ArchのAURに悪意あるパッケージ、yayとparuを装い削除
yayとparuになりすました悪意あるパッケージがArch User Repositoryに公開され、AURチームがアカウントを停止しパッケージを削除した。
Arch User Repository（AUR）に、AURヘルパーのyayとparuになりすました悪意あるパッケージが公開されていたことが明らかになった。bleepingcomputer.comによると、これらのパッケージは2026年10月13日に検出された。
パッケージは「marchos1as」というユーザーがタイポスクワッティングの名前を使ってアップロードしていた。Arch Linuxメーリングリストの「hundreds of aur packages were mass uploaded with malware」と題されたスレッドが、この悪意あるアップロードをユーザーに警告した。コミュニティのメンバーは、パッケージが正規の上流コードに加えて、root権限でリモートのシェルスクリプトを実行する悪意あるインストールスクリプトを含んでいたことを確認した。
AURチームはmarchos1asのアカウントを停止し、悪意あるパッケージを削除した。AURメンテナーのAndreas Reichel氏とEmiliano Gandini Outeda氏によると、ペイロードはWayback MachineのURLを通じて、GitFlic上のリポジトリhellscripter/install-scriptsから取得されていた。
過去のインシデント
2026年6月には、400個のパッケージがrootkit機能を備えた認証情報窃取マルウェアを配布していた。同年7月には別のキャンペーンにより、Archはパッケージのadoptionを一時的に無効化した。
よくある質問
今回の悪意あるパッケージはいつ検出されましたか？
2026年10月13日に検出されました。
どのパッケージがなりすまされましたか？
yayとparuというAURヘルパーになりすましたパッケージがアップロードされていました。
AURチームはどのような対応を取りましたか？
アップロードしたmarchos1asのアカウントを停止し、悪意あるパッケージを削除しました。