Fake Arch Linux AUR packages exploit typos to run malware with root privileges - Help Net Security
2026-10-16
Usuarios de Arch Linux que cometieron errores de escritura al intentar instalar herramientas populares como 'yay' o 'paru' desde el Arch User Repository (AUR) podrían haber entregado acceso de administrador (root) a un desconocido.
El usuario James Smith alertó que una cuenta llamada 'marchos1as' realizó una técnica de 'typosquatting' (registrar nombres similares a los originales para confundir) con cientos de paquetes. Un mantenedor del repositorio, Andreas Reichel, analizó un paquete llamado 'yyay' y confirmó que era un troyano con un 99% de confianza.
El código de ataque está diseñado para engañar incluso a revisores automáticos: el atacante dejó las funciones de instalación normales vacías para que parecieran inofensivas, pero ocultó un comando malicioso fuera de ellas. Este comando descarga un archivo llamado 'linux.sh' desde un sitio ruso (gitflic.ru) que puede robar credenciales, instalar puertas traseras o desplegar rootkits (software que oculta la presencia de un atacante) con privilegios totales.
Tras la confirmación de la carga maliciosa, los mantenedores del AUR procedieron a banear al usuario y eliminar todos sus paquetes. Este incidente se suma a otros ataques previos en el repositorio donde se comprometieron paquetes abandonados para robar información.
Qué significa para una pyme colombiana y cucuteña: Si su equipo técnico utiliza distribuciones de Linux como Arch para servidores o estaciones de trabajo, exíjales que verifiquen letra por letra el nombre de cada paquete antes de ejecutar comandos de instalación. Un error de dedo al escribir el nombre de una herramienta puede dar control total de su red a un atacante.