I manutentori di Arch Linux hanno rimosso dall'AUR (Arch User Repository) i pacchetti associati a un account che distribuiva imitazioni malevole di strumenti molto popolari come yay e paru. La scoperta è arrivata dopo diverse segnalazioni: gli script di installazione di questi pacchetti contraffatti scaricavano ed eseguivano codice dannoso sui sistemi degli utenti ignari.
Come agivano i pacchetti infetti
Stando a quanto ricostruito, l'autore dell'account incriminato pubblicava versioni contraffatte di yay e paru, i due helper AUR più utilizzati dalla community. Una volta installati, gli script non si limitavano a compilare il software legittimo: contattavano server remoti per scaricare ed eseguire codice aggiuntivo, potenzialmente in grado di compromettere l'intero sistema. La rimozione è stata immediata una volta confermata la natura malevola dei pacchetti, ma il danno potrebbe già essersi propagato.
Chi deve intervenire e cosa controllare
La priorità riguarda chi ha installato yay o paru da AUR negli ultimi giorni, soprattutto se lo ha fatto tramite account o repository diversi da quelli ufficiali. In questi casi è fondamentale verificare la provenienza dei pacchetti installati, controllare i log di sistema per attività sospette e, se necessario, reinstallare gli helper dalle fonti canoniche. Gli sviluppatori di Arch Linux hanno ribadito l'importanza di ispezionare sempre il PKGBUILD prima di compilare qualsiasi pacchetto AUR, una pratica spesso trascurata ma essenziale per la sicurezza.
L'episodio riaccende i riflettori sulla sicurezza dell'AUR, un repository gestito dalla community dove chiunque può pubblicare pacchetti. Nonostante i controlli, casi come questo dimostrano che la fiducia cieca negli helper automatici può essere pericolosa. La raccomandazione è chiara: aggiornare il sistema, rimuovere eventuali pacchetti sospetti e adottare un approccio più cauto verso tutto ciò che proviene da fonti non verificate.
