Arch Linux의 사용자 저장소(AUR)에 인기 도우미 도구 yay와 paru를 흉내 낸 악성 패키지가 올라왔다. 패키지는 정상 코드에 악성 설치 스크립트를 끼워 넣어 원격 셸 스크립트를 루트 권한으로 실행했다.

이번 캠페인은 2026년 10월 13일 탐지됐다. ‘marchos1as’라는 사용자가 yay와 paru의 이름을 흉내 낸 패키지를 올렸고, AUR 팀은 해당 계정을 차단한 뒤 악성 패키지를 저장소에서 삭제했다. AUR은 Arch Linux와 파생 배포판에서 사용하는 커뮤니티 관리 저장소로, 제3자 도구 등의 패키지 빌드 스크립트를 제공한다.

AUR 관리자인 안드레아스 라이헬(Andreas Reichel)은 yay를 흉내 낸 ‘yyay’가 같은 업스트림 URL과 소스 압축 파일을 사용하지만, 악성 설치 스크립트가 포함돼 실제 패키지처럼 위장했다고 경고했다. 악성코드 페이로드는 Wayback Machine URL을 거쳐 러시아 호스팅 서비스 GitFlic에 있는 개인 저장소 ‘hellscripter/install-scripts’에서 내려받은 것으로 전해졌다.

최근 AUR은 악성 패키지 공격의 표적이 됐다. 6월에는 400개가 넘는 패키지가 루트킷 기능을 갖춘 정보 탈취 악성코드를 배포했고, 7월에는 악성 패키지 확산을 막기 위해 Arch가 패키지 인수를 일시적으로 중단했다.

애플리케이션 보안 업체 SafeDep은 ‘DirtyBlanket’이라는 npm 캠페인에서 Codeberg의 ‘hellscripter/install-scripts’ 저장소에 있는 코드를 가져온 사례를 보고했다. 연구진은 폰트 서비스로 위장한 CHAOS 원격 접근 트로이 목마를 배포하고 AUR 패키지에도 로더를 삽입한 리눅스 웜을 발견했다. SafeDep 보고서와 OSV 권고문은 이번 AUR 공격과 같은 Wayback Machine 및 GitFlic 도메인을 언급하지만, 두 작전이 서로 관련됐다는 확인은 아직 없다.

의심스러운 패키지를 내려받은 Arch 사용자는 시스템이 침해된 것으로 간주하고 즉시 복구 조치를 해야 한다.