Arch Linux用户仓库（AUR）中的firefox-patch-bin、librewolf-fix-bin和zen-browser-patched-bin软件包被发现含有恶意软件，提醒用户注意安全风险。

主要内容总结

标题: [SECURITY] firefox-patch-bin, librewolf-fix-bin 和 zen-browser-patched-bin AUR 软件包包含恶意软件

来源: Arch Linux 邮件列表 (Aur-general)

日期: 2025年7月18日

事件概述: - 2025年7月16日晚上8点左右（UTC+2），一个恶意软件包被上传到Arch用户仓库（AUR）。随后，同一用户又上传了另外两个恶意软件包。 - 这些软件包安装了一个来自GitHub仓库的脚本，该脚本被识别为远程访问木马（RAT）。 - 受影响的软件包包括： - librewolf-fix-bin - firefox-patch-bin - zen-browser-patched-bin

处理措施: - Arch Linux团队在发现问题后立即采取了行动。 - 截至2025年7月18日下午6点左右（UTC+2），这些恶意软件包已从AUR中删除。

用户建议: - 强烈建议可能安装了这些软件包的用户立即将其从系统中移除，并采取必要措施确保系统未被入侵。

其他信息: - 邮件列表中提供了相关讨论的链接和快捷操作指南。 - 该邮件列表由HyperKitty技术支持，版本为1.3.12。

以下是评论内容的总结：

1. 用户对恶意软件信息的缺乏表示不满

   • 评论1指出，用户无法采取必要措施来确保自己未被感染，因为缺乏关于恶意软件具体行为的信息。
   • 引用："How are they supposed to do that when you give them no information as to what the malware does?"
   • 评论5提到，这些包的描述并未解释其“-patched”部分，用户不清楚其实际功能。
   • 引用："Their PKGBUILD descriptions are copies of the respective browsers', not explaining the -patched part."

2. 对AUR包安全性的担忧与改进建议

   • 评论3建议通过程序化方式帮助用户审查AUR包的安全性，例如显示PKGBUILD中的URL或自动展示更新差异。
   • 引用："Perhaps a program that prints all URLs in the PKGBUILD and offers the option for the user to open them in the browser?"
   • 评论6提议在安装时使用VirusTotal进行扫描，并将失败的报告提交给Arch安全团队。
   • 引用："Arch developers can code 'pacman -U' such that it performs a VirusTotal scan before installation for each package."

3. 对AUR包安全性的普遍担忧

   • 评论4担心随着Arch的流行，类似事件会越来越多。
   • 引用："As Arch seemingly explodes in popularity I’m afraid we’ll start seeing more of this."
   • 评论8批评了Arch用户对AUR包的盲目信任，认为运行匿名用户上传的二进制文件存在巨大风险。
   • 引用："Running random binaries on your computer uploaded by some anonymous dude has to be the equivalent of buying heart medicine on craigslist."

4. 用户对自身安全的反思

   • 评论7承认自己过去安装了许多AUR包，可能已经感染了恶意软件，但又不愿回到Ubuntu。
   • 引用："i installed a lot of cra from aur in the past, wouldn't be surprised if i got a malware somewhere."*
   • 评论9表示，尽管使用Fedora，但安装了Copr包后感到紧张，决定进行审计。
   • 引用："This makes me nervous. I guess it’s time to do some audits."

5. 对事件影响的积极评价

   • 评论10指出，这些恶意包与流行的Librewolf和Zen浏览器不同，且仅在两天内被识别，认为这是一个积极的结果。
   • 引用："it's cool that these got identified only 2 days after being uploaded."
   • 评论11认为恶意行为被及时发现，受影响用户较少，这是一个好消息。
   • 引用："My impression is that the malice was spotted timely, and not many people were affected."

总结：评论中普遍对AUR包的安全性表示担忧，部分用户对缺乏恶意软件信息感到不满，同时提出了通过程序化方式改进安全性的建议。尽管存在风险，但许多用户认为此次事件被及时发现，影响有限。