Šta se desilo?

Na Arch Linux mailing listi 13. oktobra 2026. prijavljeni su paketi naloga marchos1as sa nazivima sličnim alatima yay i paru. Analiza koju je objavio Andreas Reichel opisuje zlonamerni paket yyay. Prema izveštaju BleepingComputer-a, sporni paketi su uklonjeni, a nalog zabranjen.

Koga pogađa?

Rizik se odnosi na korisnike koji su instalirali zlonamerne imitacije iz AUR-a, a ne automatski na sve korisnike Arch Linuxa niti na legitimne yay i paru pakete. Nije potvrđen broj uspešno kompromitovanih sistema. AUR sadrži recepte koje održava zajednica i nije isto što i zvanični repozitorijumi distribucije.

Kako se zaštititi?

Proverite tačan naziv, poreklo i istoriju instaliranih paketa. Pre izgradnje pregledajte PKGBUILD i prateće .install datoteke. Ako je sumnjivi paket instaliran, izolujte računar i sačuvajte evidencije. Uklanjanje paketa samo po sebi ne dokazuje da su uklonjeni svi tragovi izvršenog koda.

Tehnički detalji

Kod yyay paketa legitimni izvorni kod kombinovan je sa .install skriptom koja preuzima i izvršava udaljeni kod kao root. Zlonamerna naredba nalazi se izvan funkcija post_install i post_upgrade, koje izgledaju bezazleno. Preuzimanje je išlo preko Wayback Machine adrese ka GitFlic repozitorijumu; sadržaj nije bio fiksiran vremenskom oznakom arhivskog snimka niti obuhvaćen kontrolnom sumom paketa.

Zašto je važno?

Izvršavanje nepoznatog koda kao root može ugroziti ceo sistem i tajne dostupne na njemu. Sličnosti infrastrukture sa kampanjom DirtyBlanket nisu dovoljne da potvrde istog operatera ili identičan završni malver.

Preporuka Sajber Radara

Ako potvrdite instalaciju zlonamernog paketa, sprovedite odgovor na incident i razmotrite ponovnu instalaciju sistema iz pouzdanog izvora. Potencijalno izložene kredencijale menjajte sa čistog uređaja. Nemojte označavati legitimne pakete kao zaražene samo zato što ih napadači imitiraju.