[해외보안뉴스] 'yay'·'paru' 사칭한 가짜 아치 리눅스 패키지, 루트 권한 악성코드 유포
· 2026-10-16 03:00
· 조회 12
· 원문 ↗
아치 리눅스(Arch Linux)의 사용자 커뮤니티 저장소인 AUR(Arch User Repository)에 인기 도구인 'yay'와 'paru'를 사칭한 악성 패키지가 업로드되는 공급망 공격이 발생했습니다. 공격자들은 패키지 관리 도구를 편리하게 설치하도록 도와주는 인기 AUR 헬퍼 도구의 이름을 타이포스쿼팅(유사한 이름 등록) 방식으로 도용하여 사용자의 설치를 유도했습니다.
이번에 발견된 악성 패키지는 패키지 빌드 프로세스(PKGBUILD) 내에 악성 스크립트를 삽입하는 방식으로 동작합니다. AUR 패키지 설치 시 시스템 패키지 구성 및 의존성 해결을 위해 루트(root) 권한 또는 sudo 권한이 부여되는 경우가 많다는 점을 노린 것으로, 스크립트가 실행되면 공격자는 즉시 시스템 최고 권한을 획득하게 됩니다. 이를 통해 백도어 설치, 시스템 제어권 탈취, 민감 정보 유출 등 심각한 피해를 입힐 수 있습니다.
아치 리눅스 사용자 및 시스템 관리자는 AUR 패키지를 설치하거나 업데이트하기 전에 반드시 PKGBUILD 파일과 수반되는 스크립트의 소스 코드를 사전 검토해야 합니다. 또한 'yay'나 'paru'와 같은 중요 도구는 공식 저장소(Extra)나 검증된 개발자의 공식 Git 리포지토리를 통해 직접 설치하는 것이 안전하며, 의심스러운 패키지가 이미 설치되었다면 즉시 삭제하고 악성코드 감염 여부를 점검해야 합니다.
♥ 추천 0
AUR 같은 오픈 커뮤니티 리포지토리는 편리하지만 서플라이 체인 공격의 주요 표적이 되므로, 개발자의 무조건적인 신뢰가 가장 큰 보안 허점입니다. 패키지 설치 시
PKGBUILD내의 원격 코드 실행이나 권한 상승 로직을 반드시 사전 검증하는 습관이 필요합니다. 아키텍처 관점에서도 개발 및 빌드 환경을 샌드박스로 격리하고, 검증된 내부 미러 리포지토리를 거치도록 파이프라인을 제어해야 합니다.AUR과 같은 커뮤니티 리포지토리는 사용자의 신뢰를 악용하는 타이포스쿼팅(Typosquatting) 및 공급망 공격에 매우 효과적인 타깃입니다. 특히
yay나paru같은 필수 AUR 헬퍼 도구를 위장할 경우, PKGBUILD 스크립트 실행 특성을 이용해 설치 즉시 루트 권한으로 임의 코드를 실행(RCE)할 수 있어 공격 성공률이 매우 높습니다. 단순한 명령어 오타 하나만으로도 내부망 침입을 위한 초기 침투(Initial Access) 및 최고 권한 탈취가 동시에 이루어질 수 있다는 점에서 매우 위협적인 공격 벡터입니다.오픈소스 공급망을 노린 공격이 커뮤니티 저장소(AUR)와 개발 도구까지 침투하며 기업의 핵심 자산을 직접 위협하고 있습니다. 특히 개발자 단말에서 루트 권한으로 실행되는 악성 패키지는 단시간 내에 조직 전체로 리스크를 전이시킬 수 있습니다. 사내 오픈소스 사용 및 패키지 검증 정책을 재정비하고, 개발 환경 내 최소 권한 원칙(Least Privilege)이 제대로 적용되어 있는지 즉시 거버넌스 점검을 실시해야 합니다.