🐧 Linux: Atomic Arch — 1500 AUR-пакетов с rootkit. Это не про Arch, это про доверие

Коллеги, 11 июня в сообществе Arch Linux произошло кое-что важное для всех — даже для тех, кто никогда не видел pacman. Потому что этот инцидент — учебник по современным supply chain атакам.

Атакующие систематически брали под контроль брошенные AUR-пакеты — проекты, покинутые оригинальными мейнтейнерами — и модифицировали их сборочные скрипты. Пакеты сохранили свои имена, историю и доверие пользователей. Изменились только инструкции сборки.

Masштаб: более 1500 пакетов скомпрометировано. Вредоносные PKGBUILD были изменены для тихой загрузки и установки двух npm-пакетов: atomic-lockfile и js-digest. Эти пакеты разворачивали Rust-написанный credential stealer, нацеленный на SSH-ключи, API токены, браузерные сессии, docker credentials и cloud API keys.

Особенность которая усложняет очистку: при получении root малварь загружает eBPF-руткит. Три BPF maps в /sys/fs/bpf/ управляют тем что скрыто: hidden_pids удаляет процессы из ps, hidden_names прячет файлы из ls, hidden_inodes скрывает по inode. Руткит также блокирует присоединение отладчика.

# Если у тебя есть Arch или Arch-based в инфраструктуре:

# 1. Проверяем установленные AUR-пакеты:
pacman -Qm  # Список всех foreign (AUR) пакетов
# Сверяем с известными затронутыми: md.archlinux.org/s/SxbqukK6IA

# 2. Проверяем установки ПОСЛЕ 11 июня:
grep "installed" /var/log/pacman.log | \
    awk -F '[][]' '{print $2, $4}' | \
    awk '$1 >= "2026-06-11"' | head -30

# 3. Проверяем наличие eBPF rootkit:
ls /sys/fs/bpf/ 2>/dev/null
# Подозрительные: hidden_pids, hidden_names, hidden_inodes

# 4. Если затронутый пакет установлен — TREAT AS COMPROMISED:
# НЕ просто удали пакет — руткит уже выполнился
# Шаги:
# - Изоли систему от сети
# - Сразу ротируй ВСЕ credentials с другой машины:
#   SSH keys, GitHub PATs, npm tokens, AWS/GCP/Azure credentials
#   Docker registry tokens, всё в .env файлах, shell history
# - Загрузись с Arch ISO, проверь /etc/systemd/system/ на лишние юниты
# - Всерьёз рассмотри полную переустановку

# 5. Превентивные меры для будущего:
# В makepkg.conf — всегда просматривать PKGBUILD перед сборкой
export PKGBUILD_REVIEW=1
# Или использовать paru с --fm для просмотра через файловый менеджер:
paru -S --fm nvim package_name

Почему это важно для всех а не только для Arch-пользователей: атакующим больше не нужно строить доверие с нуля. Они его покупают — захватывая проекты которые уже заслужили его. Это кардинально снижает предупреждающие сигналы, на которые разработчики обычно полагаются при оценке ПО.

Тот же вектор работает в npm (orphaned packages), PyPI, Cargo. Проверяй orphaned packages и пакеты с недавней сменой мейнтейнера в любом реестре.

Итог: любой AUR-пакет установленный между 11-12 июня — под вопросом. Если нашёл затронутый — считай систему полностью скомпрометированной и ротируй credentials. Пакет-менеджером это не починить.

#linux #supplychain #arch #aur #security #sysadmin #admin_future