Hackean el repositorio comunitario de Chakra

Hace apenas unos días que teníamos a Chakra por aquí con motivo del lanzamiento de su última versión. Hoy volvemos a hablar de la distro más ‘kdeera’ del panorama por un asunto bien distinto: el repositorio comunitario ha sido hackeado.

La noticia la encontramos en The Chakra Bay, un nuevo blog en español dedicado a cubrir la actualidad de Chakra que os recomiendo a todos los usuarios de la distro. Según cuentan, alguien llamado “Troll” se ha infiltrado en el CCR (el Chakra Community Repository, como el AUR de Arch Linux) y se ha dedicado a borrar paquetes y cuentas de usuario.

Parece que los administradores del sitio han conseguido bloquear al atacante, pero el repositorio se encuentra inutilizable por el momento, en modo de solo lectura, mientras se solucionan algunas vulnerabilidades en el código. Cuando esté listo se volverán a subir los paquetes que falten y se iniciará una campaña para adoptar paquetes que no tengan mantenedor.

No es la primera vez que pasa algo así, seguro que recordáis la brecha de seguridad que afectó a sitios de la Fundación Linux o a kernel.org, pero a diferencia de aquellos en esta ocasión solo ha habido vandalismo, que no es poco, pero no es lo peor que podría haber pasado. Me pregunto que interés pueda tener nadie en hacer algo así…

ataque Chakra Chakra Linux hackeo repositorios

sancion
Imaginaros que en vez dedicarse a destruir el repositorio lo que hace es entrar y troyanizar paquetes sin que nadie se de cuenta. Me parece muy grave todo esto.
- navarone 01
  Si, eso puede estar pasando en cualquier distro, y por desgracia los usuarios no sabremos nada de nada, salvo que el que lo este haciendo sea un manazas y lo pillen, espero que así sea, por que pensar que han entrado en los repos de mis distros y han trollanizado los paquetes… es para echar a correr y sin mirar hacia atrás.
- Ankh
  Imagino que los paquetes están firmados digitalmente, por lo que cualquier modificación los invalida. Cuando instalas un repositorio, normalmente descargas la llave pública que el manejador de paquetes usa para descifrar el message-digest, el cual fue cifrado con la llave privada del desarrollador y contiene un hash md5 del paquete original. De esa manera, el atacante tiene que conocer la llave privada para crear paquetes inválidos, suponiendo que el algoritmo de cifrado no ha sido roto con anterioridad.
  - ignacio
    Imaginas mal. Los repos de Chakra como de ArchLinux, a menos que configures y uses las firmas, por defecto, no vienen activada la funcion en pacman, no olvidemos que Chakra deriva de ArchLinux y usan sus paquetes, no todos, pero si muchos de ellos.
    PD: El tema de la seguridad en Arch y derivados sigue dando que hablar
    - Manuel Tortosa
      Chakra NO USA NINGUN PAQUETE DE ARCH, es una distro independiente, con repositorios propios.
    - Ankh
      Bueno, pero entonces si están firmados, como imaginaba XD. Lo que no sabía, ni tampoco sospechaba, es que pacman por defecto no comprueba las firmas. Realmente no entiendo con qué criterio hacen esto.
      - Aglos
        Ni esto ni otras muchas cosas pero bueno quien tome este tipo de distros como algo mas que un juguete va listo.
- Manuel Tortosa
  Eso no es posible porque no son paquetes binarios, solo son las intrucciones para compilar el paquetes desde codigo fuente. Además la vulnerabilidad no afectaba los paqutes. solo a la posibilidad de erditar cuentas de usuario para obtener privilegios en el CCR, ni siquiera a la base de datos de la que no han podido extraer nada.
  No hay ningun paquete afectado porque el CCR NO TIENE PAQUETES.
juancarlos
Ojala lo pillen por tonto.
pd: ya esta disponible la primera release candidate 7 de debian installer (7RC1)
- navarone 01
  Si no te es mucho problema pon el enlace de descarga. para el que se anime a bajársela, lo tenga fácil. yo no lo pongo por que en este momento no lo tengo al alcance, me instale la primera beta y la voy actualizando.
  Saludos
  - Le Hacker Debianero
    Esa es una buena noticia.
Antonio
Lo más importante es que haya transparencia, lo peor es que ocurra y no te enteres.
DELTOYA
Para mi que se autohackearon para llamar la atencion y salir en las noticias.
- carcaman
  Que comentario tan inmaduro… Los desarrolladores pensaban actualizar el diseño del sitio web justamente para la salida de la nueva version de la distro y ahi sí ser noticia pero no pudieron por el hackeo.
  - anonimo
    No me parece tan inmaduro, si analizas, de pronto iban a actualizar el sistema del webserver y de pronto se confundieron y se cargaron el CCR ….. eso puede pasar, la Web está llena de esos ejemplos.
    Por otro lado, la excusa de “me han hackeado” hoy en día parece ser la versión actualizada de la vieja excusa de “mi perro se comió mi tarea”. Por todos lados todo el mundo aparece hackeado sin motivo aparente
    - carcaman
      jajaja para hablar primero hay que estar un poco mas informado del asunto. Los desarrolladores no se cargaron el CCR, un usuario con el nick “troll” empezo a denunciar aplicaciones como dañadas y luego comenzo a borrarlas.
- DELTOYA
  Oye, ¿y si fue una conspiración de los redactores de MuyLinux junto a los canteros y los vampiros diurnos de crepúsculo?
Rodix
No me preocuparía tanto por los paquetes con troyano supongo que los administradores podrán y tendrán que verificar el checksum de los mismos…
carcaman
Entiendo cuando alguien hackea páginas como las de microsoft o companias por el estilo (aunque no esté de acuerdo claro), pero hay que ser imbécil sin vida para hackear la página de una distro comunitaria como esta… realmente no lo entiendo.
David
Señor MetalByte si se produjo borrado y robo de datos no fue Hackeado sino Crackeado…
Por noticias como esta es que los usuarios con menos conocimientos siguen mal utilizando ambos terminos…
Parece una historia de no acabar:
Hacker: …”incluye a aquellos que depuran y arreglan errores en los sistemas”…
cracker: …”Viola la seguridad de un sistema informático y, por ejemplo, toma control de este, obtiene información, borra datos, etc.”…
Fuente: WIkipedia
- Santi
  Opino igual… El hacker no es dañino. El cracker es un f***ing mother f***er
- WretchedEgg
  En efecto.
  Me retumba en los oidos cuando en la TV escucho “hackearon tal sitio del gobierno” o algo por el estilo, ¿en realidad es tan difícil usar la palabra correcta? luego la gente se confunde y piensa que un hacker es alguien que no tiene nada que hacer mas que romper sistemas y robar datos.
- David
  Creo has confundido a los crackers con los “sombrero negro”. En realidad no ha sido crackeado ha sido un hackeo dañino, mal intencionado. Crackear es algo distinto (independiente de lo que diga la Wikipedia)
- MetalByte
  David, entiendo lo que dices y tienes razón, me he dejado llevar por la corriente mediática actual que a cualquier ataque lo llama hackeo. En mi defensa diré que igual que puede haber hackeos “benignos” por llamarlos de alguna forma, también puede ocurrir lo contrario. De hecho sitios especializados como Hispasec utilizan ambos términos. Intentaremos hilar más fino, pues. Gracias por el apunte ;)
Fiesta troll
de pequeño mis padres me mecían cerca de la pared
luchus
No quiero imaginarme cuantos paquetes infectados debe haber alli y no por este autor sino de muchos que no andan con un cartel luminoso diciendo “eey soy troll borro cuentas e infecto paquetes” . Para mi fue una advertencia.
- geomorillo
  sin embargo deben tener copias de seguridad de los paquetes por fuera del repositorio así que con un simple checksum se puede averiguar que se cambio y volver a restaurarlo sin ningún problema
- Ankh
  Probablemente ninguno. Como contesté más arriba, los paquetes se firman digitalmente con una llave privada, siendo que la llave pública se descarga al instalar el repo.
Carlo Vincente
Ya es hora de que aparezca el Service Pack 1 con actualizaciones de seguridad jajajaja
Jors
¿SERA MICROSOFT?
David
Para quienes todavía no entienden el concepto de hacker y cracker, el hecho de infiltrarse en sistemas informáticos sin autorización podría llamarse hackear pero eso no es ningún indicador de que halla hecho un daño intencional. En el caso de que sí lo haya hecho, entonces, podríamos hablar de un hackeo dañino o malicioso. A lo que voy, es que la palabra hacker o cracker no tienen una connotación positiva o negativa por sí solas; estas sólo indican un conjunto de habilidades que tiene una persona, al igual que cuando uno se refiere a un programador. En lo que se refiere a un cracker, no es una persona mala ni buena, simplemente es alguien con ciertas habilidades informáticas, que para mí es la persona que descubre cómo evadir las limitaciones de programas privativos, independiente del fin, esta es sólo una habilidad (y una muy importante en estos dias de iphones, androids…).
- jonathan
  no
juan
es una pena que hagan eso a un sitio linux
yo nunca atacaria a un sitio de gnu/linux
parace mas bien un atacate de una empresa mas que de un script kiddie
ya que en la comunidad de pentest se usa mucho linux nunca se debe morder la
mano que te da de comer.
recuerdo a un ataque a wine tambien, no hay pruebas pero
parece que alguien le empieza a tener miedo a linux
jonathan
al parecer no es muy seguro esto de Linux
- Tipo aburrido
  No tiene nada que ver el SO que un ataque al servidor, a todas las empresas u organizaciones también los sufren o que te creías.No digas bobadas por favor
  - Fox
    Pero acaso ese servidor no cuenta con un S.O. Linux?
Tipo aburrido
Troll tenía que ser…
Alvin
Que triste que solo un baneo para ese daño!
yo ya le habria dado un buen carcelazo “58 años si estoy blandito, si no 99”

Hackean el repositorio comunitario de Chakra

Lo último

Suscríbete gratis a MuyLinux

Gracias, recibirás un correo para confirmar tu suscripción.