Arch AUR'daki sahte yay ve paru paketleri uzaktan betiği root yetkisiyle çalıştırdı

Bir saldırgan, Arch User Repository'ye (AUR) en yaygın kullanılan iki AUR yardımcı aracı olan yay ve paru'yu taklit eden zararlı paketler yükledi. BleepingComputer'ın 15 Ekim 2026'da aktardığına göre bu paketler, kuruldukları sistemlerde uzaktaki bir kabuk betiğini root yetkisiyle çalıştırıyordu. Etkinlik 13 Ekim'de tespit edildi; AUR ekibi paketleri yükleyen hesabı engelleyip paketleri kaldırdı. Paketlerden herhangi birini kuranların sistemlerinin ele geçirildiğini varsayması gerekiyor.

Neler oldu?

AUR, Arch Linux ve bu dağıtımdan türeyen sistemler için topluluk tarafından yönetilen bir paket derleme betikleri koleksiyonu; içerik yayımlanmadan önce dağıtımın bakımcıları tarafından denetlenmiyor. BleepingComputer'a göre marchos1as adlı bir hesap, yay ve paru'yu taklit eden ve aralarında yyay adlı bir paketin de bulunduğu yazım hatası taklidi (typosquatting) paketler yükledi. Arch Linux'un aur-general e-posta listesinde, başlığında yüzlerce AUR paketinin zararlı yazılımla toplu olarak yüklendiği belirtilen bir uyarı paylaşıldı; topluluk üyeleri paketleri inceleyerek zararlı davranışı dakikalar içinde doğruladı. Yayın, zararlı paketlerin kesin sayısını vermedi.

Teknik detaylar

BleepingComputer'ın aktardığına göre paketler gerçek kaynak kodunu zararlı bir kurulum betiğiyle birleştiriyordu. Kurulum sırasında bu betik, uzaktaki bir kabuk betiğini root yetkisiyle çalıştırıyordu. Bakımcı Andreas Reichel, zararlı yükün Rus kod barındırma hizmeti GitFlic'teki kişisel bir depoya işaret eden bir Wayback Machine adresi üzerinden çekildiğini söyledi. Bakımcı Emiliano Gandini Outeda ise açık kaynaklı aracı TrustSight'ın zararlı paketlerin bir kısmını işaretlediğini belirtti.

Yayın, SafeDep'in DirtyBlanket adıyla belgelediği bir npm kampanyasıyla olası ancak doğrulanmamış bir bağlantıya da dikkat çekti. Söz konusu kampanya benzer adlı hellscripter/install-scripts deposundan kod çekiyordu ve SafeDep araştırmacılarına göre yazı tipi hizmeti kılığındaki CHAOS uzaktan erişim truva atını kuran ve AUR paketlerine yükleyici enjekte eden bir Linux solucanı içeriyordu. MAL-2026-17242 numaralı OSV bülteni de aynı Wayback Machine ve GitFlic konumuna atıf yapıyor. BleepingComputer, iki operasyonun bağlantılı olduğuna dair bir doğrulama bulunmadığının altını çizdi.

Olay, deponun daha önce de kötüye kullanılmasının ardından geldi. BleepingComputer'ın hatırlattığına göre haziranda yaklaşık 400 AUR paketi rootkit yeteneklerine sahip kimlik bilgisi çalan bir zararlı yazılım dağıttı; temmuzda ise Arch, zararlı yüklemelerin önünü kesmek için paket sahiplenme özelliğini geçici olarak devre dışı bıraktı.

Kimler etkileniyor?

13 Ekim civarında AUR'dan paket kuran Arch Linux ve Arch tabanlı dağıtım kullanıcıları, özellikle yay veya paru'yu resmî kaynaklar yerine adıyla arayıp kuranlar etkilenmiş olabilir. Zararlı yük root olarak çalıştığı için bulaşan bir sistemin tamamen ele geçirilmiş olması mümkün.

Ne yapmalı?

• Resmî depolar dışından kurulan paketleri pacman -Qm ile listeleyin; yyay gibi yanlış yazılmış yardımcıları veya bakımcısı marchos1as olan paketleri arayın.
• Zararlı bir paket kurulduysa sistemi ele geçirilmiş kabul edin: ağdan ayırın, kanıtları koruyun, mümkünse güvenilir bir imajdan yeniden kurun ve sistemde saklanan parolaları, SSH anahtarlarını ve erişim belirteçlerini değiştirin.
• Herhangi bir AUR paketini derlemeden önce PKGBUILD ve .install dosyalarını inceleyin; uzaktan içerik indirip çalıştıran betiklere karşı dikkatli olun.
• hellscripter/install-scripts deposuna işaret eden Wayback Machine adreslerine giden bağlantıları arayın ve göstergeler için MAL-2026-17242 numaralı OSV bültenine başvurun.