเกจจึงถูกปิดไว้ระหว่างที่เรากำลังจัดการกับสถานการณ์”

AUR เป็นคลังแพ็กเกจที่ชุมชนดูแลกันเอง ไม่ได้ผ่านการตรวจสอบอย่างเป็นทางการจากทีม Arch Linux และเปิดให้ผู้ใช้คนอื่นเข้ามารับช่วงแพ็กเกจที่เจ้าของเดิมละทิ้งไปแล้วได้ กลไกนี้เองที่กลายเป็นช่องทางหลักของการโจมตี เพราะผู้โจมตีสามารถเข้าไปเป็นผู้ดูแลแพ็กเกจที่มีผู้ใช้อยู่จริงแล้วแก้ไขสคริปต์ติดตั้งได้ทันที โดยไม่ต้องเจาะระบบใด ๆ

เครือข่าย IFIN ซึ่งเข้าไปวิเคราะห์ตัวอย่างมัลแวร์ ระบุว่าปฏิบัติการรอบนี้เริ่มต้นเมื่อวันที่ 29 กรกฎาคม 2569 ที่แพ็กเกจ openconnect-sso และมีจุดร่วมกับปฏิบัติการครั้งก่อนหน้าหลายอย่าง ที่เด่นชัดที่สุดคือการใช้เครือข่าย Tor เป็นจุดพักและส่งมอบเพย์โหลด ซึ่งเป็นลายเซ็นเดียวกับคลื่นการโจมตี AUR เมื่อเดือนมิถุนายนที่กระทบแพ็กเกจกว่า 400 รายการและแจกจ่ายรูตคิตกับมัลแวร์ขโมยข้อมูลบน Linux (ดูรายละเอียดในโพสต์ 086 ของเดือนมิถุนายน 2569) แม้จะยังไม่มีการฟันธงว่าเป็นผู้ก่อเหตุรายเดียวกัน

สิ่งที่ทำให้เหตุการณ์รอบนี้ประเมินความเสียหายได้ยากคือข้อมูลฝั่งขอบเขตยังขาดอยู่มาก ตัวเลข 200 แพ็กเกจมาจากผู้ใช้ Reddit ที่ติดตามเรื่องนี้ ไม่ใช่จากทีม Arch Linux หรือจากผู้ให้บริการด้านความปลอดภัยรายใด และรายชื่อแพ็กเกจทั้งหมดก็ยังไม่ถูกเปิดเผย ผู้ใช้จึงยังไม่มีเช็กลิสต์ที่เชื่อถือได้ว่าเครื่องของตัวเองติดหรือไม่ นอกจากนี้ยังไม่มีการเปิดเผยว่าบัญชีผู้ดูแลที่ถูกยึดนั้นถูกยึดด้วยวิธีใด

แพ็กเกจที่นักวิจัยรายเดียวกันระบุว่าได้รับผลกระทบและมีผู้ใช้ค่อนข้างมาก ได้แก่ boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin และ pgadmin4-server ทั้งนี้สถานะการถูกฝังมัลแวร์ของแพ็กเกจเหล่านี้ยังไม่ได้รับการยืนยันอย่างเป็นอิสระ ผู้ใช้ที่เคยติดตั้งหรืออัปเดตแพ็กเกจดังกล่าวในช่วงปลายเดือนกรกฎาคมจึงควรถือว่าเครื่องมีความเสี่ยงไว้ก่อน

วิธีการโจมตี

ห่วงโซ่การติดเชื้อแบ่งเป็นสองขั้นชัดเจน ขั้นแรกคือโหลดเดอร์ที่ถูกฝังมาพร้อมแพ็กเกจ ก่อนทำงานจริงมันจะตรวจสภาพแวดล้อมเสียก่อนว่ากำลังถูกวิเคราะห์อยู่หรือไม่ ทั้งการมองหาดีบักเกอร์ แซนด์บ็อกซ์ เครื่องเสมือน และสภาพแวดล้อม CI/CD ถ้าผ่านด่านนี้จึงจะติดตั้งเซอร์วิสของ systemd และงาน cron เพื่อให้ตัวเองทำงานต่อเนื่องแม้รีบูตเครื่อง จากนั้นโหลดเดอร์จะดาวน์โหลดไคลเอนต์ Tor มารันโดยปลอมชื่อโปรเซสเป็น dbus-daemon เพื่อกลมกลืนกับโปรเซสระบบปกติ แล้วใช้ช่องทางนั้นดึงเพย์โหลดขั้นที่สองจากเซิร์ฟเวอร์ .onion

เพย์โหลดขั้นที่สองเป็นมัลแวร์ขโมยข้อมูลที่เขียนด้วยภาษา Rust สำหรับ Linux x86_64 เป้าหมายการเก็บข้อมูลกว้างกว่ามัลแวร์ทั่วไปพอสมควร ครอบคลุมข้อมูลรับรองในเบราว์เซอร์ กระเป๋าเงินคริปโทเคอร์เรนซี ข้อมูลในโปรแกรมจัดการรหัสผ่าน ความลับของบริการคลาวด์และเครื่องมือนักพัฒนา คีย์ API ของบริการ AI กุญแจ SSH รวมถึงโทเคนของแพลตฟอร์มแชต

นอกจากขโมยข้อมูลแล้ว มัลแวร์ยังเปิดช่องให้ผู้โจมตีสั่งรันคำสั่งจากระยะไกลผ่านช่องทาง Tor ที่เข้ารหัสไว้ และมีความสามารถแบบเวิร์ม คือใช้กุญแจ SSH ที่ขโมยมาคัดลอกตัวเองไปรันบนเครื่องอื่นที่เครื่องเหยื่อเข้าถึงได้ ทำให้การติดเชื้อบนโน้ตบุ๊กของนักพัฒนาเพียงเครื่องเดียวลุกลามเข้าสู่เซิร์ฟเวอร์ในองค์กรได้ต่อโดยไม่ต้องอาศัยช่องโหว่เพิ่ม

ผลกระทบ

กลุ่มที่รับความเสี่ยงตรง ๆ คือนักพัฒนา ผู้ดูแลระบบ และนักวิจัยด้านความปลอดภัยซึ่งเป็นฐานผู้ใช้หลักของ Arch Linux และมักติดตั้งแพ็กเกจจาก AUR เป็นกิจวัตร ข้อมูลที่มัลแวร์เลือกขโมยสะท้อนว่าผู้โจมตีรู้ว่ากำลังเจาะใคร เพราะกุญแจ SSH โทเคนนักพัฒนา ความลับของคลาวด์ และคีย์ API ของบริการ AI ล้วนเป็นกุญแจที่พาไปต่อยังระบบขององค์กรได้ทันที เครื่องที่ติดจึงไม่ใช่แค่เครื่องที่ข้อมูลรั่ว แต่เป็นหัวสะพานเข้าสู่โครงสร้างพื้นฐานที่เจ้าของเครื่องมีสิทธิ์เข้าถึง

ความสามารถแพร่ตัวเองผ่านกุญแจ SSH ยิ่งขยายผลกระทบออกไปอีกชั้น เพราะทำให้ขอบเขตของเหตุการณ์ไม่ได้จำกัดอยู่ที่จำนวนคนที่ติดตั้งแพ็กเกจอันตราย แต่รวมถึงทุกเครื่องที่เครื่องเหล่านั้นล็อกอินเข้าไปได้โดยไม่ต้องใช้รหัสผ่าน สำหรับทีมที่ใช้กุญแจ SSH ร่วมกันหรือมีเครื่อง jump host กลาง การติดเชื้อจุดเดียวอาจกลายเป็นการเข้าถึงทั้งฟลีตได้

ในมุมของระบบนิเวศ การที่ทีม Arch Linux ต้องปิดฟังก์ชันรับช่วงแพ็กเกจทั้งระบบ สะท้อนว่าโมเดล “ใครก็รับช่วงแพ็กเกจที่ถูกละทิ้งได้” ซึ่งเป็นหัวใจของ AUR มาตลอด กำลังถูกใช้เป็นเครื่องมือโจมตีซ้ำ ๆ ในระยะเวลาไม่ถึงสองเดือน ผู้ใช้ที่พึ่งพา AUR จึงต้องยอมรับว่าคลังนี้ไม่มีการตรวจสอบก่อนเผยแพร่ และความปลอดภัยขึ้นอยู่กับการตรวจ PKGBUILD ด้วยตัวเองเป็นหลัก

คำแนะนำ

  • ตรวจสอบว่าเคยติดตั้งหรืออัปเดตแพ็กเกจ AUR ในช่วงตั้งแต่วันที่ 29 กรกฎาคม 2569 เป็นต้นมาหรือไม่ โดยเฉพาะแพ็กเกจที่ถูกระบุชื่อไว้ เช่น openconnect-sso, boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, arduino-language-server-noclang-bin และ pgadmin4-server
  • ใช้ AUR helper ที่แสดง diff ของ PKGBUILD ก่อนสร้างเสมอ เช่น yay หรือ paru ที่เปิดโหมดแสดงส่วนต่างไว้ และตรวจดูว่าแพ็กเกจเพิ่งเปลี่ยนผู้ดูแลเมื่อเร็ว ๆ นี้หรือไม่
  • ตรวจหาร่องรอยการฝังตัวบนเครื่อง ทั้งเซอร์วิสของ systemd ที่ไม่รู้จัก งาน cron ที่ถูกเพิ่มเข้ามา และโปรเซสชื่อ dbus-daemon ที่พาธไฟล์ไม่ตรงกับตำแหน่งปกติของระบบ
  • เฝ้าระวังทราฟฟิกขาออกที่วิ่งเข้าเครือข่าย Tor จากเครื่องที่ไม่ควรมีการใช้งาน Tor เลย ซึ่งเป็นสัญญาณที่ตรวจจับได้ง่ายกว่าตัวมัลแวร์เอง
  • หากสงสัยว่าติด ให้ถือว่าความลับทั้งหมดบนเครื่องรั่วแล้ว เปลี่ยนกุญแจ SSH โทเคน GitHub/GitLab คีย์ API ของคลาวด์และบริการ AI รหัสผ่านในโปรแกรมจัดการรหัสผ่าน และย้ายทรัพย์สินในกระเป๋าคริปโทออกไปยังกระเป๋าใหม่
  • ตรวจล็อกการเข้าถึง SSH ของเซิร์ฟเวอร์ที่เครื่องต้องสงสัยเคยล็อกอินเข้าไป เพื่อดูว่ามีการเชื่อมต่อจากเครื่องนั้นในช่วงเวลาที่ผิดปกติหรือไม่
  • ติดตามประกาศบนเมลลิงลิสต์ aur-general เพื่อรอความคืบหน้าและรายชื่อแพ็กเกจที่ได้รับการยืนยัน ก่อนตัดสินใจกลับไปติดตั้งแพ็กเกจจาก AUR ตามปกติ

แหล่งอ้างอิง