Arch Linux AUR: rimossi pacchetti malevoli yay e paru

Arch Linux AUR. I manutentori di Arch Linux hanno rimosso dall’AUR i pacchetti associati a un account che diffondeva versioni malevole di strumenti noti come yay e paru. Questi script, durante l’installazione, scaricavano ed eseguivano codice esterno con pieni privilegi sul sistema dell’utente.

L’allarme è stato lanciato dall’utente James Smith sulla mailing list aur-general, segnalando l’account marchos1as come responsabile del caricamento dei pacchetti dannosi. La tecnica utilizzata era il typosquatting, ovvero la creazione di nomi simili a quelli di software conosciuti per intercettare errori di digitazione o controlli superficiali.

Arch Linux AUR: perché è importante

Yay e paru sono AUR helper, programmi che automatizzano la ricerca, compilazione, installazione e aggiornamento del software disponibile nel catalogo della comunità. Il manutentore Andreas Reichel ha analizzato il pacchetto yyay con uno scanner antimalware, ottenendo una classificazione di malevolenza del 99% e bloccandone la compilazione.

Il pacchetto fraudolento riprendeva l’URL e l’archivio sorgente del legittimo yay per apparire più credibile. Il comportamento pericoloso risiedeva nello script associato all’installazione, che durante l’esecuzione tramite pacman scaricava ed eseguiva codice con privilegi di root da una risorsa remota denominata linux.sh, ospitata su gitflic.ru.

Questo meccanismo avrebbe potuto consentire all’attaccante di ottenere il pieno controllo della macchina, potenzialmente per furto di credenziali, installazione di backdoor o distribuzione di rootkit. L’analisi non ha però stabilito se tali attività siano state effettivamente compiute.

La rimozione dei pacchetti dall’AUR non elimina il codice che potrebbe essere già stato eseguito con pieni privilegi sul computer dell’utente. Lo script malevolo era strutturato in modo da eludere controlli superficiali, con funzioni vuote e il comando dannoso collocato al di fuori di esse.

Un altro manutentore, DeepChirp, ha confermato la presenza di payload malevoli negli script e comunicato il blocco dell’account insieme alla cancellazione dei pacchetti. Arch Linux distingue tra repository ufficiali e AUR; quest’ultimo raccoglie script di compilazione inviati dagli utenti, inclusi programmi proprietari, versioni beta e release precedenti non presenti nei repository ufficiali.

Cosa cambia e quali sono gli effetti

L’incidente ha riguardato questo canale comunitario e le imitazioni caricate dall’account bloccato. La sicurezza della supply chain era già stata compromessa in passato da altre campagne contro AUR: a giugno alcuni attaccanti avevano preso il controllo di pacchetti abbandonati, modificandone le istruzioni per installare un pacchetto npm malevolo capace di sottrarre credenziali e nascondersi, coinvolgendo circa 1.500 pacchetti potenzialmente compromessi. A fine luglio, un’altra ondata aveva portato alla sospensione dell’adozione dei pacchetti e, pochi giorni dopo, di tutti i caricamenti.

Gli utenti che hanno installato yyay o altri pacchetti malevoli dall’account marchos1as devono verificare l’attività cambiamento sulla propria macchina e considerare l’evento come una possibile compromissione del sistema. La cancellazione delle voci dall’AUR non annulla i comandi già eseguiti localmente; il controllo deve riguardare i pacchetti effettivamente installati, poiché l’uso dei legittimi yay o paru da solo non indica un’installazione coinvolta.

Arch Linux, disponibile anche nella versione AArch64 Holo Core per Steam Deck, mantiene questa distinzione tra repository ufficiali e AUR.

Fonte e approfondimento su Arch Linux AUR: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.