Arch Linux AUR'da Sahte yay ve paru Paketleri: Kurulumda Root Yetkisiyle Zararlı Kod

Selam arkadaşlar,

Arch kullanan arkadaşlar, bu konu doğrudan sizi ilgilendiriyor. Arch User Repository'de (AUR) en popüler iki AUR yardımcısı olan yay ve paru adlarını taklit eden sahte paketler tespit edildi. Bu paketler kurulum ya da güncelleme sırasında internetten bir betik indirip root yetkisiyle çalıştırıyordu. Paketler kısa sürede kaldırıldı ama AUR'un bu yıl yaşadığı üçüncü büyük olay olması nedeniyle konuyu detaylı ele almak istedim.

Konuda Anlatılacaklar

1. Ne oldu, nasıl tespit edildi?
   
2. Sahte paketler nasıl çalışıyordu?
   
3. Zararlı yükün kaynağı
   
4. AUR'un 2026'daki olay geçmişi
   
5. Sisteminizi nasıl kontrol edersiniz?
   
6. AUR'u güvenli kullanmak için alışkanlıklar
   
7. Kaynaklar
   

Ne Oldu?

BleepingComputer ve Help Net Security'nin aktardığına göre sahte paketler 13 Ekim'de tespit edildi. Paketleri "marchos1as" adlı bir kullanıcı yüklemişti ve isimler yay ile paru'nun yazım hatalı varyasyonlarıydı; örneğin "yyay". Bu teknik typosquatting olarak biliniyor: Hızlı yazarken bir harfi fazla ya da eksik basan kullanıcıyı hedefliyor.

Olayın tespit ve müdahale süreci, topluluğun ne kadar hızlı reaksiyon gösterebildiğini de gösteriyor:

• James Smith, durumu aur-general e-posta listesine bildirdi.
  
• Andreas Reichel paketleri analiz etti.
  
• Emiliano Gandini Outeda, TrustSight aracıyla sahte paketleri tespit etti.
  
• AUR bakımcılarından DeepChirp, kullanıcıyı yasakladı ve paketleri yaklaşık bir saat içinde sildi.
  

Bir saatlik müdahale süresi gayet iyi; ama bu sürede paketi kuran herkes etkilenmiş olabilir.

Sahte Paketler Nasıl Çalışıyordu?

Burada saldırganın kurnazca bir tasarım yaptığını görüyoruz. Raporlara göre sahte paketler:

• Meşru yay kaynak kodunu kullanıyordu. Yani paket kurulduğunda gerçekten çalışan bir yay elde ediyordunuz; kullanıcı bir terslik fark etmiyordu.
  
• Pakete zararlı bir install betiği (install scriptlet) eklenmişti.
  
• Betik içindeki kurulum fonksiyonları boş bırakılmış, zararlı komut ise bu fonksiyonların dışına yerleştirilmişti. Bu, PKGBUILD ve install dosyasına hızlıca göz atan birinin fonksiyonların içine bakıp "boş, sorun yok" demesini sağlamaya yönelik bir gizleme yöntemi.
  
• pacman paketi kurduğunda ya da güncellediğinde, bu komut linux.sh adlı bir betiği indirip root olarak çalıştırıyordu.
  

Kritik nokta şu: makepkg derleme aşamasında root yetkisi kullanmaz, ama pacman paket kurulumunu root olarak yapar. install betikleri de pacman tarafından çalıştırıldığı için, derleme aşamasında temiz görünen bir paket kurulum aşamasında sisteminizin tamamını ele geçirebilir.



Zararlı Yükün Kaynağı

BleepingComputer'a göre zararlı betik, doğrudan bir sunucudan değil, Wayback Machine (Internet Archive) üzerinden indiriliyordu. Arşivlenmiş URL, gitflic.ru üzerindeki "hellscripter/install-scripts" deposuna işaret ediyordu. Wayback Machine gibi meşru ve yaygın bir alan adını kullanmak, basit alan adı tabanlı engelleme ve itibar kontrollerini atlatmaya yönelik bilinen bir taktik.

Kaynaklarda bu olayın npm ekosistemindeki "DirtyBlanket" kampanyasıyla (SafeDep'in raporladığı, CHAOS RAT dağıtan kampanya) bağlantılı olabileceği konuşuluyor; ancak bu bağlantı doğrulanmış değil. Ben de kesin bilgi olarak aktarmıyorum.

AUR'un 2026'daki Olay Geçmişi

Bu, AUR'un bu yıl yaşadığı ilk olay değil:

• Haziran: Büyük çaplı bir zararlı paket dalgası yaşandı. Help Net Security yaklaşık 1.500 paketten, BleepingComputer ise 400 paketten bahsediyor; kaynaklar arasında rakam farkı var.
  
• Temmuz: Yeni bir olayın ardından sahipsiz paketlerin devralınması (adoption) askıya alındı ve yeni yüklemeler durduruldu.
  
• Ekim: Sahte yay/paru paketleri.
  

AUR'un tasarımı gereği kullanıcı tarafından yüklenen, resmi olarak denetlenmeyen paketlerden oluştuğunu unutmamak gerekiyor. Arch Wiki de AUR paketlerinin kullanıcının kendi sorumluluğunda olduğunu her zaman vurgular. Ama popüler araçların adını taklit eden paketlerin sık sık ortaya çıkması, topluluğun ve bakımcıların üzerindeki yükü artırıyor.

Sisteminizi Nasıl Kontrol Edersiniz?

AUR'dan ya da resmi depolar dışından kurulmuş tüm paketleri listeleyin:

Çıktıda yay veya paru'ya benzeyen ama tam olarak o isimde olmayan bir paket arayın:

Bu arama "yay", "yay-bin", "paru", "paru-bin" gibi meşru paketleri de gösterecektir; önemli olan beklemediğiniz, yazım hatalı bir isim görüp görmediğiniz. Şüpheli bir paket bulursanız, hangi tarihte kurulduğunu pacman logundan kontrol edin:

Kurulu bir paketin install betiğini görmek için paket veritabanındaki ilgili dizine bakabilirsiniz:

Önemli: Sahte paketlerden birini kurduğunuzu tespit ederseniz, paketi kaldırmak yeterli değil. Betik root olarak çalıştığı için sistemde ne yaptığını bilemezsiniz. Kaynakların da önerdiği gibi sistemi ele geçirilmiş kabul edin: önemli verilerinizi yedekleyin (yedekleri temiz bir sistemde inceleyin), sistemi sıfırdan kurun ve o sistemde kullanılan tüm parola, SSH anahtarı ve token'ları değiştirin.



AUR'u Güvenli Kullanmak İçin Alışkanlıklar

• Paket adını iki kez kontrol edin. Özellikle "yay" gibi kısa isimlerde bir harf farkı fark edilmeyebilir.
  
• PKGBUILD ve install dosyasını okuyun. AUR yardımcıları kurulumdan önce bu dosyaları gösterir; "geç" demek yerine gerçekten okuyun. Fonksiyonların dışındaki satırlara, curl/wget ile indirilip çalıştırılan komutlara ve kodlanmış (base64 vb.) içeriklere dikkat edin.
  
• Paketin geçmişine bakın. AUR sayfasında paketin ne zaman oluşturulduğunu, kaç oy aldığını ve bakımcısının kim olduğunu kontrol edin. Yeni açılmış, oy almamış bir paket ile yıllardır kullanılan paket aynı güveni hak etmez.
  
• yay/paru'yu ilk kurulumda resmi talimatla kurun. Bu araçların kendi depolarındaki kurulum talimatını takip edin; arama sonuçlarındaki ilk paketi körü körüne seçmeyin.
  
• Güncelleme sırasında da dikkatli olun. Bu olayda zararlı kod güncelleme sırasında da çalışıyordu; yardımcı aracınızın güncellemelerde diff göstermesini etkinleştirin.
  

AUR, Arch'ı Arch yapan şeylerden biri; ama "kullanıcı deposu" olduğunu unutmamak lazım. Siz AUR paketlerini kurmadan önce PKGBUILD'i ne sıklıkla okuyorsunuz? Dürüst cevaplarınızı yorumlarda bekliyorum.

Kaynaklar

• BleepingComputer (15 Ekim 2026) - sahte Arch Linux paketleri haberi: https://www.bleepingcomputer.com/news/se...rivileges/
  
• Help Net Security (16 Ekim 2026) - AUR'daki sahte yay/paru paketleri haberi: https://www.helpnetsecurity.com/2026/10/...-yay-paru/
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).