Fake Arch Linux packages push malware with root privileges
BleepingComputer · 15 oct, 19:12
Un actor malicioso subió paquetes trojanos al Arch User Repository (AUR) haciéndose pasar por yay y paru, herramientas populares de gestión de paquetes en Arch Linux. Los paquetes maliciosos contenían código legítimo combinado con scripts de instalación que ejecutaban shell remota con privilegios de root. El AUR, un repositorio ampliamente utilizado mantenido por la comunidad, ha sido objetivo de múltiples campañas maliciosas este año.
La campaña fue detectada el 13 de octubre por un usuario llamado "marchos1as" que subió paquetes con nombres typosquatted (yyay) para imitar las herramientas AUR originales. Los mantenedores del AUR confirmaron que los paquetes descargaban código malicioso remoto desde una URL de Wayback Machine que apuntaba a un repositorio personal (hellscripter/install-scripts) alojado en GitFlic, un servicio de hosting ruso. El equipo del AUR baneó la cuenta y removió los paquetes maliciosos.
Esta campaña forma parte de una serie de ataques contra el AUR: en junio se distribuyeron 400 paquetes con malware de robo de credenciales con capacidades rootkit, y en julio se produjo otro ataque que obligó a deshabilitar temporalmente la adopción de paquetes. Existe una posible conexión con la campaña "DirtyBlanket" en npm que desplegaba el troyano CHAOS y utilizaba el mismo repositorio hellscripter/install-scripts, aunque no hay confirmación de que los ataques sean del mismo actor.
Puntos clave
- Paquetes maliciosos en typosquatting: yyay en lugar de yay
- Scripts de instalación ejecutan shell remota con privilegios root
- Payload descargado desde Wayback Machine → repositorio en GitFlic
- Posible conexión con campaña DirtyBlanket en npm (sin confirmación)
- Usuarios afectados deben asumir compromiso del sistema y aplicar remedición