Спільнота Arch Linux 13 жовтня помітила шкідливі пакунки в AUR, які видавали себе за інструменти yay і paru для роботи з користувацькими пакетами. Інсталятор у складі цих пакунків виконував віддалений скрипт із правами адміністратора.
Як відбулася атака
Зловмисник діяв під ніком “marchos1as” і завантажував пакунки з назвами‑двійниками (typosquatting), зокрема варіації на кшталт «yyay». Усередині був справжній вихідний код верхнього рівня, але доповнений інсталяційним скриптом, який запускав віддалений шел-скрипт із правами root. Про масові підозрілі завантаження попередив лист у розсилці Arch Linux, після чого учасники швидко підтвердили наявність шкідливих дій.
Один із мейнтейнерів AUR відстежив, що корисне навантаження підвантажувалося через посилання Wayback Machine до особистого репозиторію hellscripter/install-scripts на російському хостингу GitFlic. Акаунт зловмисника заблокували, а пакунки вилучили зі сховища.
Можливі зв’язки з npm‑кампанією
SafeDep раніше описала кампанію в екосистемі npm під назвою DirtyBlanket, яка теж тягнула код із репозиторію hellscripter/install-scripts (цього разу на Codeberg). Дослідники виявили лінуксового хробака, що розгортав віддалений доступ (CHAOS) під виглядом сервісу шрифтів і впроваджував завантажувач у пакунки AUR. Вказуються ті самі домени Wayback Machine і GitFlic, однак прямо підтвердженого зв’язку між операціями наразі немає.
Реакція та поради користувачам
Команда AUR видалила шкідливі пакунки й заборонила акаунт “marchos1as”. Користувачам, які могли завантажити підозрілі збірки, рекомендують вважати систему скомпрометованою та негайно проводити відновлення і перевірку безпеки.
Контекст: AUR під прицілом
AUR — популярний, підтримуваний спільнотою індекс пакетів для Arch Linux і похідних дистрибутивів, що зберігає PKGBUILD для сторонніх і пропрієтарних інструментів. Останнім часом його неодноразово атакували: у червні розповсюджували сотні пакунків із крадієм облікових даних і руткітом, а в липні Arch тимчасово вимикав механізм «усиновлення» пакетів через чергову кампанію.