Malware посредством AUR

Пока не буду качать, подожду, когда в дебиан завезут.

Думаю, 100% захочешь и не скачешь. Снесли и с github.

А в дебиан тоже ведь есть способы – скачать deb и получить тот же yandex-browser.

Ты что, ты что! Нас же дети читают!

-bin пакеты в AUR в принципе штука сомнительная, с такими чудными именами — вдвойне. Ну а кто ставит из AUR, не читая PKGBUILD — ССЗБ. Я даже немного удивлён, что подобное происходит так редко.

Кстати, суффикс -bin не всегда добавляют (для бинарных пакетов).

Пример: https://aur.archlinux.org/packages/heidisql

Я в курсе. О том и речь.

Поиск по firefox patch в AUR даёт 7 вхождений

aur/firefox-esr-globalmenu 140.0-1 (3) (0,06)
    Fast, Private & Safe Web Browser, Extended Support Release. (with appmenu patch)
aur/firefox-kde-opensuse 134.0.2-1 (Out of Date) (336) (0,00)
    Standalone web browser from mozilla.org with OpenSUSE patch, integrate better with KDE
aur/firefox-kde-opensuse-no-telemetry 121.0.1-3 (Out of Date) (2) (0,00)
    Standalone web browser from mozilla.org with OpenSUSE patch, integrate better with KDE, no telemetry
aur/firefox-no-reserved-keys-patch 1.1-1 (1) (0,00)
    hot patch Firefox after install or update to un-reserve all key bindings
aur/firefox-opensuse-bin 136.0.1-1.1 (4) (0,00)
    Standalone web browser from mozilla.org with openSUSE patches
aur/firefox-userchromejs 136-1 (3) (0,32)
    Patching Firefox to enable JS injection (userchrome-js)
aur/firefox-vaapi 140.0.4-1 (13) (0,08)
    Fast, Private & Safe Web Browser (with VA-API patches)

Использование AUR предполагает, что человек как минимум умеет читать название пакета.

А бинарники стоит ставить с неофициальных реп, где стабильно

Да, там тоже почва для майнеров и в линукс многое на доверии, но что тут делать

Как все-таки удобно в линуксах сделано. На вендах надо лазать по варезникам, антивирусы отключать, запускать всякие стремные кейгены, крякеры, хакеры, куки. А тут одна команда - и готово.

А чем поможет чтение PKGBUILD?

Ну будет в нём вызов gcc на какую-то простыню в несколько сотен кбайт, а в простыне тот же троян спрятан.

А чем поможет чтение PKGBUILD?

1. Можно увидеть, какой-то левый гит-репозиторий там, или официальный.
2. Ну и саму компиляцию, она обычно очень простая.

Ну будет в нём вызов gcc на какую-то простыню в несколько сотен кбайт

Эту простыню можно тоже проанализировать, или по крайней мере надеяться на то, что кому-то ещё будет не лень. Трояны в открытых исходниках, как правило, вскрываются достаточно быстро. Конечно, если это какая-то утилита, написанная вчера, с полутора пользователями — только самому смотреть.

редкий случай, когда и на неуловимого Джо кто-то обратил внимание…

Угроза помощников AUR ещё и в сборке зависимостей из AUR. При использовании makepkg, ставятся только зависимости из репозиториев, а из AUR надо каждую собирать отдельно, что вроде бы как повышает уровень контроля за процессом установки.

Непонятно, почему ТС акцентирует на AUR. Малварь и в плеймаркет пролезает, и в аппстор. Извечная борьба снаряда и брони.

Привет пользователям AUR-helper-ов.

Тоже самое могло быть в ppa убунты, гентушном гуру или в виде какого-нибудь плагина для неовима. Это состояние современной ИТ-шечки в целом, поэтому с каждым днем всё важнее использовать как можно больше софта напрямую от авторов и развивать механизмы его изоляции.

Конечно, если это какая-то утилита, написанная вчера, с полутора пользователями

Ага, только троян в опенсорсном и очень популярном xz заметили только спустя довольно долгое время, и то чисто случайно, потому что он имел несчастье для его (трояна) авторов быть плохо написанным и лагать. Причём он там в бинарном блобе был, несмотря на то что это типа исходники.

Тут помогает только подход не ставить ничего, что выпущено меньше 2 лет назад, и то помогает весьма условно - надеемся что хотя бы за 2 года наверно найдут.

Малварь и в плеймаркет пролезает, и в аппстор

А про них вроде и так никаких иллюзий ни у кого не было, проприетарщина же.

Пролезает?? Она туда штатно добавляется как основной контент. Это нормальный софт туда «пролезает».

Ага, только троян в опенсорсном и очень популярном xz заметили только спустя довольно долгое время

Там он очень уж хитро запрятан был. Да и вероятность такого значительно ниже, чем схватить троян просто ставя рандомные бинарники от васяна, или рандомные PKGBUILD’ы тоже от васяна. С xz был именно крайне редкий вопиющий случай, не зря он вызвал такой резонанс.

Тут помогает только подход не ставить ничего, что выпущено меньше 2 лет назад

Помогает много что. На 100% защищает мало что. Это не какой-то бинарный переключатель. Речь скорее о снижении раска, а не об абсолютной защите. Впрочем, на каких-то критически важных машинах и такой подход вполне оправдан.