AUR 패키지 악성코드 탐지 도구, aurscan

섹션별 상세

AUR 패키지 빌드 시 발생하는 공급망 공격을 방어하기 위해 빌드 전 단계에서 스크립트를 검사하는 도구가 필요하다.

aurscan은 yay의 편집 단계를 가로채 PKGBUILD, .install, .SRCINFO 파일을 추출하여 분석한다.

bash

syay firefox-patch-bin

aurscan이 연동된 syay 래퍼를 사용하여 패키지를 설치하는 예시

근거

AUR 패키지 빌드 전 단계에서 정적 규칙과 LLM을 결합해 패키지 스크립트를 검사한다. — How it hooks into yay 섹션

정적 규칙(static rules)이 curl|bash나 역쉘 등 알려진 공격 패턴을 오프라인에서 즉시 탐지한다.

LLM(Claude 또는 로컬 모델)은 정적 규칙이 포착한 의심 지점과 패키지 평판을 바탕으로 악성 여부를 최종 판단한다.

bash

set -Ux AURSCAN_BACKEND openai
set -Ux AURSCAN_OPENAI_URL http://192.168.0.110:18080/v1/chat/completions
set -Ux AURSCAN_OPENAI_MODEL qwen2.5-coder-32b

로컬 LLM 서버를 백엔드로 설정하는 환경 변수 구성 예시

시스템은 LLM 응답 오류나 타임아웃 발생 시 빌드를 중단하는 'fail-closed' 정책을 적용하여 보안 공백을 방지한다.

근거

LLM 응답 오류나 타임아웃 발생 시 빌드를 중단하는 'fail-closed' 정책을 적용한다. — How it stays safe 섹션

용어 해설

Arch User Repository(AUR): — Arch Linux 사용자들이 직접 패키지 빌드 스크립트(PKGBUILD)를 공유하는 커뮤니티 저장소이다. 공식 저장소와 달리 검증되지 않은 코드가 포함될 수 있어 공급망 공격의 주요 타겟이 된다.
PKGBUILD: — Arch Linux에서 패키지를 빌드하는 방법을 정의한 쉘 스크립트 파일이다. 소스 코드 다운로드, 컴파일, 설치 과정을 명시하며, 이 파일에 악성 명령어가 포함되면 빌드 시 시스템이 감염된다.
Fail-closed: — 시스템 오류나 예외 상황 발생 시 보안을 위해 모든 작업을 차단하는 설계 원칙이다. aurscan은 LLM 분석 실패 시 빌드를 중단하여 악성코드 실행 가능성을 원천 차단한다.

기술

Go
Claude
yay
AUR
PKGBUILD

활용 사례

AUR 패키지 보안 검사
공급망 공격 방어

언급된 리소스

GitHubaurscan GitHub