Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Gli sviluppatori di Arch Linux hanno temporaneamente vietato il trasferimento dei pacchetti "orfani" nell'Arch User Repository (AUR) a nuovi manutentori dopo che diversi pacchetti sono stati catturati e utilizzati per distribuire malware. La decisione è stata segnalata dal membro del progetto Robin Candau, che ha spiegato che la trasmissione dei pacchetti è stata disabilitata a causa di numerose richieste sospette e commit dannosi. Il divieto rimarrà in vigore finché il team non troverà un'altra soluzione.
Gli sviluppatori di Arch Linux hanno temporaneamente vietato il trasferimento di pacchetti “orfani” nell’Arch User Repository (AUR) a nuovi manutentori. La decisione è stata presa dopo che gli aggressori hanno catturato diversi pacchetti attraverso i quali gli hacker hanno infine distribuito il malware.
Gli sviluppatori di Arch Linux hanno temporaneamente vietato il trasferimento di pacchetti “orfani” nell’Arch User Repository (AUR) a nuovi manutentori. La decisione è stata presa dopo che gli aggressori hanno catturato diversi pacchetti attraverso i quali gli hacker hanno infine distribuito il malware.
Le nuove restrizioni sono state segnalate dal membro del progetto Robin Candau. Secondo lui, la trasmissione dei pacchetti è stata disabilitata a causa di numerose richieste sospette e conseguenti commit dannosi. Il divieto rimarrà in vigore finché il team di Arch Linux non troverà un altro modo per risolvere questo problema. Agli utenti viene chiesto di segnalare eventuali modifiche sospette che gli sviluppatori non hanno ancora elaborato.
Gli analisti dell’Independent Federated Intelligence Network (IFIN) credono che la nuova campagna dannosa di cui scrive Kando sia iniziata il 29 luglio 2026 con la compromissione del pacchetto openconnect-sso.
Secondo i ricercatori, ciò che sta accadendo ricorda per molti versi un precedente attacco ad AUR, compreso l’uso di Tor per fornire il payload. Ricordiamo che nel giugno 2026 gli aggressori hanno preso il controllo dei progetti AUR abbandonati, ne hanno salvato i nomi e la cronologia delle modifiche, quindi hanno modificato i file PKGBUILD in modo che una volta creato il pacchetto, il malware venisse scaricato e lanciato. Di conseguenza, più di 400 pacchetti AUR hanno distribuito il rootkit e l’infostealer Linux.
La nuova campagna si basa su una catena di infezione a due fasi, in cui il primo componente funge da downloader e il secondo è uno stealer x86_64 con funzioni worm RAT e SSH.
Prima dell’installazione, il bootloader controlla l’ambiente per la presenza di un debugger e determina se è in esecuzione in un ambiente sandbox, macchina virtuale o CI/CD. Se non viene rilevato nulla di sospetto, il malware crea servizi systemd e attività cron per collegarsi al sistema. Il malware scarica quindi il client Tor, lo maschera da processo dbus-daemon e tramite esso riceve il payload principale dalla zona .onion.
Il secondo componente di questo attacco è scritto in Rust ed è un infostealer che ruba credenziali da browser, portafogli di criptovaluta e gestori di password, segreti di servizi cloud e piattaforme di sviluppo, chiavi API di servizi AI, chiavi SSH e token di messaggistica.
Inoltre, il malware può eseguire comandi attraverso un canale Tor crittografata e le chiavi SSH rubate possono essere utilizzate per spostarsi lateralmente attraverso la rete: il malware si copia e si esegue su altri sistemi accessibili.
Un utente Reddit che monitora questa campagna afferma che gli aggressori hanno già compromesso più di 200 pacchetti AUR. Secondo lui gli hacker sarebbero entrati negli account dei manutentori e avrebbero anche preso il controllo su progetti “orfani”.
Tra le possibili vittime, il ricercatore ha elencato pacchetti popolari come icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-lingual-server-noclang-bin e pgadmin4-server. Tuttavia, queste informazioni non hanno ancora ricevuto una conferma indipendente.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/