Arch Linux : des paquets malveillants imitant yay et paru retirés de l'AUR
Des paquets usurpant les assistants AUR yay et paru ont été détectés le 13 octobre 2026 puis supprimés ; le compte marchos1as a été banni par l'équipe AUR.
Des paquets malveillants imitant les assistants AUR yay et paru ont été téléversés sur l'Arch User Repository (AUR), selon bleepingcomputer.com. La campagne a été détectée le 13 octobre 2026.
Les paquets ont été publiés par un utilisateur nommé marchos1as sous des noms typosquattés. Un fil de discussion sur la liste de diffusion d'Arch Linux, intitulé « hundreds of aur packages were mass uploaded with malware », a alerté les utilisateurs de ces téléversements malveillants.
Des membres de la communauté ont confirmé que les paquets contenaient du code amont légitime accompagné d'un script d'installation malveillant qui exécutait un script shell distant avec les privilèges root.
L'équipe de l'AUR a banni le compte de marchos1as et supprimé les paquets malveillants. Selon le mainteneur de l'AUR Andreas Reichel, la charge utile était récupérée via une URL du Wayback Machine pointant vers le dépôt hellscripter/install-scripts sur GitFlic.
Un contexte de campagnes répétées
En juin, 400 paquets avaient distribué un logiciel malveillant dérobant des identifiants, doté de capacités de rootkit ; en juillet, une autre campagne avait poussé Arch à désactiver temporairement l'adoption de paquets.
En bref
Quels paquets ont été retirés de l'AUR ?
Des paquets malveillants usurpant les assistants AUR yay et paru, publiés par le compte marchos1as sous des noms typosquattés.
Quand la campagne a-t-elle été détectée ?
Le 13 octobre 2026.
Que contenait le script malveillant ?
Un script d'installation qui exécutait un script shell distant avec les privilèges root, récupéré via une URL du Wayback Machine pointant vers le dépôt hellscripter/install-scripts sur GitFlic.