کاربرانی از توزیع Arch Linux که هنگام نصب ابزارهای کمکی (Package Helpers) از مخزن AUR، نام‌های yay یا paru را به اشتباه تایپ کرده‌اند، ممکن است دسترسی سطح root سیستم خود را در اختیار مهاجمان قرار داده باشند.
مخزن AUR و ابزارهای کمکی
مخزن AUR (Arch User Repository) یک منبع محبوب برای بسته‌های جامعه کاربری Arch Linux است که اسکریپت‌های ساخت (Build Scripts) برای برنامه‌های اختصاصی، نسخه‌های بتا و نرم‌افزارهای قدیمی را میزبانی می‌کند. ابزارهایی مانند yay و paru که به عنوان AUR Helpers شناخته می‌شوند، وظیفه جستجو، ساخت، نصب و به‌روزرسانی این بسته‌ها را بر عهده دارند.
جزئیات حمله و تکنیک Typosquatting
گزارش‌ها حاکی از آن است که یک حساب کاربری به نام marchos1as با استفاده از تکنیک Typosquatting (ایجاد نام‌های مشابه با بسته‌های محبوب)، صدها بسته مخرب را در AUR آپلود کرده است. برای مثال، بسته‌ای با نام yyay ایجاد شده بود که در ظاهر مشابه ابزار قانونی yay به نظر می‌رسید و حتی از همان URL منبع و فایل‌های tarball اصلی استفاده می‌کرد.
تحلیل فنی بدافزار
بررسی‌های فنی نشان می‌دهد که این بسته‌ها حاوی یک اسکریپت نصب (Install Scriptlet) مخرب هستند. این اسکریپت در زمان نصب یا به‌روزرسانی توسط pacman، کدهای دلخواه را از یک سرور خارجی (در این مورد از دامنه gitflic.ru) دانلود کرده و با دسترسی کامل root اجرا می‌کند. این قابلیت به عامل تهدید (Threat Actor) اجازه می‌دهد تا عملیاتی نظیر موارد زیر را انجام دهد:
- سرقت اطلاعات حساس (Credential Theft)
- نصب درهای پشتی (Backdoor Installation)
- استقرار روت‌کیت‌ها (Rootkit Deployment)
مهاجم برای فریب بررسی‌کنندگان انسانی و اسکنرهای خودکار، توابع استاندارد نصب را خالی گذاشته و دستورات مخرب را در خارج از این توابع قرار داده بود تا در نگاه اول بی‌خطر به نظر برسد.
پاسخ و اقدامات اصلاحی
پس از شناسایی این حملات، مدیران AUR اقدام به مسدود کردن حساب کاربری مهاجم و حذف تمامی بسته‌های مرتبط کردند. این حادثه بخشی از یک روند افزایشی حملات به AUR است؛ پیش از این در ماه ژوئن، حملاتی برای جایگزینی بسته‌های رها شده با نسخه‌های مخرب npm مشاهده شده بود که حدود ۱۵۰۰ بسته را تحت تأثیر قرار داد.
