Arch AUR에 yay·paru 사칭 악성 패키지 대량 업로드

2026년 10월 13일, yay와 paru AUR 헬퍼를 사칭한 악성 패키지가 Arch User Repository(AUR)에 업로드된 것으로 탐지됐다. 공격자는 "marchos1as"라는 사용자 계정으로 typosquatting 이름을 사용해 패키지를 올렸다.

Arch Linux 메일링 리스트에 "hundreds of aur packages were mass uploaded with malware"라는 제목의 스레드가 게시되면서 악성 업로드가 사용자들에게 알려졌다. 커뮤니티 구성원들은 해당 패키지가 정상적인 업스트림 코드에 루트 권한으로 원격 셸 스크립트를 실행하는 악성 설치 스크립트를 추가한 형태임을 확인했다.

AUR 팀은 marchos1as 계정을 차단하고 악성 패키지들을 제거했다. AUR 메인테이너 Andreas Reichel에 따르면 페이로드는 GitFlic의 hellscripter/install-scripts 저장소를 가리키는 Wayback Machine URL을 통해 내려받아졌다.

보안 매체 bleepingcomputer.com이 이 사건을 보도했다. AUR 측은 대응 조치를 완료했지만, 사용자들은 AUR 패키지 설치 시 PKGBUILD와 설치 스크립트를 직접 검토할 것이 권고된다.

올해 반복된 공급망 공격

이번 사건은 올해 AUR에서 발생한 연속 공급망 공격의 최신 사례다. 지난 6월에는 자격 증명 탈취 악성코드와 루트킷 기능을 포함한 400개의 패키지가 유포됐고, 7월에는 또 다른 캠페인으로 인해 Arch가 패키지 채택 기능을 일시적으로 비활성화했다.