Chaotic-AUR versucht, Arch Linux-Malware zu bekämpfen

Chaotic-AUR führt ein Vertrauenserhaltungssystem für Maintainer ein, um Arch-Linux-Nutzer vor Malware zu schützen und die Überprüfung von Paketaktualisierungen durch Menschen zu verbessern.

Nach einer Welle von Malware im Arch User Repository (AUR) ergreift das AUR-Paketverwaltungssystem Chaotic-AUR Maßnahmen, um das Vertrauen zu erhöhen und die Chancen zu verringern, dass bösartige Software Arch-Linux-Nutzer erreicht. Basierend auf diesem System werden bestimmte Paketaktualisierungen zur menschlichen Überprüfung markiert, bevor sie der Öffentlichkeit freigegeben werden.

Chaotic-AUR, ein Paketrepository mit vorcompiliertem Software aus dem AUR, führt ein Vertrauenserhaltungssystem für Maintainer ein, um die Vorkommen von Nutzern zu reduzieren, die mit Malware-infizierten Paketen von Chaotic-AUR beliefert werden. Dieses neue System wird eine Liste von vertrauenswürdigen Maintainers umfassen, vermutlich Personen, die Software für Chaotic-AUR kompilieren und als vertrauenswürdig gelten, ohne eine Vorgeschichte mit Malware.

Die Entwickler von Chaotic-AUR geben an, dass die Maintainer der Software vor der Freigabe von Aktualisierungen mit der Liste der vertrauenswürdigen Maintainer abgeglichen werden. Wenn alle Maintainer vertrauenswürdig sind, wird nichts Ungewöhnliches geschehen und die Aktualisierung wird wie gewohnt an die Nutzer von Chaotic-AUR gesendet.

Wenn einer der Maintainer nicht auf der vertrauenswürdigen Liste steht, kann das Update, abhängig von der Art des Updates, möglicherweise zur Überprüfung zurückgehalten werden. Handelt es sich um eine harmlosere pkgver- oder Hash-Änderung, geschieht weiterhin nichts. Bei jeder anderen Art von Update muss ein Mensch die Überprüfung durchführen, bevor es an die Nutzer von Chaotic-AUR gesendet wird.

Es ist erfreulich zu sehen, dass Sicherheitsmaßnahmen getroffen werden, aber es ist unklar, wie diese Einschränkung bei untrusted Updates die Erfahrung der Nutzer von Chaotic-AUR beeinflussen wird. Die Entwickler äußerten sich dazu mit folgendem Kommentar:

Während wir noch nicht sagen können, wie nachhaltig die Überprüfung des untrusted Teils der Paketupdates sein wird, ist dies sicherlich ein wichtiger Schritt in die Zukunft. Vielleicht öffnet das auch die Tür für Menschen, sich zu beteiligen, z.B. durch die Überprüfung der über PR erstellten Paketupdates 😇 (wenn jemand interessiert ist: lasst es das Team wissen!)

Der Hauptvorteil der Nutzung von Chaotic-AUR ist, dass man AUR-Software nicht selbst kompilieren muss. Im Grunde ermöglicht es dir, Software aus dem AUR mit denselben pacman-Befehlen zu installieren, die du normalerweise auch für andere Arch-Pakete verwendest. Du musst wissen, wie man PKGBUILDs handhabt, noch Pakete mit yay installiert werden.

Das AUR selbst ist ein Repository, das von den Standard-Arch-Linux-Repositories - core, extra und multilib - getrennt ist. Im AUR kann jeder beitragen, der das Gefühl hat, ein PKGBUILD-Skript schreiben und hochladen zu können. Dies beschleunigt den Zugang zu Software-Updates und setzt die Nutzer dem Risiko von Missbrauch aus. Der Missbrauch in Form von Malware hat in letzter Zeit auffällig zugenommen, wie der CHAOS RAT, der in einigen Firefox-Forks erschienen ist im Juli 2025 und ein weiterer, der in einem Google Chrome-Paket gefunden wurde, nur Tage später.

Als gelegentlicher Nutzer von Chaotic-AUR bin ich froh, dass Sicherheitsmaßnahmen getroffen werden. Dennoch wäre ich interessiert zu erfahren, wie Menschen ihren Platz auf der Liste der vertrauenswürdigen Maintainer verdienen und behalten. Wie die Entwickler bemerkten, interessiert mich auch, wie schnell untrusted Updates überprüft und genehmigt (oder abgelehnt) werden.

Quelle: Chaotic-AUR über Garuda Linux Foren

Bist du neugierig auf weitere Artikel wie Chaotic-AUR versucht, Arch Linux-Malware zu bekämpfen? Entdecke spannende Inhalte in der Kategorie Linux.