Los desarrolladores de Arch Linux enfrentaron un nuevo ataque a la cadena de suministro el 13 de octubre de 2026, cuando se descubrieron paquetes maliciosos que suplían a dos de las herramientas auxiliares más populares de la AUR —yay y paru— en el Repositorio de Usuarios de Arch. Subidos bajo la cuenta "marchos1as", los paquetes combinaban código legítimo con un script de instalación (.install scriptlet) que descargaba y ejecutaba un script remoto con privilegios de root. La carga útil desplegaba Tor, instalaba una versión modificada del RAT de acceso remoto CHAOS disfrazado como un servicio falso del systemd, recopilaba claves privadas SSH, inyectaba comandos maliciosos en paquetes de la AUR que esas claves podían modificar, y republicaba paquetes npm con ganchos preinstall maliciosos. La cuenta fue baneada y los paquetes eliminados en cuestión de minutos, pero cualquier sistema que hubiera instalado los paquetes falsos debe considerarse completamente comprometido.
El Repositorio de Usuarios de Arch (AUR) es el repositorio de paquetes comunitario para Arch Linux, donde los paquetes son contribuidos por voluntarios y explícitamente no son validados por el proyecto. La wiki de Arch advierte que los paquetes de la AUR no han sido completamente validados y que los usuarios deben revisar manualmente cada PKGBUILD antes de compilar. Esta arquitectura de confianza, diseñada para dar flexibilidad a la comunidad, es exactamente la debilidad explotada por los actores de amenazas. En la campaña anterior bautizada como "Atomic Arch" y descubierta en junio de 2026, más de 1.500 paquetes huérfanos fueron comprometidos, distribuyendo un colector de credenciales Rust emparejado con un rootkit eBPF. En julio, Arch Linux se vio obligado a desactivar temporalmente la adopción de paquetes para contener el flujo. La campaña de octubre siguió la misma lógica pero empleó vectores diferentes: en lugar de adoptar paquetes abandonados, los atacantes crearon paquetes falsificados que suplían directamente los nombres de los auxiliares más instalados.
Este ataque ilustra una vulnerabilidad estructural que afecta no solo a Arch Linux, sino a todo el ecosistema de código abierto basado en repositorios comunitarios: la frontera entre contribuciones legítimas y malware es prácticamente inexistente cuando la instalación ejecuta scripts arbitrarios con privilegios elevados. Los scripts de instalación de los paquetes falsos se ejecutaban como root porque pacman/makepkg se ejecuta con elevación automática. Esto significa que cualquier línea inyectada en el script .install scriptlet tiene acceso directo al sistema operativo, al sistema de archivos y a los datos sensibles del usuario. La cadena de propagación observada —Tor para comunicación con C2, CHAOS RAT como backdoor, escaneo de known_hosts para movimiento lateral, envenenamiento de paquetes AUR mediante commits suplantados y republicación de npm con ganchos preinstall— constituye un gusano de cadena de suministro que utiliza el propio entorno del desarrollador como vector de ataque.
Los usuarios de Arch Linux y distribuciones derivadas deben inspeccionar inmediatamente el historial de instalaciones de pacman para verificar si yyay o cualquier variante de paru fue instalado entre el 13 y el 15 de octubre de 2026. Todos los scripts .install de paquetes de la AUR deben revisarse en busca de patrones curl|bash o wget|bash. La detección de servicios falsos del systemd con nombres de renderizado de fuentes, tráfico de salida hacia redes Tor, y commits sospechosos en paquetes de la AUR son indicadores críticos. Todas las claves SSH, tokens .npmrc, contraseñas y credenciales de sesión deben ser rotadas. Los sistemas que instalaron los paquetes deben considerarse completamente comprometidos y, si es posible, reinstalarse desde medios confiables.
Fuentes: BleepingComputer, BleepingComputer, BleepingComputer, Arch Linux
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
