Paquetes falsos de Arch Linux distribuyen malware con privilegios root

El 13 de octubre se detectó una campaña en el Arch User Repository (AUR) que utilizaba nombres similares a los de las herramientas yay y paru para distribuir paquetes maliciosos. La cuenta responsable, “marchos1as”, subió los paquetes con técnicas de typosquatting.

Los paquetes combinaban código legítimo de los proyectos originales con un script de instalación malicioso. Este ejecutaba un script remoto con privilegios root, lo que podía comprometer por completo los sistemas que instalasen los paquetes afectados.

El mantenedor de AUR Andreas Reichel señaló que uno de los paquetes se presentaba como una recompilación de yay, pero utilizaba el nombre “yyay” y un script de instalación troyanizado. Emiliano Gandini Outeda identificó varios paquetes mediante reglas de TrustSight, su herramienta de seguridad de aplicaciones de código abierto.

El equipo de AUR prohibió la cuenta de “marchos1as” y retiró los paquetes maliciosos del repositorio. Según Reichel, la carga maliciosa se descargaba mediante una URL de Wayback Machine que apuntaba al repositorio personal “hellscripter/install-scripts”, alojado en GitFlic.

La infraestructura presenta coincidencias con elementos descritos en una campaña de npm denominada “DirtyBlanket”, incluida una referencia al mismo dominio de GitFlic y a Wayback Machine. Sin embargo, por ahora no existe confirmación de que ambas operaciones estén relacionadas.

Arch Linux indicó que los usuarios que hayan descargado los paquetes sospechosos deben asumir que sus sistemas fueron comprometidos y aplicar medidas de remediación de inmediato. La información fue publicada por BleepingComputer.

Fuente: BleepingComputer