Kwaadaardige pakketten die populaire Arch Linux tools imiteren, zijn geüpload naar de Arch User Repository en bevatten malware met roottoegang.
Een kwaadwillende partij heeft malafide pakketten geüpload naar de Arch User Repository (AUR) die twee populaire helpertools, yay en paru, imiteren. De AUR is een door de community beheerde pakketindex voor Arch Linux en aanverwante distributies, waar build scripts voor software worden gedeeld die niet via officiële kanalen beschikbaar zijn. Recentelijk is deze repository vaker doelwit van aanvallen, waaronder een campagne in juni waarbij 400 pakketten credential-stealende malware met rootkit-functionaliteit verspreidden.
De nieuwste aanval, ontdekt op 13 oktober, betrof pakketten die door een gebruiker met de naam “marchos1as” werden geüpload onder namen die sterk lijken op yay en paru, de zogenaamde AUR helpers die het beheer van software op Arch Linux vereenvoudigen. Een discussie op de Arch Linux mailinglijst met de titel "hundreds of aur packages were mass uploaded with malware" waarschuwde gebruikers voor deze malafide uploads. Binnen enkele minuten bevestigden communityleden dat de pakketten legitieme broncode bevatten, gecombineerd met een kwaadaardig installatiescript dat een remote shell script uitvoert met rootrechten.
Volgens AUR-beheerder Andreas Reichel presenteert het pakket zich als een eenvoudige herverpakking van de legitieme 'yay' helper, met dezelfde broncode en URL, maar de naam 'yyay' en het kwaadaardige installatiescript maken duidelijk dat het om een getrojaniseerde imitatie gaat. Een andere beheerder, Emiliano Gandini Outeda, meldde dat zijn systeem alarmsignalen gaf bij deze pakketten via regels in zijn open-source beveiligingstool TrustSight. De AUR-beheerders hebben het account van marchos1as geblokkeerd en de malafide pakketten verwijderd.
De malware werd via een Wayback Machine URL opgehaald die verwees naar een persoonlijke repository (hellscripter/install-scripts) gehost op de Russische dienst GitFlic. Er zijn mogelijke verbanden met een npm-campagne genaamd "DirtyBlanket", die code ophaalt uit een vergelijkbare repository op Codeberg. Onderzoekers van SafeDep ontdekten een Linux-worm die de CHAOS remote-access trojan verspreidt, vermomd als een fontservice, en die ook een loader injecteert in AUR-pakketten. Een OSV advisory beschrijft dezelfde Wayback Machine en GitFlic domeinen. Er is echter nog geen bevestiging dat deze twee campagnes direct met elkaar verbonden zijn.
Gebruikers die deze verdachte pakketten hebben gedownload, wordt geadviseerd ervan uit te gaan dat hun systemen zijn gecompromitteerd en direct passende herstelmaatregelen te treffen.
