伪造的 Arch Linux 软件包以 root 权限推送恶意软件

一名威胁行为者向 Arch 用户仓库（AUR）上传了恶意软件包，冒充两款流行的辅助工具 yay 和 paru。

AUR 是 Arch Linux 及其衍生发行版的一个由社区维护、广泛使用的软件包索引，托管第三方和专有工具、测试版或已无法通过官方 Linux 发行版渠道获取的旧版本软件包的构建脚本（PKGBUILDs）。

该仓库近来成为恶意活动的目标，包括 6 月的一次攻击，其中 400 个软件包分发了具有 rootkit 功能的凭证窃取恶意软件。7 月的另一次活动促使 Arch 暂时禁用了软件包认领。

最新活动于 10 月 13 日被发现，涉及一个名为"marchos1as"的用户以上述 yay 和 paru 命令行工具的仿冒名称上传的恶意软件包。

这些工具也被称为 AUR 助手，通过简化用户贡献软件包的获取和安装，简化了 Arch Linux 上的软件管理。

Arch Linux 邮件列表上一个名为"数百个 aur 软件包被批量上传恶意软件"的帖子提醒了用户这些恶意上传。

几分钟内，社区成员就确认这些软件包包含合法的上游代码，并附带一个以 root 权限执行远程 shell 脚本的恶意安装脚本。

"该软件包自称是合法'yay' AUR 助手的简单重新打包（相同的上游 URL、相同的源压缩包），但软件包名'yyay'和恶意安装脚本表明，它是一个经过木马化的仿冒品，旨在与真实软件包混在一起，"AUR 维护者 Andreas Reichel 警告说。

另一位维护者 Emiliano Gandini Outeda 列出了若干恶意软件包，它们使用其开源应用安全工具 TrustSight 中的规则在他的系统上触发了警报。

AUR 团队封禁了 marchos1as 的账户，并从仓库中移除了恶意软件包。

Reichel 表示，以这种方式投递的有效载荷是通过一个 Wayback Machine URL 获取的，该 URL 指向托管在俄罗斯托管服务 GitFlic 上的个人仓库（hellscripter/install-scripts）。

可能与 npm 蠕虫有关
应用安全公司 SafeDep 最近的一份报告记录了一个名为"DirtyBlanket"的 npm 活动，它从 Codeberg 上的一个'hellscripter/install-scripts'仓库获取代码。

研究人员发现了一个 Linux 蠕虫，它部署了伪装成字体服务的 CHAOS 远程访问木马，还向 AUR 软件包注入了一个加载器。

此外，关于"DirtyBlanket"活动的一份 OSV 公告描述了相同的 Wayback Machine 和 GitFlic 域名。

尽管存在这些关联，目前尚无确认这两个行动有关联。

下载了可疑软件包的 Arch 用户应假定其系统已被入侵，并立即采取补救措施。