Arch用户仓库遭恶意包攻击，仿冒yay和paru工具

据bleepingcomputer.com报道，攻击者向Arch用户仓库（AUR）上传了伪装成yay和paru这两个AUR助手工具的恶意包，该活动于2026年10月13日被发现。

这些包由一个名为“marchos1as”的用户通过拼写仿冒的名称上传。Arch Linux邮件列表上一个标题为“hundreds of aur packages were mass uploaded with malware”的帖子提醒了用户这些恶意上传。

社区成员确认，这些包在合法的上游代码之外，还包含一个恶意安装脚本，该脚本以root权限执行远程shell脚本。AUR团队已封禁marchos1as的账户并删除了这些恶意包。

根据AUR维护者Andreas Reichel的说法，该载荷是通过一个指向GitFlic上hellscripter/install-scripts仓库的Wayback Machine链接获取的。GitFlic是俄罗斯的托管服务。

此前发生的类似事件

2025年6月，曾有400个包分发了带有rootkit功能的凭据窃取恶意软件。2025年7月，另一起活动促使Arch暂时禁用了包的接养功能。