AUR ปลอม yay paru หลอกรันโค้ด root: ผู้ใช้ Arch Linux โดนอีกแล้ว

เมื่อวันที่ 13 ตุลาคม 2026 มีผู้โจมตีอัปโหลดแพ็กเกจปลอมจำนวนมากไปยัง AUR โดยใช้ชื่อที่พิมพ์ผิดเล็กน้อยเพื่อเลียนแบบเครื่องมือช่วยติดตั้งยอดนิยมสองตัวคือ yay และ paru เช่น ชื่อ yyay ซึ่งแพ็กเกจเหล่านี้บรรจุโค้ดปกติจากต้นทางแท้ แต่แอบใส่สคริปต์ติดตั้งที่ดึงและรันสคริปต์จากระยะไกลด้วยสิทธิ root ทำให้เครื่องถูกควบคุมทั้งหมด BleepingComputer Hacker Posts CTRLALTNOD

เรื่องนี้เกิดขึ้นเพียงไม่กี่วันก่อนวันนี้ (วันศุกร์ที่ 16 ตุลาคม) และทีมงาน AUR ได้แบนบัญชี marchos1as แล้วพร้อมลบแพ็กเกจทั้งหมดออกไปภายในเช้าวันถัดไป ATLABYTE แต่คนที่ติดตั้งไปแล้วต้องถือว่าตัวเครื่องถูกบุกรุกเต็มรูปแบบ

สรุป 30 วินาที: เกิดอะไรขึ้น

AUR หรือ Arch User Repository คือที่เก็บแพ็กเกจชุมชนสำหรับ Arch Linux ที่ใครก็เอา PKGBUILD มาใส่ได้ ArchWiki มันต่างจาก repository ทางการตรงที่ไม่มีใครตรวจสอบล่วงหน้า

ผู้โจมตีใช้บัญชี marchos1as อัปโหลดแพ็กเกจปลอมที่ชื่อคล้าย yay และ paru เมื่อเย็นวันที่ 13 ตุลาคม 2026 แพ็กเกจเหล่านี้ใช้โค้ดต้นทางจริงแต่ใส่ install scriptlet ที่ดึงสคริปต์จาก Wayback Machine ชี้ไปยัง repo hellscripter/install-scripts บน GitFlic แล้วรันด้วยสิทธิ root BleepingComputer

ชุมชนแจ้งเตือนผ่าน mailing list aur-general ภายในไม่กี่นาที ทีม AUR แบนบัญชีและลบแพ็กเกจทั้งหมด Hacker Posts มีการเชื่อมโยงกับแคมเปญ npm ชื่อ DirtyBlanket ที่ใช้ repo ชื่อคล้ายกันแต่ยังไม่ยืนยัน CTRLALTNOD

คนที่ติดตั้งแพ็กเกจเหล่านี้ควรถือว่าตัวเครื่องถูกเจาะทั้งระบบและต้องรีบกู้คืน ATLABYTE

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณใช้ Linux บนเครื่องทำงาน คอมพิวเตอร์บ้าน หรือ Steam Deck แล้วเคยพิมพ์คำสั่งติดตั้งจาก YouTube หรือเว็บไทย ๆ คุณอาจเคยใช้ AUR ผ่าน helper ตัวยอดนิยมอย่าง yay หรือ paru

AUR ช่วยให้ติดตั้งโปรแกรมที่ไม่มีใน repository ทางการได้ง่าย ๆ เช่น ซอฟต์แวร์รุ่นทดลอง เกม หรือเครื่องมือเฉพาะทาง แต่เพราะมันเป็น “ตลาดนัดชุมชน” ใครก็เอาแพ็กเกจมาโพสต์ได้ จึงเสี่ยงต่อมัลแวร์แบบนี้ ArchWiki

ในไทยมีทั้งนักพัฒนา นักศึกษาที่เรียนคอม คนทำงานออฟฟิศที่ใช้ Linux เพื่อความเสถียร และเกมเมอร์ที่ชอบแต่ง Steam Deck ล้วนแล้วแต่เสี่ยง ถ้าเครื่องโดน root malware มันอาจขโมยรหัสผ่าน SSH คีย์ GitHub หรือแม้แต่ข้อมูลธนาคารที่เซฟไว้ในเครื่อง

เรื่องนี้ไม่ใช่แค่เรื่องเทคนิค แต่เกี่ยวกับเงินในกระเป๋า ความปลอดภัยของข้อมูลส่วนตัว และความสะดวกที่เราคุ้นเคยในชีวิตประจำวัน ถ้าเครื่องพังต้องลงใหม่ทั้งหมดก็เสียเวลาเสียเงินหลายวัน

ทำงานยังไง

AUR ไม่ได้แจกไฟล์โปรแกรมสำเร็จรูป แต่แจก “สูตรทำอาหาร” ชื่อ PKGBUILD ซึ่งเป็นไฟล์สคริปต์บอกวิธีดาวน์โหลดโค้ด แปลงเป็นแพ็กเกจ แล้วติดตั้งด้วยคำสั่ง makepkg และ pacman ArchWiki

AUR helper อย่าง yay และ paru คือโปรแกรมที่ช่วยค้นหาและรันสูตรนี้ให้อัตโนมัติโดยไม่ต้องพิมพ์คำสั่งยาว ๆ ทุกครั้ง

ในกรณีนี้ แพ็กเกจปลอมอย่าง yyay ใช้ PKGBUILD ที่ชี้ไปยังโค้ด yay ของจริงและตรวจ checksum ตรงเป๊ะ แต่ในไฟล์ .install (หรือ install scriptlet) มีโค้ดแอบดึงสคริปต์จากระยะไกลผ่าน URL Wayback Machine ที่ชี้ไปยัง repo hellscripter/install-scripts บน GitFlic แล้วรันด้วยสิทธิ root BleepingComputer Hacker Posts

เพราะ pacman รัน install scriptlet ด้วยสิทธิ root (เหมือนคนที่ได้คีย์การ์ดพนักงานระดับผู้จัดการใหญ่) แค่ติดตั้งแพ็กเกจเดียว มัลแวร์ก็ได้สิทธิเต็มเครื่องทันที เหมือนเราไปตลาดนัดซื้อข้าวกล่องที่ดูเหมือนร้านดังเป๊ะ แต่ข้างในมีพนักงานแอบใส่ยาพิษลงไปในน้ำจิ้ม แล้วเรากินเข้าไปทั้งชุดโดยไม่รู้ตัว

จุดหักมุม: โค้ดจริงแต่ใจร้าย

สิ่งที่ทำให้หลายคนหลงคือแพ็กเกจเหล่านี้ไม่ได้ปลอมทั้งหมด มันใช้ source tarball และ upstream URL ของ yay ตัวจริง checksum ยังตรงกับเวอร์ชัน 13.0.1 ทำให้การตรวจด้วย checksum ไม่ช่วยอะไร CTRLALTNOD

มัลแวร์ซ่อนตัวในส่วน install scriptlet เท่านั้น ซึ่งเป็นไฟล์ที่คนส่วนใหญ่ไม่ค่อยเปิดอ่านก่อนติดตั้ง นี่คือจุดหักมุมที่ทำให้การโจมตีนี้ดูน่าเชื่อถือและผ่านการตรวจพื้นฐานไปได้

เรื่องเงิน / ผลกระทบ

ถ้าเครื่องถูกเจาะด้วย root access ผู้โจมตีอาจขโมย SSH key, token สำหรับงาน cloud, รหัสผ่านที่เซฟไว้ หรือแม้แต่ใช้เครื่องเราเป็นฐานในการโจมตีเครื่องอื่นต่อ Hacker Posts

สำหรับธุรกิจเล็ก ๆ หรือฟรีแลนซ์ที่ใช้ Linux เป็นเครื่องหลัก การต้องลงระบบใหม่ทั้งหมดหมายถึงเสียเวลาทำงานหลายวัน อาจเสียรายได้โดยตรง ส่วนเกมเมอร์ที่ใช้ Steam Deck หรือเครื่อง Linux เพื่อเล่นเกม ถ้าโดนก็อาจเสียความคืบหน้าของเกมที่เซฟไว้ในเครื่อง

จากสถิติในรายงานอื่นที่เกี่ยวข้อง เมื่อผู้โจมตีมี credential ที่ถูกต้องแล้ว การป้องกันจะลดลงเหลือเพียง 37% เท่านั้น แสดงให้เห็นว่าระบบรักษาความปลอดภัยส่วนใหญ่เน้นป้องกันตอนแรก แต่พอถูกเจาะแล้วแทบไม่มีผล BleepingComputer

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

• จำนวนแพ็กเกจที่อัปโหลด: หัวข้อ mailing list บอก “hundreds” แต่เครื่องมือ TrustSight ของชุมชนแจ้งเตือนเพียง 45 alerts ในรอบแรก และยังไม่มีตัวเลขยืนยันที่ชัดเจน CTRLALTNOD ATLABYTE

• การเชื่อมโยงกับแคมเปญ npm DirtyBlanket: ทั้งสองใช้ repo ชื่อ hellscripter/install-scripts และมี OSV advisory MAL-2026-17242 ที่พูดถึง domain เดียวกัน แต่ทุกแหล่งข่าวย้ำว่า “ยังไม่มีหลักฐานยืนยันว่าเป็นคนเดียวกัน” BleepingComputer Hacker Posts

• วันที่แบนบัญชี: บางแหล่งบอกแบนภายในคืนวันที่ 13 บางแหล่งบอกเช้าวันที่ 14 CTRLALTNOD

เรื่องก่อนหน้านี้ในปี 2026 คือแคมเปญเดือนมิถุนายนที่มีแพ็กเกจประมาณ 400 ตัว (หรือบางแหล่งบอก 1,500 ตัว) ที่ขโมย credential และมี rootkit และเดือนกรกฎาคมที่ทำให้ Arch ต้องปิดฟีเจอร์ package adoption ชั่วคราว BleepingComputer ATLABYTE

แล้วเราควรทำอะไร

สำหรับคนใช้ทั่วไป (office worker, นักเรียน, ผู้ปกครองที่ใช้ Linux ด้วย)

1. รันคำสั่ง pacman -Qm เพื่อดูรายการแพ็กเกจที่ติดตั้งจากภายนอก (foreign packages) แล้วเช็คว่ามีชื่อแปลก ๆ อย่าง yyay หรือชื่อที่คล้าย yay/paru แต่คุณไม่ได้ตั้งใจติดตั้งไหม Hacker Posts

2. ถ้าพบแพ็กเกจต้องสงสัย ให้ลบมันออกและถือว่าตัวเครื่องถูกบุกรุกเต็มรูปแบบ วิธีที่ดีที่สุดคือลงระบบใหม่ทั้งหมด

3. เปลี่ยนรหัสผ่านทุกอย่างที่เคยใช้บนเครื่องนั้น รวมถึงหมุน SSH key และ token ใหม่ทันที

สำหรับ IT คนที่ดูแลเซิร์ฟเวอร์หรือเครื่องนักพัฒนา

1. ตรวจสอบเครื่องทุกเครื่องที่ใช้ AUR helper ด้วยคำสั่ง pacman -Qm และ pacman -Qi ชื่อแพ็กเกจต้องสงสัย

2. อ่าน PKGBUILD และ .install ทุกครั้งก่อนติดตั้ง AUR package ไม่มีทางลัด

3. ตั้งค่า helper ให้แสดง diff และหยุดก่อนติดตั้งทุกครั้ง ไม่ควรให้มัน auto-confirm

4. ถ้าเจอแพ็กเกจต้องสงสัย ให้รีบ isolate เครื่อง รีอิมเมจใหม่ และหมุน credential ทั้งหมด

สำหรับทุกคน

• ใช้แพ็กเกจจาก official repository ก่อนเสมอ
• ถ้าไม่มีจริง ๆ ค่อยใช้ AUR แต่ต้องอ่านไฟล์ทุกครั้ง ArchWiki
• เปิดใช้งานเครื่องมืออย่าง TrustSight หรือตัวสแกน PKGBUILD อื่น ๆ เพื่อช่วยเตือน

ผมมองว่า…

ผมมองว่า AUR เป็นเหมือนตลาดนัดที่สะดวกมากสำหรับคนใช้ Arch แต่ความสะดวกนี้แหละคือจุดอ่อนที่ผู้โจมตีใช้ประโยชน์ซ้ำแล้วซ้ำเล่า ไม่ใช่เรื่องที่เราจะโทษผู้ใช้ที่ขี้เกียจอ่าน PKGBUILD แต่คือเรื่องที่ระบบต้องช่วยให้การอ่านและตรวจสอบมันง่ายและปลอดภัยมากกว่านี้

ปิดท้าย: สิ่งที่ต้องจับตา

ต้องจับตาว่าจะมีการยืนยันความเชื่อมโยงระหว่างเหตุการณ์ AUR นี้กับแคมเปญ DirtyBlanket ของ npm หรือไม่ รวมถึงทาง Arch จะปรับปรุงกระบวนการ moderation หรือเตือนผู้ใช้อย่างไรในอนาคต และจะมีแคมเปญโจมตี AUR รอบใหม่เร็ว ๆ นี้หรือเปล่า เพราะปี 2026 นี้เกิดเรื่องแบบนี้มาแล้วหลายครั้ง

Recap

• รัน pacman -Qm เช็คแพ็กเกจแปลก ๆ ทันที
• ถ้าพบ yyay หรือชื่อคล้าย ๆ ให้ถือเครื่อง compromised และรีอิมเมจใหม่
• หมุน SSH key, token, รหัสผ่านทุกอย่างที่เคยใช้บนเครื่องนั้น
• อ่าน PKGBUILD และ .install ทุกครั้งก่อน build AUR package
• ใช้ official repo ให้มากที่สุด
• ตั้งค่า AUR helper ให้ pause และแสดง diff ทุกครั้ง
• ติดตามข่าว AUR security ต่อเนื่อง เพราะปีนี้เกิดบ่อย