Een onbekende aanvaller uploadde kwaadaardige pakketten naar de Arch User Repository (AUR) die zich voordeden als de populaire hulpprogramma’s yay en paru. De community ontdekte de campagne op 13 oktober, meldt BleepingComputer. AUR is een door de gemeenschap beheerde pakketindex voor Arch Linux en afgeleide distributies, waar bouwscripts voor software van derden terechtkomen die niet via de officiële kanalen beschikbaar is. Het is niet de eerste keer dat de index doelwit is: in juni verspreidden zo’n 400 pakketten malware die inloggegevens stal en over rootkit-functies beschikte, en in juli schakelde Arch tijdelijk de mogelijkheid uit om onderhouderschap van pakketten over te nemen, om de instroom van kwaadaardige uploads te stoppen.
De nieuwste pakketten kwamen van een gebruiker met de naam “marchos1as” en droegen typosquatted namen die leken op de bekende AUR-helpers yay en paru, tools die het beheer van community-pakketten vereenvoudigen. Een draadje op de Arch Linux-mailinglist met de titel “hundreds of aur packages were mass uploaded with malware” waarschuwde gebruikers voor de uploads. Binnen enkele minuten bevestigden gemeenschapsleden dat de pakketten legitieme broncode combineerden met een kwaadaardig installatiescript, dat op zijn beurt een extern shellscript uitvoerde met rootrechten.
AUR-onderhouder Andreas Reichel waarschuwde dat het pakket zich voordeed als een simpele herverpakking van het echte “yay”, met dezelfde upstream-URL en bron-tarball, maar dat de naam “yyay” en het kwaadaardige installatiescript verrieden dat het om een getrojaniseerde namaakversie ging. Een andere onderhouder, Emiliano Gandini Outeda, had met zijn eigen opensource-tool TrustSight al een aantal van de kwaadaardige pakketten gesignaleerd. Het AUR-team verbande het account van marchos1as en verwijderde de pakketten. Volgens Reichel werd de payload opgehaald via een Wayback Machine-URL die verwees naar een persoonlijke repository, hellscripter/install-scripts, op de Russische hostingdienst GitFlic.
Mogelijke link met npm-worm
Beveiligingsbedrijf SafeDep documenteerde recent een aparte campagne op npm, “DirtyBlanket” genaamd, die code ophaalde uit een vergelijkbare repository op Codeberg. Die campagne installeerde een Linux-worm die de CHAOS remote-access-trojan verspreidde, vermomd als een lettertypeservice, en injecteerde eveneens een lader in AUR-pakketten. Een OSV-advisory over DirtyBlanket, met kenmerk MAL-2026-17242, beschrijft dezelfde Wayback Machine- en GitFlic-domeinen als in de Arch-campagne. Een bevestigd verband tussen beide operaties is er vooralsnog niet.
Gebruikers die de verdachte pakketten hebben geïnstalleerd, moeten er volgens BleepingComputer van uitgaan dat hun systeem gecompromitteerd is en direct herstelmaatregelen nemen. Dat geldt ook voor Nederlandse ontwikkelaars en thuisgebruikers die Arch Linux draaien. Een AUR-pakket voert tijdens installatie immers makkelijk code uit met rootrechten. Controleer daarom bij elke installatie wie de onderhouder is en of de pakketnaam niet verdacht dicht bij een bekende tool ligt. Bij twijfel is het PKGBUILD-bestand vooraf doorlezen nog altijd de beste controle.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Dit raakt vooral ontwikkelaars en gevorderde Linux-gebruikers die zelf AUR-pakketten installeren, niet de gemiddelde consument. Vertrouw een AUR-pakket nooit op naam alleen: controleer wie de onderhouder is en lees het PKGBUILD-bestand door voordat je het met root-rechten laat installeren, zeker bij een pakket dat verdacht dicht bij een bekende tool als yay of paru ligt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.