# Pacotes falsos do yay e do paru no AUR do Arch Linux instalavam malware com privilégios de administrador

> Um utilizador publicou no AUR cópias com nomes quase iguais aos de duas ferramentas muito usadas no Arch Linux. O código era o verdadeiro, mas o script de instalação ia buscar e corria um ficheiro remoto como root. É o terceiro ataque ao repositório comunitário desde junho.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/pacotes-falsos-do-yay-e-do-paru-no-aur-do-arch-linux-instalavam-malware-com
- Categoria: Segurança
- Autoria: Redação
- Publicado: 17 de outubro de 2026
- Etiquetas: Linux, Arch Linux, AUR, Malware, Código aberto

## Em resumo

- Os pacotes maliciosos foram detetados a 13 de outubro e imitavam o yay e o paru, ajudantes que simplificam a instalação de software do AUR.
- Um dos nomes usados era yyay, com o código original do yay e um script de instalação que executava como root um ficheiro descarregado de fora.
- A conta responsável, marchos1as, foi banida e os pacotes foram retirados do AUR.
- Quem instalou os pacotes falsos deve partir do princípio de que o sistema ficou comprometido, segundo o BleepingComputer.
- Em junho, 400 pacotes do AUR distribuíram malware que roubava credenciais, e em julho o Arch suspendeu temporariamente a adoção de pacotes.

O repositório comunitário do Arch Linux voltou a ser usado para espalhar malware. Segundo o BleepingComputer, um utilizador publicou no AUR (Arch User Repository) pacotes com nomes muito parecidos com os de duas ferramentas populares, o yay e o paru, que traziam escondido um script capaz de correr código com privilégios de administrador. O caso foi detetado a 13 de outubro e é relevante para quem usa o Arch ou distribuições derivadas que recorrem ao mesmo repositório.

## Como funcionava a armadilha

O AUR é mantido pela comunidade e guarda receitas de compilação (os ficheiros PKGBUILD) para programas que não estão nos repositórios oficiais. O yay e o paru são ajudantes que automatizam a pesquisa, a compilação e a instalação desses pacotes, por isso são das primeiras coisas que muitos utilizadores instalam. O atacante, com a conta marchos1as, apostou na troca de letras: um dos pacotes chamava-se yyay.

Na lista de correio do AUR, o mantenedor Andreas Reichel descreveu o pacote como uma cópia aparentemente fiel do yay, com o mesmo endereço de origem e o mesmo código-fonte. A diferença estava no script de instalação. As funções que deviam correr depois da instalação estavam vazias, para parecerem inofensivas a quem desse uma vista de olhos, enquanto uma linha fora delas descarregava e executava um script remoto como root sempre que o pacote era instalado ou atualizado. Segundo Reichel, o ficheiro vinha de um repositório pessoal alojado no serviço russo GitFlic, através de um endereço do Internet Archive.

A equipa do AUR baniu a conta e retirou os pacotes. Outro mantenedor, Emiliano Gandini Outeda, publicou uma lista dos pacotes que a sua ferramenta de análise, a TrustSight, tinha assinalado. O BleepingComputer nota que o mesmo repositório pessoal aparece numa campanha recente contra o npm, chamada DirtyBlanket, mas não há confirmação de que as duas operações estejam ligadas.

## Terceiro ataque desde junho

Não é um caso isolado. Em junho, segundo o mesmo site, 400 pacotes do AUR distribuíram malware que roubava credenciais e tinha capacidades de rootkit, e em julho outra campanha levou o Arch a suspender temporariamente a adoção de pacotes.

Se instalaste um destes pacotes falsos, a recomendação do BleepingComputer é assumir que o sistema foi comprometido. Para o futuro, a própria ArchWiki lembra que os pacotes do AUR são conteúdo produzido por utilizadores, sem verificação aprofundada, e que o passo mais importante é ler o PKGBUILD, os ficheiros .install e os restantes ficheiros antes de compilar. Ferramentas de análise automática ajudam, mas a wiki avisa que não substituem essa verificação manual.