Am 13. Oktober wurden im Arch User Repository (AUR) schädliche Pakete entdeckt, die sich als die beliebten AUR-Helfer yay und paru ausgaben. Die Pakete kombinierten legitime Upstream-Software mit einem Installationsskript, das zusätzlichen Code abrief und als root ausführte.
Laut dem Bericht von BleepingComputer vom 15. Oktober 2026 hat das AUR-Team die Pakete entfernt und das Konto des Hochladenden gesperrt, das marchos1as heißt. Der Kontoname bezeichnet den beteiligten Repository-Nutzer und nicht eine bekannte Person oder Tätergruppe.
Legitimer Code verschleierte den schädlichen Installer
AUR-Maintainer Andreas Reichel beschrieb yyay als ein Beispiel für die Typosquatting-Kampagne. Das Paket imitierte yay und übernahm die Upstream-URL und das Quellarchiv des legitimen Projekts, weshalb große Teile der Paketdefinition echt wirkten.
Die schädliche Komponente steckte im Installationsprozess. Wenn ein Nutzer das Paket installierte, startete das Skript ein remote gehostetes Shell-Skript mit Root-Rechten. Reichel sagte, der Code stamme von einer Wayback-Machine-URL, die mit dem persönlichen Repository hellscripter/install-scripts beim russischen Hosting-Dienst GitFlic verknüpft sei.
Die beobachtete Abfolge sah demnach so aus:
- Ein Nutzer wählte ein Paket, dessen Name
yayoderparuähnelte. - Das Paket installierte echten Upstream-Code zusammen mit einem veränderten Installationsskript.
- Das Skript lud Code aus dem Netz herunter und führte ihn als root aus.
Die Berichterstattung nannte die endgültige Nutzlast nicht und beschrieb auch nicht, was sie kann. Dieser AUR-Kampagne wurde bisher keine Malware-Familie zugeordnet.
Ein Warnhinweis auf der Mailingliste von Arch Linux lenkte die Aufmerksamkeit der Community auf die Uploads. Mitglieder bestätigten schädliche Pakete innerhalb weniger Minuten. Maintainer Emiliano Gandini Outeda berichtete außerdem, dass Regeln aus seinem Open-Source-Werkzeug TrustSight zur Anwendungssicherheit auf seinem System einige der Pakete erkannten.
Überschneidungen in der Infrastruktur belegen keine Zuordnung
Das Muster der Wayback-Machine-URL und der Repository-Name hellscripter/install-scripts tauchen auch in Berichten über eine separate npm-Operation namens DirtyBlanket auf. Forscher von SafeDep hatten diese Aktivität zuvor mit einem Linux-Wurm in Verbindung gebracht, der den Fernzugriffs-Trojaner CHAOS installierte und AUR-Pakete mit einem Loader modifizierte.
Eine bestätigte Verbindung zwischen DirtyBlanket und den von marchos1as hochgeladenen Paketen gibt es nicht. Die Infrastrukturdetails sind lediglich potenzielle Berührungspunkte. Sie belegen nicht, dass derselbe Betreiber beide Kampagnen kontrollierte. Das betreffende Repository wurde zudem auf verschiedenen Hosting-Plattformen gemeldet: im AUR-Vorfall bei GitFlic, in der Analyse der npm-Aktivität durch SafeDep bei Codeberg.
Wer die Pakete installiert hat, sollte das System als kompromittiert betrachten
Das Entfernen der Pakete durch das AUR-Team verhindert weitere Installationen über diese Einträge. Es macht aber keinen Code rückgängig, der auf betroffenen Systemen bereits ausgeführt wurde. Da der Installer mit Root-Rechten lief, sollten Nutzer, die die verdächtigen Pakete heruntergeladen haben, davon ausgehen, dass das System kompromittiert wurde, und sofort mit der Bereinigung beginnen.
Die verfügbaren Hinweise enthalten keine paketspezifischen Bereinigungsanleitungen. Solange die endgültige Nutzlast nicht identifiziert ist, lässt sich durch bloßes Deinstallieren des Typosquatting-Pakets nicht feststellen, ob zusätzlicher Code oder Systemänderungen entfernt wurden.
