Des imitations de yay et paru diffusées sur l’AUR visaient les utilisateurs d’Arch Linux

Un compte baptisé « marchos1as » a déposé sur l’Arch User Repository des paquets piégés se faisant passer pour yay et paru, deux assistants très utilisés, une campagne détectée le 13 octobre.

Le choix des cibles n’a rien d’anodin. L’AUR est un index de paquets entretenu par la communauté, largement employé sur Arch Linux et les distributions qui en dérivent. On y trouve des scripts de construction, les PKGBUILD, pour des logiciels tiers ou propriétaires, des versions bêta ou des éditions anciennes que les canaux officiels ne proposent plus. Yay et paru, qualifiés d’assistants AUR, servent justement à automatiser la récupération et l’installation de ces paquets proposés par les utilisateurs. Imiter ces outils revenait donc à viser des personnes qui installent régulièrement des logiciels hors des dépôts officiels.

Les faux paquets portaient des noms typosquattés, proches à une lettre près des originaux. L’alerte est venue de la liste de diffusion d’Arch Linux, où un fil évoquant des centaines de paquets envoyés en masse avec un logiciel malveillant a prévenu la communauté.

Du code authentique pour masquer un script piégé

Il a suffi de quelques minutes aux membres de la communauté pour comprendre la mécanique. Chaque paquet reprenait le code amont légitime, mais y ajoutait un script d’installation malveillant. Celui-ci lançait un script shell hébergé à distance, avec les privilèges root, donc avec un accès complet à la machine.

Andreas Reichel, mainteneur sur l’AUR, a décrit le procédé à propos du paquet « yyay ». Selon lui, le paquet se présentait comme un simple reconditionnement de l’assistant légitime, avec la même URL amont et la même archive source, mais son nom et son script d’installation trahissaient une imitation vérolée conçue pour se fondre parmi les vrais paquets.

Un autre mainteneur, Emiliano Gandini Outeda, a publié une liste de paquets malveillants qui avaient déclenché une alerte sur son propre système, grâce aux règles de TrustSight, l’outil open source de sécurité applicative qu’il développe. L’équipe de l’AUR a ensuite banni le compte de marchos1as et retiré les paquets du dépôt.

Andreas Reichel a également retracé l’origine de la charge utile. Elle transitait par une URL de la Wayback Machine renvoyant vers un dépôt personnel, hellscripter/install-scripts, hébergé chez le service russe GitFlic.

Un dépôt communautaire visé à répétition

Ce n’est pas le premier épisode de l’année pour l’AUR, comme le rappelle BleepingComputer, qui a rapporté l’affaire.

1. Juin 400 paquets diffusent un voleur d’identifiants doté de capacités de rootkit.
2. Juillet Une nouvelle campagne pousse Arch à suspendre temporairement l’adoption de paquets.
3. 13 octobre Détection des faux yay et paru publiés par marchos1as.

Des recoupements existent avec une autre opération. La société SafeDep a documenté sur npm une campagne nommée « DirtyBlanket », qui allait chercher du code dans un dépôt également appelé hellscripter/install-scripts, cette fois sur Codeberg. Un avis OSV consacré à cette activité mentionne en outre les mêmes domaines de la Wayback Machine et de GitFlic. À ce stade, rien ne confirme toutefois que les deux opérations soient liées.

Ce que doivent faire les utilisateurs concernés

Le script ayant tourné avec les droits root, la suppression du seul paquet ne suffit pas à revenir à un état sain. Pour vérifier l’exposition, le point de départ reste le nom exact de l’assistant installé : yay et paru légitimes ne sont pas en cause, seules leurs copies aux noms déformés, comme « yyay », l’étaient.

Photo : Danny Meneses / Pexels