Зловмисники знайшли спосіб приховати шкідливий код всередині цих програмних компонентів. 

У Arch Linux було виявлено підроблені пакети, що маскуються під популярні інструменти `yay` та `paru`; після встановлення вони виконували шкідливий код з правами root. Зловмисники зберігали легітимні компоненти програми, водночас вводячи небезпечні команди, гарантуючи, що підміна залишиться непоміченою користувачами.


Цю кампанію було виявлено 13 жовтня в Arch User Repository (AUR) — репозиторії спільноти для Arch Linux та його похідних. Особа, яка використовувала нікнейм «marchos1as», опублікувала велику кількість пакетів з назвами, що нагадують відомі утиліти. На відміну від офіційних репозиторіїв, AUR дозволяє членам спільноти самостійно надсилати скрипти збірки програмного забезпечення.


Основними приманками були `yay` та `paru`, інструменти, що використовуються для спрощення встановлення програмного забезпечення з AUR. Наприклад, підроблений пакет під назвою `yyay` був майже ідентичним справжньому `yay`. Розробник AUR Андреас Райхель виявив, що зловмисник зберіг оригінальну URL-адресу проекту та архів вихідного коду, але додав шкідливий скрипт встановлення.


Під час встановлення цей додатковий скрипт завантажував віддалений скрипт оболонки та виконував його з правами root, надаючи сторонньому коду повний доступ до системи. Для доставки шкідливого корисного навантаження зловмисники використовували посилання Wayback Machine, що вказувало на репозиторій `hellscripter/install-scripts`, розміщений на російській платформі GitFlic. 

Members of the Arch Linux community spotted the suspicious packages. Developer Emiliano Gandini Outeda also identified the threat using his own tool, TrustSight. AUR administrators blocked the account `marchos1as` and removed the malicious software. The number of affected users is unknown.


The attack infrastructure resembles the "DirtyBlanket" campaign, previously investigated by SafeDep. In September, a Linux worm was distributed via nine fake npm packages. The malware installed the CHAOS Trojan—disguised as a system font service—utilized SSH keys to compromise other machines, and injected a loader into AUR packages.


Both campaigns involve `hellscripter/install-scripts` and the Wayback Machine, though the underlying infrastructure differs. In the DirtyBlanket case, the code was hosted on Codeberg, whereas the new attack utilized GitFlic. Researchers have not yet confirmed whether the same group is behind both operations; therefore, it is premature to assume that these fake packages possess the full range of capabilities associated with the aforementioned worm.


Security issues within the AUR have occurred previously. In June, attackers infected hundreds of packages, distributing a data stealer with rootkit capabilities. In July, developers temporarily restricted the transfer of abandoned packages to new maintainers following a wave of "takeovers."


Users who installed the suspicious packages are advised to consider their systems compromised, change their credentials, and reinstall the operating system from a trusted image. Before installing programs from the AUR, it is necessary to verify the exact package name, as well as the contents of the PKGBUILD and any installation scripts. A similar substitution technique has previously been used to distribute CHAOS RAT.