Compromission de l’AUR par des paquets malveillants

Des acteurs malveillants ont compromis le dépôt AUR (Arch User Repository) en publiant des paquets piégés imitant les outils populaires yay et paru (ex: yyay). Ces paquets utilisent des techniques de typosquattage pour tromper les utilisateurs et exécuter des scripts d’installation malveillants avec des privilèges root.

Points clés

• Mode opératoire : Les attaquants combinent le code source légitime avec un script d’installation malveillant qui télécharge et exécute un shell script distant.
• Propagation : Le vecteur d’attaque utilise des services d’hébergement tiers (GitFlic) et la Wayback Machine pour masquer l’origine du code malveillant.
• Liens potentiels : Des similitudes techniques ont été observées avec la campagne « DirtyBlanket » visant l’écosystème npm, impliquant le déploiement du cheval de Troie d’accès à distance CHAOS.
• Réponse : L’équipe de maintenance de l’AUR a banni le compte responsable (marchos1as) et supprimé les paquets incriminés.

Vulnérabilités

• CVE : Aucune CVE spécifique n’a été assignée à cet incident, mais il est référencé dans la base de données OSV sous l’identifiant MAL-2026-17242 en lien avec la campagne DirtyBlanket.

Recommandations

• Audit immédiat : Les utilisateurs ayant installé des paquets récemment sur AUR doivent considérer leurs systèmes comme compromis.
• Vérification : Inspecter systématiquement les fichiers PKGBUILD avant toute installation, en portant une attention particulière aux scripts d’installation (.install) et aux sources externes.
• Prudence : Utiliser des outils d’analyse de sécurité pour AUR (comme TrustSight) pour détecter des comportements suspects lors de la compilation.
• Remédiation : En cas de doute ou de téléchargement d’un paquet suspect, effectuer une réinstallation complète du système ou auditer minutieusement les accès root et les processus persistants.

Source