Um agente de ameaça publicou pacotes maliciosos no Arch User Repository (AUR) que se passavam por duas ferramentas auxiliares populares, yay e paru.
Mantido pela comunidade e amplamente utilizado, o AUR é um repositório de pacotes para o Arch Linux e suas distribuições derivadas. Ele reúne scripts de compilação (PKGBUILDs) para ferramentas de terceiros e proprietárias, versões beta e versões antigas que já não estão disponíveis nos canais oficiais da distribuição.
O repositório tem sido alvo de campanhas maliciosas. Em junho, por exemplo, um ataque envolveu 400 pacotes que distribuíam malware capaz de roubar credenciais e com recursos de rootkit. Outra campanha, em julho, levou o Arch a desativar temporariamente o recebimento de novos pacotes.
A campanha mais recente foi detectada em 13 de outubro. Um usuário chamado “marchos1as” publicou pacotes maliciosos com nomes deliberadamente parecidos com os das ferramentas de linha de comando yay e paru.
Também conhecidas como auxiliares do AUR, essas ferramentas simplificam o gerenciamento de software no Arch Linux, facilitando a busca e a instalação de pacotes enviados por usuários.
Uma discussão na lista de discussão do Arch Linux, intitulada “centenas de pacotes do AUR foram enviados em massa com malware”, alertou os usuários sobre as publicações maliciosas.
Em poucos minutos, membros da comunidade confirmaram que os pacotes combinavam código legítimo do projeto original com um script de instalação malicioso, que executava um script de shell remoto com privilégios de root.
“O pacote se apresenta como uma simples republicação do auxiliar legítimo yay do AUR, com a mesma URL do projeto original e o mesmo arquivo tar de origem. Mas o nome ‘yyay’ e o script de instalação malicioso mostram que se trata de uma imitação com trojan, projetada para se misturar ao pacote verdadeiro”, alertou Andreas Reichel, responsável pela manutenção do AUR.
Outro mantenedor, Emiliano Gandini Outeda, listou alguns dos pacotes maliciosos que acionaram um alerta em seu sistema. A detecção foi feita por regras da ferramenta de segurança de aplicações de código aberto TrustSight.
A equipe do AUR baniu a conta de marchos1as e removeu os pacotes maliciosos do repositório.
Reichel afirma que o payload distribuído dessa forma foi obtido por meio de uma URL da Wayback Machine que apontava para o repositório pessoal “hellscripter/install-scripts”, hospedado no serviço russo GitFlic.
Um relatório recente da empresa de segurança de aplicações SafeDep documentou uma campanha no npm chamada “DirtyBlanket”, que buscava código em um repositório chamado “hellscripter/install-scripts”, hospedado no Codeberg.
Os pesquisadores encontraram um worm para Linux que instalava o trojan de acesso remoto CHAOS disfarçado de serviço de fontes. O código também injetava um loader em pacotes do AUR.
Além disso, um alerta da OSV sobre a atividade “DirtyBlanket” menciona o mesmo domínio da Wayback Machine e do GitFlic.
Apesar das semelhanças, não há confirmação de que as duas operações estejam relacionadas.
Usuários do Arch que baixaram os pacotes suspeitos devem considerar seus sistemas comprometidos e tomar imediatamente medidas de resposta e remediação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...