Des paquets malveillants usurpant les noms des assistants AUR populaires yay et paru ont été détectés dans l'Arch User Repository le 13 octobre. Ils combinaient des logiciels légitimes en amont avec un script d'installation qui récupérait et exécutait du code supplémentaire en tant que root.
Selon le rapport de BleepingComputer du 15 octobre 2026, l'équipe AUR a supprimé les paquets et banni le compte de l'auteur des envois, nommé marchos1as. Ce nom identifie l'utilisateur du dépôt concerné, et non une personne connue ou un groupe de menace identifié.
Un code légitime dissimulait l'installateur malveillant
Andreas Reichel, mainteneur AUR, a décrit yyay comme un exemple de l'opération de typosquatting. Le paquet imitait yay et conservait l'URL en amont et l'archive source du projet légitime, ce qui donnait à une grande partie de sa définition une apparence authentique.
La composante malveillante était placée dans le processus d'installation. Lorsqu'un utilisateur installait le paquet, son script lançait avec les droits root un script shell hébergé à distance. Reichel a indiqué que ce code était obtenu via une URL de la Wayback Machine associée au dépôt personnel hellscripter/install-scripts, hébergé sur le service russe GitFlic.
La chaîne observée était donc la suivante :
- Un utilisateur sélectionnait un paquet dont le nom ressemblait à
yayouparu. - Le paquet installait le code légitime en amont avec un script d'installation modifié.
- Ce script téléchargeait et exécutait du code distant avec les droits root.
Les informations publiées ne permettaient pas d'identifier la charge utile finale ni de décrire ses capacités. Aucune famille de malwares n'a été attribuée à cette campagne AUR.
Un avertissement publié sur la liste de diffusion d'Arch Linux a attiré l'attention de la communauté sur ces envois, et des membres ont confirmé la présence de paquets malveillants en quelques minutes. Le mainteneur Emiliano Gandini Outeda a également indiqué que des règles de son outil open source de sécurité applicative, TrustSight, avaient détecté certains de ces paquets sur son système.
Le recoupement d'infrastructure ne permet pas d'attribuer l'opération
Le schéma d'URL de la Wayback Machine et le nom de dépôt hellscripter/install-scripts apparaissent aussi dans des articles sur une autre opération npm, appelée DirtyBlanket. Les chercheurs de SafeDep avaient auparavant associé cette activité à un ver Linux qui installait le cheval de Troie d'accès à distance CHAOS et modifiait des paquets AUR à l'aide d'un loader.
Aucun lien confirmé n'existe entre DirtyBlanket et les paquets envoyés par marchos1as. Ces détails d'infrastructure constituent des points de recoupement possibles, mais ils ne permettent pas d'établir que le même opérateur contrôlait les deux campagnes. Le dépôt en question a par ailleurs été signalé sur des plateformes d'hébergement différentes : GitFlic dans l'incident AUR, et Codeberg dans l'analyse de l'activité npm par SafeDep.
Les utilisateurs ayant installé les paquets doivent considérer l'hôte comme compromis
La suppression des paquets par l'équipe AUR empêche de nouvelles installations à partir de ces entrées, mais elle n'annule pas le code déjà exécuté sur les systèmes concernés. Comme l'installateur s'exécutait avec les droits root, les utilisateurs ayant téléchargé les paquets suspects sont invités à considérer que l'hôte a été compromis et à engager immédiatement des mesures de remédiation.
Les recommandations disponibles ne fournissent pas d'instructions de nettoyage propres à ces paquets. La charge utile finale n'étant pas identifiée, la simple désinstallation du paquet typosquatté ne permet pas de vérifier que tout code supplémentaire ou toute modification du système a bien été supprimé.
