Paket Palsu di Repositori Arch Linux Sebarkan Malware dengan Hak Akses Root
Seorang pelaku ancaman siber kedapatan mengunggah sejumlah paket berbahaya ke dalam Arch User Repository (AUR) yang menyamar sebagai dua helper tool populer di kalangan pengguna Linux, yakni yay dan paru.
Sebagai informasi, AUR merupakan indeks paket yang dikelola oleh komunitas dan digunakan secara luas oleh pengguna Arch Linux beserta distribusi turunannya. Repositori ini menampung berbagai skrip pembangunan paket (PKGBUILDs) untuk perangkat lunak pihak ketiga, aplikasi proprietary, versi beta, hingga versi paket lawas yang tidak lagi tersedia melalui kanal distribusi resmi Linux.
Belakangan ini, repositori AUR kerap menjadi sasaran kampanye penyebaran kode berbahaya. Sebelumnya pada bulan Juni lalu, tercatat sebuah serangan yang menyusupkan malware pencuri kredensial berkemampuan rootkit ke dalam 400 paket. Kampanye serupa juga kembali terjadi pada bulan Juli yang memaksa pengelola Arch untuk menonaktifkan sementara fitur adopsi paket (package adoption).
Serangan terbaru ini pertama kali terdeteksi pada 13 Oktober 2026, melibatkan sejumlah paket berbahaya yang diunggah oleh akun pengguna bernama “marchos1as”. Pelaku memanfaatkan teknik typosquatting (pemalsuan nama yang mirip dengan aslinya) untuk meniru command-line tool yay dan paru. Kedua AUR helper tersebut umumnya sangat diandalkan pengguna untuk menyederhanakan manajemen perangkat lunak di Arch Linux dengan mengotomatiskan proses pengambilan dan instalasi paket buatan komunitas.
Eksekusi Skrip Jarak Jauh dan Infrastruktur Penyimpanan Payload
Indikasi serangan ini mencuat melalui sebuah utas di mailing list Arch Linux bertajuk “hundreds of aur packages were mass uploaded with malware” yang memperingatkan komunitas mengenai adanya unggahan paket mencurigakan secara massal. Hanya dalam hitungan menit, para anggota komunitas langsung mengonfirmasi bahwa paket-paket tersebut memadukan kode upstream yang sah dengan skrip instalasi berbahaya yang dirancang untuk mengeksekusi remote shell script menggunakan hak akses tertinggi (root privileges).
Pengelola (maintainer) AUR, Andreas Reichel, memperingatkan bahwa paket palsu tersebut menampilkan dirinya seolah-olah sebagai hasil pengemasan ulang (repackaging) standar dari helper yay yang asli karena menggunakan URL upstream dan source tarball yang sama persis. Namun, penggunaan nama paket seperti yyay serta penyisipan install scriptlet berbahaya di dalamnya membuktikan bahwa paket tersebut merupakan tiruan berwujud Trojan yang sengaja dirancang untuk menyaru dengan paket aslinya.
Pengelola lainnya, Emiliano Gandini Outeda, turut merilis daftar paket berbahaya yang berhasil terdeteksi oleh sistem miliknya berkat aturan pemindaian pada perangkat keamanan aplikasi open-source buatannya, TrustSight. Menindaklanjuti temuan ini, tim pengelola AUR bergerak cepat dengan memblokir akun milik marchos1as serta menghapus seluruh paket berbahaya tersebut dari repositori.
Lebih lanjut, Reichel menjelaskan bahwa payload berbahaya yang dikirimkan melalui skrip instalasi tersebut diambil melalui tautan URL Wayback Machine yang mengarah ke sebuah repositori pribadi (hellscripter/install-scripts) yang di-hosting pada layanan repositori kode asal Rusia, GitFlic.
Dugaan Keterkaitan dengan Kampanye Worm npm “DirtyBlanket”
Pola serangan di AUR ini rupanya memiliki kemiripan jejak infrastruktur dengan temuan di ekosistem lain. Sebuah laporan terbaru dari perusahaan keamanan aplikasi SafeDep mendokumentasikan kampanye berbahaya di repositori npm yang dijuluki “DirtyBlanket”, di mana serangan tersebut juga mengambil kode dari repositori bernama hellscripter/install-scripts yang berada di platform Codeberg.
Dalam kampanye tersebut, para peneliti menemukan sebuah worm Linux yang menyebarkan Remote Access Trojan (RAT) bernama CHAOS dengan menyamar sebagai layanan font sistem (font service), sekaligus menyuntikkan komponen loader ke dalam paket-paket AUR. Selain itu, buletin keamanan OSV (Open Source Vulnerabilities) terkait aktivitas “DirtyBlanket” turut mencatat penggunaan tautan Wayback Machine dan domain GitFlic yang sama persis.
Kendati terdapat irisan indikator teknis yang sangat kuat di antara keduanya, hingga saat ini belum ada konfirmasi resmi yang memastikan bahwa kedua operasi serangan siber tersebut dijalankan oleh pelaku yang sama. Bagi para pengguna Arch Linux yang telanjur mengunduh dan memasang paket-paket mencurigakan tersebut, sangat disarankan untuk menganggap sistem mereka telah terkompromi sepenuhnya dan segera mengambil langkah pemulihan (remediation) secara menyeluruh.
Sumber: Arch Linux Mailing List
