Das AUR ist ein von der Community gepflegter, weit verbreiteter Paketindex für Arch Linux und davon abgeleitete Distributionen. Er hostet Build-Skripte (PKGBUILDs) für Software von Drittanbietern und proprietäre Werkzeuge sowie für Beta- oder ältere Paketversionen, die über die offiziellen Kanäle der Distribution nicht mehr verfügbar sind. AUR-Helfer wie yay und paru vereinfachen die Softwareverwaltung, indem sie das Beziehen und Installieren von Community-Paketen automatisieren.
Die Schadpakete wurden unter dem Konto „marchos1as" eingestellt und trugen Namen, die den Originalen bis auf kleine Tippfehler glichen. Aufmerksam wurden Nutzer durch einen Thread auf der Arch-Linux-Mailingliste mit dem Titel „hundreds of aur packages were mass uploaded with malware". Innerhalb weniger Minuten bestätigten Community-Mitglieder den Fund.
„Das Paket gibt sich als schlichte Neuverpackung des legitimen AUR-Helfers ‘yay’ aus (gleiche Upstream-URL, gleiches Quell-Tarball), doch der Paketname ‘yyay’ und das bösartige Install-Scriptlet verraten eine trojanisierte Nachahmung, die sich unter das echte Paket mischen soll", warnte AUR-Maintainer Andreas Reichel. Ein weiterer Maintainer, Emiliano Gandini Outeda, listete einige der Schadpakete auf, die auf seinem System durch Regeln seines quelloffenen Werkzeugs TrustSight einen Alarm ausgelöst hatten.
Das AUR-Team sperrte das Konto von marchos1as und entfernte die Schadpakete aus dem Repository. Laut Reichel wurde die Nutzlast über eine Wayback-Machine-URL nachgeladen, die auf ein privates Repository („hellscripter/install-scripts") beim russischen Hosting-Dienst GitFlic verwies.
Mögliche Verbindung zu npm-Wurm
Das Application-Security-Unternehmen SafeDep hat kürzlich eine npm-Kampagne namens „DirtyBlanket" dokumentiert, die Code aus einem Repository mit demselben Namen „hellscripter/install-scripts" bei Codeberg bezog. Die Forscher fanden dabei einen Linux-Wurm, der den Fernzugriffstrojaner CHAOS als Schriftarten-Dienst getarnt ausrollte und zudem einen Loader in AUR-Pakete einschleuste. Ein OSV-Advisory zu „DirtyBlanket" beschreibt dieselbe Wayback-Machine- und GitFlic-Domain. Eine Bestätigung, dass beide Operationen zusammenhängen, gibt es bislang nicht.
Das AUR war zuletzt mehrfach Ziel solcher Kampagnen: Im Juni verteilten 400 Pakete eine Schadsoftware zum Diebstahl von Zugangsdaten mit Rootkit-Fähigkeiten, eine weitere Kampagne im Juli veranlasste Arch dazu, die Paketübernahme (package adoption) vorübergehend zu deaktivieren.
Nutzer, die eines der verdächtigen Pakete heruntergeladen haben, sollten davon ausgehen, dass ihr System kompromittiert ist, und umgehend Gegenmaßnahmen ergreifen.