Un atacante subió paquetes maliciosos al repositorio AUR de Arch Linux, suplantando a las herramientas populares *yay* y *paru* mediante nombres similares. Estos paquetes incluían scripts que ejecutaban código remoto con privilegios de root, posiblemente vinculados a una campaña de malware mayor llamada "DirtyBlanket". El equipo de AUR ya eliminó los paquetes y bloqueó al usuario responsable, advirtiendo a quienes los instalaron que sus sistemas podrían estar comprometidos.





Un actor de amenazas cargó paquetes maliciosos en el Arch User Repository (AUR) que suplantaban a dos populares herramientas de ayuda, yay y paru.

AUR es un índice de paquetes mantenido por la comunidad y ampliamente utilizado para Arch Linux y distribuciones derivadas que aloja scripts de construcción de paquetes (PKGBUILDs) para herramientas de terceros y propietarias, betas o versiones de paquetes más antiguas que ya no están disponibles a través de los canales oficiales de distribución de Linux.

El repositorio se ha convertido recientemente en objetivo de campañas maliciosas, incluyendo un ataque en junio en el que 400 paquetes distribuyeron malware de robo de credenciales con capacidades de rootkit. Otra campaña en julio llevó a Arch a desactivar temporalmente la adopción de paquetes.

La última campaña fue detectada el 13 de octubre e implicó paquetes maliciosos cargados por un usuario llamado “marchos1as” bajo nombres con errores tipográficos (typosquatting) que imitaban las herramientas de línea de comandos yay y paru.

También conocidas como ayudantes de AUR, estas herramientas simplifican la gestión de software en Arch Linux al optimizar la recuperación e instalación de paquetes contribuidos por los usuarios.

Un hilo en la lista de correo de Arch Linux llamado "hundreds of aur packages were mass uploaded with malware" alertó a los usuarios sobre las cargas maliciosas.

En cuestión de minutos, los miembros de la comunidad confirmaron que los paquetes contenían código legítimo combinado con un script de instalación malicioso que ejecutaba un script de shell remoto con privilegios de root.

“El paquete se presenta como un simple empaquetado del ayudante de AUR 'yay' legítimo (misma URL de origen, mismo tarball de fuente), pero el nombre del paquete 'yyay' y el scriptlet de instalación malicioso revelan que es una suplantación trojanizada diseñada para mezclarse con el paquete real”, advirtió el mantenedor de AUR Andreas Reichel aquí.

Otro mantenedor, Emiliano Gandini Outeda, enumeró algunos paquetes maliciosos que activaron una alerta en su sistema utilizando reglas en su herramienta de seguridad de aplicaciones de código abierto, TrustSight aquí.

El equipo de AUR prohibió la cuenta perteneciente a marchos1as y eliminó los paquetes maliciosos del repositorio.

Reichel afirma que la carga útil entregada de esta manera se obtuvo a través de una URL de Wayback Machine que apuntaba a un repositorio personal (hellscripter/install-scripts) alojado en el servicio de hosting ruso GitFlic.

Posibles vínculos con el gusano npm

Un informe reciente de la empresa de seguridad de aplicaciones SafeDep documentó aquí una campaña de npm denominada "DirtyBlanket" que obtenía código de un repositorio ‘hellscripter/install-scripts’ en Codeberg.

Los investigadores encontraron un gusano de Linux que desplegaba el troyano de acceso remoto CHAOS disfrazado de servicio de fuentes, que también inyectaba un cargador en los paquetes de AUR.

Además, un aviso de OSV aquí sobre la actividad "DirtyBlanket" describe el mismo dominio de Wayback Machine y GitFlic.

A pesar de las conexiones, actualmente no hay confirmación de que las dos operaciones estén relacionadas.

Los usuarios de Arch que descargaron los paquetes sospechosos deben asumir que sus sistemas fueron comprometidos y tomar medidas de remediación inmediatas.

Fuente:
BleepingComputer