Il 13 ottobre sono stati individuati nell'Arch User Repository (AUR) pacchetti malevoli che si spacciavano per i noti helper AUR yay e paru. I pacchetti combinavano software legittimo a monte con uno script di installazione che scaricava ed eseguiva codice aggiuntivo con privilegi di root.
Secondo il rapporto di BleepingComputer del 15 ottobre 2026, il team dell'AUR ha rimosso i pacchetti e bandito l'account che li aveva caricati, chiamato marchos1as. Il nome dell'account identifica l'utente del repository coinvolto, non una persona nota né un gruppo di minacce.
Il codice legittimo nascondeva l'installer malevolo
Il manutentore dell'AUR Andreas Reichel ha descritto yyay come un esempio dell'operazione di typosquatting. Il pacchetto imitava yay e conservava l'URL upstream e l'archivio sorgente del progetto legittimo, rendendo gran parte della sua definizione apparentemente autentica.
La componente malevola era collocata nel processo di installazione. Quando un utente installava il pacchetto, il suo script avviava con privilegi di root uno script di shell ospitato in remoto. Reichel ha dichiarato che il codice era stato recuperato tramite un URL della Wayback Machine associato al repository personale hellscripter/install-scripts sul servizio di hosting russo GitFlic.
La catena osservata era quindi la seguente:
- Un utente selezionava un pacchetto il cui nome somigliava a
yayoparu. - Il pacchetto installava il codice upstream genuino insieme a uno script di installazione modificato.
- Lo script scaricava ed eseguiva codice remoto con privilegi di root.
Le segnalazioni non hanno identificato il payload finale né descritto le sue capacità. A questa campagna AUR non è stata ancora assegnata una famiglia di malware.
Un avviso pubblicato nella mailing list di Arch Linux ha attirato l'attenzione della comunità sui caricamenti, con membri che confermavano la presenza di pacchetti malevoli nel giro di pochi minuti. Anche il manutentore Emiliano Gandini Outeda ha riferito che le regole del suo strumento open source per la sicurezza delle applicazioni, TrustSight, hanno rilevato alcuni dei pacchetti sul suo sistema.
La sovrapposizione infrastrutturale non stabilisce l'attribuzione
Il pattern dell'URL della Wayback Machine e il nome del repository hellscripter/install-scripts compaiono anche in alcune segnalazioni relative a un'operazione npm separata, chiamata DirtyBlanket. I ricercatori di SafeDep avevano già associato quell'attività a un worm Linux che installava il trojan di accesso remoto CHAOS e modificava pacchetti AUR con un loader.
Non esiste alcun collegamento confermato tra DirtyBlanket e i pacchetti caricati da marchos1as. I dettagli infrastrutturali sono possibili punti di sovrapposizione, ma non dimostrano che lo stesso operatore controllasse entrambe le campagne. Inoltre, il repository di riferimento è stato segnalato su piattaforme di hosting diverse: GitFlic nell'incidente AUR e Codeberg nell'analisi di SafeDep sull'attività npm.
Chi ha installato i pacchetti dovrebbe considerare l'host compromesso
La rimozione dei pacchetti da parte del team dell'AUR impedisce ulteriori installazioni da quelle voci, ma non annulla il codice già eseguito sui sistemi colpiti. Poiché l'installer è stato eseguito con permessi di root, a chi ha scaricato i pacchetti sospetti si consiglia di presumere che l'host sia stato compromesso e di avviare subito la bonifica.
Le indicazioni disponibili non forniscono istruzioni di pulizia specifiche per pacchetto. Finché il payload finale non è stato identificato, la semplice disinstallazione del pacchetto di typosquatting non può dimostrare che siano stati rimossi eventuali codici o modifiche di sistema aggiuntivi.
