El 13 de octubre se detectaron en el Arch User Repository (AUR) paquetes maliciosos que suplantaban a los populares asistentes de AUR yay y paru. Los paquetes combinaban software legítimo de origen con un script de instalación que descargaba y ejecutaba código adicional como root.
Según el informe de BleepingComputer del 15 de octubre de 2026, el equipo del AUR eliminó los paquetes y bloqueó la cuenta que los subió, llamada marchos1as. El nombre de la cuenta identifica al usuario del repositorio implicado, no a una persona conocida ni a un grupo de amenazas conocido.
El código legítimo ocultaba el instalador malicioso
El mantenedor del AUR Andreas Reichel describió yyay como un ejemplo de la operación de typosquatting. El paquete imitaba a yay y conservaba la URL original del proyecto legítimo y su archivo de código fuente, lo que hacía que gran parte de su definición pareciera auténtica.
El componente malicioso se colocó en el proceso de instalación. Cuando un usuario instalaba el paquete, su script lanzaba un script de shell alojado en un servidor remoto con privilegios de root. Reichel explicó que el código se obtenía de una URL de Wayback Machine asociada al repositorio personal hellscripter/install-scripts, alojado en el servicio de alojamiento ruso GitFlic.
La cadena observada fue, por tanto, la siguiente:
- Un usuario seleccionaba un paquete cuyo nombre se parecía a
yayoparu. - El paquete instalaba código legítimo del proyecto original junto con un script de instalación modificado.
- Ese script descargaba y ejecutaba código remoto como root.
La información disponible no identificaba la carga final ni describía sus capacidades. Hasta ahora, a esta campaña del AUR no se le ha asignado ninguna familia de malware.
Una advertencia publicada en la lista de correo de Arch Linux llamó la atención de la comunidad sobre las subidas, y varios miembros confirmaron en cuestión de minutos que los paquetes eran maliciosos. El mantenedor Emiliano Gandini Outeda también informó de que las reglas de TrustSight, su herramienta de seguridad de aplicaciones de código abierto, detectaron algunos de los paquetes en su sistema.
La coincidencia de infraestructura no permite atribuir la autoría
El patrón de URL de Wayback Machine y el nombre de repositorio hellscripter/install-scripts también aparecen en informes sobre una operación distinta en npm llamada DirtyBlanket. Los investigadores de SafeDep habían relacionado antes esa actividad con un gusano de Linux que instalaba el troyano de acceso remoto CHAOS y modificaba paquetes del AUR con un cargador.
No existe ninguna relación confirmada entre DirtyBlanket y los paquetes subidos por marchos1as. Los detalles de infraestructura son posibles puntos de coincidencia, pero no demuestran que el mismo operador controlara ambas campañas. Además, el repositorio mencionado se ha señalado en plataformas de alojamiento distintas: GitFlic en el incidente del AUR y Codeberg en el análisis de SafeDep sobre la actividad en npm.
Quienes instalaron los paquetes deben considerar comprometido el equipo
La retirada de los paquetes por parte del equipo del AUR impide nuevas instalaciones desde esas entradas, pero no revierte el código que ya se ejecutó en los sistemas afectados. Como el instalador se ejecutaba con permisos de root, se recomienda a quienes descargaron los paquetes sospechosos que den por comprometido el equipo y empiecen de inmediato con las tareas de recuperación.
La guía disponible no ofrece instrucciones de limpieza específicas para los paquetes. Como la carga final no está identificada, desinstalar sin más el paquete con nombre suplantado no permite confirmar que se hayan eliminado código adicional o cambios en el sistema.
