Sahte Arch Linux AUR paketleri root yetkili zararlı kurulum betiği taşıdı

Arch Linux topluluğu, yay ve paru yardımcılarını taklit eden sahte AUR paketlerinin root yetkisiyle uzak bir kabuk betiği çalıştırdığını tespit etti.

Arch Linux kullanıcıları, yay ve paru yardımcılarını taklit eden sahte Arch User Repository paketleri nedeniyle uyarıldı. Saldırganlar, typosquatted adlar taşıyan bu paketleri 13 Ekim’de yayımladı ve bunları marchos1as adlı kullanıcıyla ilişkilendirdi.

Topluluk üyeleri, paketlerin meşru upstream kodunu kötü amaçlı bir kurulum betiğiyle birleştirdiğini buldu. Bu betik, root yetkileriyle çalışan uzak bir shell script’i yürütüyordu. Yük, GitFlic üzerindeki bir depoya işaret eden Wayback Machine bağlantısı üzerinden alındı.

Arch maintainers paketleri kaldırdı ve yükleyici hesabını yasakladı. Şimdilik, AUR kampanyası ile DirtyBlanket npm etkinliği arasında bağlantı kurulduğuna dair doğrulama yok.