Arch User Repository（AUR）からパッケージヘルパーの yay や paru をインストールする際に名前を打ち間違えたArch Linuxユーザーは、見知らぬ第三者にマシンのroot権限を渡してしまった可能性があります。
AURは、Arch Linuxとその派生ディストリビューション向けの人気コミュニティ製パッケージソースです。公式リポジトリが扱わないプロプライエタリ製品、ベータ版、旧バージョンのソフトウェアについて、ユーザーが投稿したビルドスクリプトを公開しています。
yayとparuはAURヘルパーと呼ばれ、AUR上のソフトウェアを検索し、ユーザーのマシンにビルド、インストール、更新を行うツールです。
火曜日、ユーザーのJames Smith氏はaur-generalメーリングリストで、marchos1asというアカウントが「yayやparuなどの人気パッケージにタイポスクワッティング（typo squated）を仕掛けている」と警告しました。
Smith氏のメッセージの件名には、数百ものパッケージがマルウェア入りで大量にアップロードされたと記されていました。
AURでパッケージをメンテナンスしているAndreas Reichel氏は、そのうちの1つである「yyay」をマルウェアスキャナーにかけ、結果をメーリングリストのスレッドで共有しました。スキャナーは99%の確度で悪意があると判定し、ビルドをブロックしました。
Reichel氏は次のように書き込みました。「このパッケージは、正規のAURヘルパー『yay』を単に再パッケージしたもの（アップストリームのURLもソースのtarballも同一）に見せかけています。しかし、パッケージ名『yyay』と悪意あるインストールスクリプトレットから、本物に紛れ込ませるためのトロイの木馬化した偽物だと分かります」
同氏はさらに、次のように述べています。「このスクリプトレットは、pacmanのインストール時やアップグレード時に、ダウンロードしたコードをライブシステム上でroot権限として実行します。『linux.sh』が現在配信している内容が何であれ、認証情報の窃取、バックドアの設置、ルートキットの展開などが、インストールしたマシン上で完全なroot権限により実行されます」
攻撃者は通常のインストール関数を空にして、一見無害なファイルに見せかけていました。悪意あるコマンドは、それらの関数の外側に置かれていました。Reichel氏はこの手口を「うっかり確認する人や自動スキャナーを狙った、構造的な欺瞞」と評しています。
ダウンロードされたスクリプトは、コードホスティングサイトgitflic.ru上の個人プロジェクトから取得されたものでした。
Smith氏の報告から1時間足らずで、別のAURメンテナーであるDeepChirp氏が、パッケージのインストールスクリプトに悪意あるペイロードが含まれていることを確認したと返信しました。DeepChirp氏は「このユーザーをBANし、すべてのパッケージを削除しました」と伝えています。
その後の投稿でReichel氏は、自分が知る最も優秀な開発者の中にはロシア出身者もいると述べたうえで、「当面の間」ロシアのドメインをブロックすると明らかにしました。
数か月にわたり問題が続くAUR
6月には、攻撃者が放棄されたAURパッケージを乗っ取り、ビルド手順を書き換えて、認証情報の窃取や隠ぺいの機能を持つ悪意あるnpmパッケージをインストールさせました。研究者は、このキャンペーンの影響が約1,500パッケージに及んだ可能性があると推定しています。
7月下旬には、別のマルウェアの波を受けて、Archはパッケージの引き継ぎ（adoption）を停止しました。数日後には、AURへのアップロードもすべて止めています。
Arch Linuxは、5月に公開された2件のLinuxカーネルの脆弱性Dirty Fragの影響を受けたディストリビューションの1つでもあります。この脆弱性を悪用すると、ローカルの攻撃者がroot権限を取得できます。
翻訳元: https://www.helpnetsecurity.com/2026/10/16/arch-linux-aur-malware-yay-paru/
