Pacchetti finti su AUR danno root con un solo install
Su Arch User Repository sono comparsi pacchetti malevoli che imitano yay e paru, due helper molto usati dagli utenti Arch. Il punto non è un bug del software: è la fiducia nel nome del pacchetto che viene sfruttata per trasformare un normale install in un compromesso con privilegi di root.
In pratica, il pacchetto finto si presenta come uno strumento noto e attendibile. Chi lo installa esegue il codice dell’attaccante con i privilegi del processo di installazione, e da lì il controllo può estendersi all’intera macchina, non solo all’account che ha lanciato il comando.
Per chi installa software dall’AUR, il confine di fiducia non è il repository in sé ma l’identità del pacchetto e del maintainer. Se il pacchetto è già stato installato, il rischio non resta confinato alla singola sessione: l’endpoint può essere considerato compromesso a livello di sistema.