伪造的 Arch Linux 软件包推送具有 root 权限的恶意软件

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年10月16日 09:00
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

一名攻击者在Arch用户仓库（AUR）上传了恶意软件包，这些软件包伪装成两款热门辅助工具yay和paru。

AUR 是由社区维护、广泛使用的 Arch Linux 及衍生发行版软件包索引，收录了第三方和专有工具、测试版软件或旧版软件包的构建脚本（PKGBUILD），这些软件包在官方 Linux 发行版渠道中已无法获取。

该代码仓库最近成为恶意活动的目标，包括6月的一次攻击，其中400个软件包分发了具有rootkit功能的窃取凭据恶意软件。7月的另一次活动促使Arch临时禁用软件包采用功能。

最新的这一攻击活动于10月13日被发现，涉及一名名为“marchos1as”的用户上传恶意包，这些包使用了仿冒名称，模仿了yay和paru这两个命令行工具。

这类工具也被称为 AUR 助手，它们通过简化用户贡献软件包的获取和安装流程，来简化 Arch Linux 系统上的软件管理工作。

一个在 Arch Linux 邮件列表上名为“数百个 AUR 软件包被批量上传恶意软件”的帖子提醒了用户注意这些恶意上传的软件包。

几分钟内，社区成员确认这些软件包包含合法的上游代码，以及一段恶意安装脚本，该脚本会以 root 权限执行远程 shell 脚本。

“该软件包看似是对合法的'yay' AUR 助手的简单重新打包（上游网址相同，源压缩包也相同），但软件包名称'yyay'以及恶意安装脚本片段表明，这是一个经过特洛伊化伪装的仿冒品，目的是混入真实软件包中。”AUR 维护者安德烈亚斯·赖歇尔警告道。

另一位维护者埃米利亚诺·甘迪尼·乌埃达列出了一些恶意软件包，这些软件包通过其开源应用程序安全工具 TrustSight 中的规则在他的系统上触发了警报。

AUR 团队封禁了属于 marchos1as 的账号，并从仓库中移除了恶意软件包。

赖歇尔表示，以这种方式交付的有效载荷是通过一个“时光机”（Wayback Machine）链接获取的，该链接指向托管在俄罗斯托管服务GitFlic上的个人代码仓库（hellscripter/install-scripts）。

与 npm 蠕虫的潜在关联

应用安全公司SafeDep 记录了一份近期报告，该报告披露了一场名为“DirtyBlanket”的 npm 活动，其从 Codeberg 平台上的“hellscripter/install-scripts”代码仓库中获取代码。

研究人员发现了一款 Linux 蠕虫，该蠕虫部署了伪装成字体服务的 CHAOS 远程访问木马，还向 AUR 软件包中注入了加载程序。

此外，一份关于“DirtyBlanket”活动的OSV 咨询公告也提及了同一个 Wayback Machine 以及 GitFlic 域名。

尽管存在这些关联，但目前尚无证据证实这两项行动存在关联。

下载了可疑软件包的 Arch 系统用户应假定其系统已被入侵，并立即采取补救措施。

新闻链接：

https://www.bleepingcomputer.com/news/security/fake-arch-linux-packages-push-malware-with-root-privileges/

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事