攻撃者が、人気のヘルパーツール「yay」と「paru」になりすました悪意あるパッケージをArch User Repository（AUR）にアップロードしました。
AURは、Arch Linuxおよびその派生ディストリビューション向けに、コミュニティが管理する広く利用されているパッケージ索引です。公式のLinuxディストリビューションのチャネルでは入手できなくなったサードパーティ製ツールや独自ツール、ベータ版、旧バージョンのパッケージについて、ビルドスクリプト（PKGBUILD）を公開しています。
このリポジトリは最近、悪意あるキャンペーンの標的となっています。6月には400個のパッケージが、ルートキット機能を備えた認証情報窃取型マルウェアを配布しました。7月に確認された別のキャンペーンでは、Archがパッケージの引き継ぎ（adoption）を一時的に停止する事態に発展しました。
今回のキャンペーンは10月13日に検出されました。「marchos1as」というユーザーが、yayとparuのコマンドラインツールに似せたタイポスクワッティングの名前で、悪意あるパッケージをアップロードしていました。
これらのツールはAURヘルパーとも呼ばれ、ユーザーが投稿したパッケージの取得とインストールを効率化して、Arch Linuxでのソフトウェア管理を簡単にします。
Arch Linuxのメーリングリストでは、「hundreds of aur packages were mass uploaded with malware」というスレッドが立てられ、悪意あるアップロードについてユーザーに警告が出されました。
コミュニティのメンバーは数分のうちに、これらのパッケージが正規の上流コードと、リモートのシェルスクリプトをroot権限で実行する悪意あるインストールスクリプトを組み合わせたものだと確認しました。
「このパッケージは、正規のAURヘルパー『yay』を単純に再パッケージ化したように見せかけています（上流URLもソースのtarballも同じです）。しかし、パッケージ名が『yyay』であることと、悪意あるインストールスクリプトの存在から、本物のパッケージに紛れ込むよう作られたトロイの木馬化された偽物だと分かります」と、AURメンテナーのAndreas Reichel氏は警告しました。
別のメンテナーであるEmiliano Gandini Outeda氏は、自身が開発するオープンソースのアプリケーションセキュリティツール「TrustSight」のルールで、手元の環境でアラートが発生した悪意あるパッケージの一部を公開しました。
AURチームはmarchos1asのアカウントを停止し、悪意あるパッケージをリポジトリから削除しています。
Reichel氏によると、この方法で配布されたペイロードは、Wayback MachineのURL経由で取得されていました。URLの参照先は、ロシアのホスティングサービスGitFlic上の個人リポジトリ（hellscripter/install-scripts）でした。
npmワームとの関連の可能性
アプリケーションセキュリティ企業のSafeDepによる最近の報告では、「DirtyBlanket」と名付けられたnpmキャンペーンが取り上げられています。このキャンペーンは、Codebergの「hellscripter/install-scripts」リポジトリからコードを取得していました。
研究者らは、フォントサービスに偽装してリモートアクセス型トロイの木馬（RAT）「CHAOS」を展開するLinuxワームを発見しました。このワームは、AURパッケージにもローダーを注入していました。
さらに、「DirtyBlanket」の活動に関するOSVのアドバイザリにも、同じWayback MachineとGitFlicのドメインが記載されています。
こうした接点はあるものの、現時点で2つの攻撃活動が関連しているという確認は取れていません。
不審なパッケージをダウンロードしたArchユーザーは、システムが侵害されたものとみなし、直ちに対処する必要があります。
