Вредоносные пакеты AUR, маскировавшиеся под популярные помощники yay и paru, выполняли удалённый скрипт с правами root. Для пользователей Arch Linux это не очередная история про опечатку в названии пакета: одна неосторожная установка могла дать атакующим полный контроль над рабочей машиной или сервером.
Кампания была обнаружена 13 октября. Как сообщает BleepingComputer, аккаунт marchos1as загрузил в Arch User Repository пакеты с typosquatting-названиями, похожими на названия известных AUR helpers. Эти утилиты упрощают поиск, сборку и установку пользовательских пакетов, поэтому их подделка бьёт по привычному маршруту многих Arch-разработчиков: найти пакет, быстро посмотреть описание, запустить установку и вернуться к работе.
Подделки не выглядели как примитивный мусор. В них использовались легитимные исходники настоящего yay, тот же upstream URL и тот же архив с исходным кодом. Вредоносный элемент был спрятан в установочном scriptlet: во время установки он получал внешний скрипт и запускал его с повышенными привилегиями. Мейнтейнер AUR Андреас Райхель отдельно указал, что имя пакета yyay и установочный скрипт выдавали троянизированную имитацию.
AUR — не официальный бинарный репозиторий Arch Linux, а каталог рецептов сборки PKGBUILD, поддерживаемый сообществом. Там часто появляются проприетарные приложения, бета-версии и пакеты, которых уже нет в официальных репозиториях. Эта гибкость полезна, но она же означает, что установка из AUR требует проверки автора, PKGBUILD и изменений в нём. Вредоносные пакеты AUR эксплуатируют ровно эту зону доверия: код приложения может быть настоящим, а опасная команда — жить в нескольких строках обвязки.
Не первый инцидент, а повторяющийся сценарий
Площадка уже попадала в поле зрения злоумышленников в этом году. В июне через примерно 400 пакетов распространялось ПО для кражи учётных данных с возможностями руткита. В июле Arch Linux временно отключала механизм adoption packages после другой подозрительной активности. Нынешний случай начался с обсуждения в списке рассылки Arch Linux: участники заметили массовые загрузки пакетов с вредоносным содержимым и быстро подтвердили проблему.
Команда AUR заблокировала аккаунт marchos1as и удалила опасные публикации. Однако удаление из каталога помогает только тем, кто ещё не успел ничего установить. Тем, кто скачал подозрительные сборки, советуют исходить из компрометации системы. Если установочный сценарий уже выполнялся от root, проверка одного бинарника не даёт достаточных гарантий: атакующий мог получить доступ к секретам, токенам CI/CD, SSH-ключам, конфигурации облака и другим данным, доступным на машине.
Райхель сообщил, что полезная нагрузка загружалась через URL Wayback Machine, указывавший на репозиторий hellscripter/install-scripts на GitFlic. У этой детали есть потенциальная связь с более широкой цепочкой поставки. Компания SafeDep ранее описала npm-кампанию DirtyBlanket, где код также получали из репозитория с таким именем — тогда на Codeberg. Исследователи обнаружили Linux-червя, разворачивавшего троян удалённого доступа CHAOS под видом службы шрифтов и внедрявшего загрузчик в AUR-пакеты.
Связь между операциями пока не подтверждена. Совпадение репозитория, Wayback Machine и домена GitFlic — это повод для расследования, а не основание уверенно приписывать кампании одному оператору. В security-командах такая дисциплина особенно важна: красивый нарратив об «одной большой атаке» не заменяет артефактов, телеметрии и подтверждённой атрибуции.
Что проверить разработчикам и командам
Для индивидуальных разработчиков вывод неприятный, но простой: имя пакета нельзя считать доказательством его подлинности. Перед установкой AUR-пакета стоит сверять точное название, владельца, историю изменений и содержимое PKGBUILD, особенно разделы, выполняемые при install, upgrade или remove. Обновление привычного инструмента через команду, которую вы набирали десятки раз, не отменяет эту проверку.
Для компаний риск шире одной рабочей станции. Arch и производные дистрибутивы нередко используются в окружениях разработчиков, сборочных агентах и лабораториях, где есть доступ к исходному коду и инфраструктурным секретам. Полезны инвентаризация установок из AUR, ограничения на запуск непроверенных PKGBUILD в CI, отдельные учётные данные для сборки и мониторинг сетевых обращений установочных скриптов. Запретить AUR целиком обычно легко на слайде и трудно в реальной инженерной команде; контролировать доверие к пакетам — более практичная задача.
История с yay и paru показывает, что атаки на цепочку поставки всё чаще обходятся без сложных эксплойтов: достаточно попасть в привычный процесс установки и дождаться запуска от root. Чем удобнее экосистема для распространения пакетов, тем ценнее становятся проверка рецептов сборки, воспроизводимость и привычка относиться к install-скриптам как к привилегированному коду. Детали обнаруженных артефактов опубликованы в материале .