新聞

Arch Linux社群套件庫AUR（Arch User Repository）再傳惡意套件攻擊，根據資安新聞網站Bleeping Computer的報導，攻擊者以拼字相近的名稱偽冒熱門AUR輔助工具yay與paru，將包含惡意安裝腳本的套件上傳至AUR。使用者若誤將其安裝到系統中，可能導致攻擊者執行具root權限的遠端Shell指令，進而取得系統的高權限控制能力。

這波攻擊於10月13日發現，攻擊者使用名為marchos1as帳號從事活動，其中，名為yyay的套件甚至沿用正牌yay的上游網址與來源封存檔，藉此降低遭使用者察覺的機率，攻擊者將其安裝指令碼加入惡意程式碼，會執行從遠端取得的Shell指令碼，並取得root權限。AUR維護團隊獲報後，已封鎖涉事帳號並移除惡意套件。維護團隊調查發現，惡意酬載透過Wayback Machine的網址取得，最終指向俄羅斯主機服務GitFlic上的個人專案hellscripter/install-scripts。

上述攻擊事故可能與另一起NPM供應鏈攻擊有關，應用程式安全公司SafeDep先前揭露名為DirtyBlanket的攻擊活動，攻擊者就是從hellscripter/install-scripts專案取得程式碼，然後使用Linux蠕蟲部署遠端存取木馬（RAT）Chaos，NPM套件還會使用特定的金鑰，將自己加入AUR套件。雖然兩起活動使用的基礎設施有所交集，目前無法確認兩者是否由同一批攻擊者所為。