Arch Linux、AURパッケージの採用を無効化

Arch LinuxのDevOpsチームは、AUR（Arch User Repository）における孤児化パッケージの採用が無効化されたと発表しました。これは、「悪意のあるパッケージ採用とそれに続くコミットの現在の流入」が原因とのことです。Michael Taggart氏は、この一連の攻撃で多数のパッケージに追加されているマルウェアの簡単な分析を投稿しました。ペイロードはTorネットワーク経由でコマンドを受け取り、広範囲のユーザーデータをアップロードしようとするリモートアクセス型トロイの木馬（RAT）のようです。 プロジェクトは6月に新規アカウント登録を一時停止していました。これは、攻撃者が新規アカウントを作成して孤児化パッケージを採用し、ユーザーシステムにマルウェアをインストールする悪意のあるアップデートをプッシュしたキャンペーンに続くものでした。DevOpsチームが新規アカウント作成に対するいくつかの軽微な、そして明らかに効果のない制限を追加した後、AUR登録は7月13日に再開されました。 コメント投稿機能について 時間制限付きトークン 投稿日時: 2026年7月31日 14:14 UTC (金) 投稿者: archaic (購読者, #111970) [リンク] (1件の返信) > <..> アカウントは、24時間有効な時間制限付きトークンを通じてメールアドレスを確認する必要があります。 完璧な防御策はなく、いたちごっこが長期的な唯一の解決策である可能性が高いですが、トークンの有効期間を大幅に短縮し、かつ、ある程度の妥当な時間が経過するまで無効にしないようにすれば、人間よりもはるかに速く動作するボットに対してより効果的になるでしょう。例えば、生成されてからX秒後にそのトークン化されたエンドポイントにアクセスした場合、おそらく人間ではありません。特に2要素認証（2FA）ではそうです。電話を開いてキーを取得し、それを入力して送信するのに、正当にどれくらいの時間がかかりますか？ > 5秒と仮定します。ボットが遅延することを学習するだけであっても、それは少なくともマイナーな（おそらく取るに足らない？）勝利と見なせると思います。 多層防御 投稿日時: 2026年7月31日 15:30 UTC (金) 投稿者: davecb (購読者, #1574) [リンク] 単一の防御策では十分ではないでしょう。「Orange Book」は、少なくともセキュアなログインチャネル、カバートチャネルのブロック、カテゴリ（「私の会社」など）、そして機密情報、機密、秘密のようなセキュリティレベルを指定していました。最後のものはあまり役に立ちませんでしたが、他のものはその段階に到達することさえ困難にしました。したがって、トークンを修正することは、包括的なガードスイートの価値ある一部です。