Secondo quanto riportato da Bill Toulas in un articolo del 15 ottobre 2026 su BleepingComputer, un attore malevolo ha caricato pacchetti malevoli sull’Arch User Repository (AUR), la piattaforma di pacchetti mantenuti dalla comunità di Arch Linux, impersonando popolari strumenti di gestione dei pacchetti come yay e paru.
L’AUR indicizza pacchetti mantenuti dalla comunità, che possono includere script di costruzione per strumenti di terze parti e versioni beta o più vecchie non disponibili tramite canali ufficiali. Nel giugno 2026, un attore ha distribuito 400 pacchetti con malware per il furto di credenziali e capacità di rootkit, portando Arch a disabilitare temporaneamente l’adozione dei pacchetti nel luglio 2026 per migliorare la sicurezza della piattaforma.
La campagna attuale, rilevata il 13 ottobre 2026, ha utilizzato pacchetti malevoli che contenevano codice legittimo combinato con uno script di installazione malevolo che eseguiva uno script shell remoto con privilegi di root. L’attore ha utilizzato nomi utente e di pacchetto simili a quelli legittimi per evitare il rilevamento. Andreas Reichel, mantenitore dell’AUR, ha identificato pacchetti come "yyay" e "yayy", che impersonavano il popolare strumento yay.
“The package presents itself as a straightforward repackaging of the legitimate 'yay' AUR helper... but the package name 'yyay' and the malicious install scriptlet reveal it is a trojanised impersonation designed to blend in with the real package,” ha dichiarato Reichel, citato da BleepingComputer.
Emiliano Gandini Outeda ha elencato pacchetti malevoli, tra cui yayy, yayyy, yayyyy, yayyyyy, yyay, yay-v12 e yay-v13, che hanno attivato un avviso sul suo sistema tramite il suo strumento di sicurezza open-source, TrustSight. L’AUR ha bannato l’account marchos1as e rimosso i pacchetti malevoli dal repository.
Il payload era ospitato su un URL della Wayback Machine che puntava a un repository personale su GitFlic. La campagna ha collegamenti a una campagna npm chiamata "DirtyBlanket", che ha utilizzato un repository simile per distribuire un worm Linux e un trojan di accesso remoto.
Gli utenti di Arch che hanno scaricato i pacchetti sospetti dovrebbero considerare i loro sistemi compromessi e prendere immediati provvedimenti di remediation.