拼字偽裝與Root權限危機

Arch Linux使用者需格外留意社群套件庫AUR的最新動態。資安報導指出，攻擊者利用拼字相近的手法，偽冒熱門輔助工具yay與paru，將包含惡意安裝腳本的套件上傳至AUR。這波攻擊於10月13日被發現，攻擊者使用名為marchos1as的帳號進行活動。其中，名為yyay的套件甚至直接沿用正牌yay的上游網址與來源封存檔，這種高明的偽裝大幅降低了使用者察覺的機率。一旦使用者誤將這些套件安裝到系統中，攻擊者便能執行從遠端取得的Shell指令碼，並成功取得root權限，進而掌握系統的高權限控制能力。

惡意酬載來源與供應鏈關聯

AUR維護團隊在獲報後迅速行動，已封鎖涉事帳號並移除惡意套件。經調查發現，這些惡意酬載透過Wayback Machine的網址取得，最終指向俄羅斯主機服務GitFlic上的個人專案hellscripter/install-scripts。值得注意的是，這次攻擊事故可能與另一起NPM供應鏈攻擊有關。應用程式安全公司SafeDep先前揭露名為DirtyBlanket的攻擊活動，攻擊者同樣從hellscripter/install-scripts專案取得程式碼，並使用Linux蠕蟲部署遠端存取木馬Chaos。雖然兩起活動在基礎設施上有所交集，但目前尚無法確認是否由同一批攻擊者所為。