Фальшиві пакети для Arch Linux запускали шкідливий код із правами root
В репозиторій Arch User Repository (AUR) завантажили шкідливі пакети, що маскувалися під популярні інструменти yay і paru для керування програмами в Arch Linux. Пакети містили легітимний вихідний код, однак разом із ним — інсталяційний скрипт, який запускав віддалений сценарій із правами root.
Як повідомляє BleepingComputer, кампанію виявили 13 жовтня. Шкідливі пакети розмістив користувач під ніком marchos1as, використавши назви з навмисними помилками, схожі на назви yay і paru. Ці утиліти, відомі як AUR helpers, спрощують пошук та встановлення створених користувачами пакетів.
Про масове завантаження підозрілих пакетів користувачів попередили в листуванні Arch Linux. Учасники спільноти за кілька хвилин підтвердили, що в пакетах поєднано справжній код із небезпечним сценарієм встановлення. Супроводжувач AUR Андреас Райхель зазначив, що пакет, який видавав себе за yay, використовував той самий URL першоджерела та архів із кодом, але назва yyay і шкідливий скрипт вказували на троянізовану імітацію.
Команда AUR заблокувала обліковий запис marchos1as і видалила шкідливі пакети з репозиторію. За даними Райхеля, корисне навантаження завантажувалося через URL Wayback Machine, що вів до персонального репозиторію hellscripter/install-scripts на російському хостингу GitFlic.
Компанія SafeDep раніше описала npm-кампанію DirtyBlanket, у якій код також завантажувався з репозиторію hellscripter/install-scripts, але на Codeberg. Дослідники виявили Linux-хробака, що встановлював троян віддаленого доступу CHAOS під виглядом служби шрифтів та впроваджував завантажувач у пакети AUR.
Консультація OSV щодо DirtyBlanket також згадує той самий Wayback Machine і домен GitFlic. Водночас підтвердження зв'язку між двома операціями наразі немає. Користувачам, які завантажили підозрілі пакети, рекомендували вважати свої системи скомпрометованими та негайно вжити заходів із відновлення безпеки.
- Останні
- Популярні
Новини по днях
15 жовтня 2026
