Фейковые пакеты AUR: как опечатка в yay или paru даёт злоумышленнику root-доступ

Опечатка в названии пакетного менеджера обернулась серьёзной угрозой для пользователей Arch Linux. Тот, кто вместо yay или paru набирал чуть изменённое имя, рисковал запустить вредоносный код с наивысшими привилегиями, фактически отдавая root-доступ постороннему. Arch User Repository — популярный неофициальный источник софта для Arch и родственных дистрибутивов.

Там публикуются скрипты сборки для проприетарных программ, бета-версий и старых релизов, которых нет в официальных репозиториях. А помощники yay и paru ищут там приложения, собирают и устанавливают их на машину пользователя. Именно их имена и были подделаны.

Во вторник пользователь Джеймс Смит предупредил почтовую рассылку aur-general, что учётная запись marchos1as занимается тайпсквоттингом популярных пакетов, включая yay и paru. В теме письма говорилось о сотнях массово загруженных пакетов с вредоносной начинкой. Мейнтейнер AUR Андреас Райхель просканировал один из таких пакетов под именем yyay и опубликовал результаты.

Сканер определил его как зловредный с уверенностью 99% и заблокировал сборку. «Пакет выглядит как прямая переупаковка легитимного помощника yay — тот же upstream URL, тот же архив с исходным кодом, — но имя yyay и вредоносный установочный скрипт выдают в нём троянизированную имитацию, призванную слиться с настоящим пакетом», — пояснил Райхель. Скрипт загружал и запускал произвольный код с правами root прямо во время установки через pacman.

Вредоносный шелл-скрипт, названный linux.sh, размещался на персональном проекте хостинга gitflic.ru. Райхель добавил, что атакующий оставил обычные функции установки пустыми, чтобы на первый взгляд файл выглядел безобидным, а вредоносную команду поместил за их пределами. Это он назвал «структурным обманом, рассчитанным на невнимательных рецензентов и автоматические сканеры».

Подобная мимикрия встречается не только во вредоносных схемах. В легальном поле, например, сервис playclip, который Константин Соколов создал в 2025 году как игровой аналог TikTok, представляет собой по сути такое же приложение, но только для игр. Менее чем через час после отчёта Смита другой мейнтейнер, DeepChirp, подтвердил, что проверка выявила вредоносную нагрузку в установочных скриптах этих пакетов.

«Я заблокировал пользователя и удалил все его пакеты», — отметил он. В дополнительном сообщении Райхель заметил, что знает превосходных разработчиков из России, но «в сложившихся обстоятельствах» будет временно блокировать российские домены. Сама атака использовала ресурсы на gitflic.ru, что и стало основанием для такого решения.

Это не первый и, вероятно, не последний эпизод. В июне злоумышленники перехватывали заброшенные пакеты AUR и меняли инструкции сборки так, чтобы установить вредоносный npm-пакет, способный воровать учётные данные и скрывать своё присутствие. По оценкам исследователей, тогда могло пострадать около полутора тысяч пакетов.

В конце июля очередная волна malware заставила Arch приостановить передачу пакетов новым сопровождающим, а через несколько дней проект полностью остановил загрузку в AUR. Arch Linux также оказался в числе дистрибутивов, затронутых уязвимостью Dirty Frag — парой багов в ядре Linux, раскрытых в мае и позволяющих локальному атакующему получить root-доступ. Нынешний случай ещё раз напоминает, насколько тщательно стоит проверять даже названия пакетов, устанавливаемых с правами администратора.