Das Arch Linux User Repository (AUR) ist von einer neuen, dritten Welle koordinierter Malware-Angriffe getroffen worden. Die ersten beiden Wellen überfluteten das AUR Mitte Juni mit über 1.500 Paketen, indem verwaiste Pakete übernommen und Schadcode in die PKGBUILD- oder Installationsskripte eingefügt wurde. Daraufhin wurde die unkontrollierte Übernahme verwaister Pakete gestoppt.
Dritte Welle
Als Reaktion auf die jetzige dritte Welle hat das Arch Linux DevOps-Team am 1. August 2026 sämtliche Schreibzugriffe und Paket-Pushes auf das AUR vorübergehend deaktiviert. Während das Entwickler- und Adminteam daran arbeitet, bösartige Commits zu identifizieren, betroffene Accounts zu sperren und die Integrität des Repositories wiederherzustellen, können keine neuen Pakete hochgeladen, keine Aktualisierungen eingereicht und keine Konten übernommen werden.
Stehlen von Informationen
Die verwendete Schadsoftware ist wie bei der ersten Welle ein in Rust verfasster Infostealer, der zugleich auch als Remote-Access-Trojaner (RAT) fungiert und über die Fähigkeiten eines SSH-Wurms verfügt. Die Kommunikation der Schadsoftware mit den Angreifern wird über Tor abgewickelt. Primäres Ziel der Schadsoftware ist das Stehlen von Informationen wie Passwörtern, Zugangsdaten und SSH-Schlüsseln.
System überprüfen
Anwender, die in den vergangenen Tagen Pakete aus dem AUR erstellt haben, sollten ihr System überprüfen. Dabei hilft die Suche in den Pacman-Logs nach Paketen, die in den Tagen vor der AUR-Sperre installiert oder aktualisiert wurden:
grep -E "installed|upgraded" /var/log/pacman.log | tail -n 50Die Entwickler betonen, dass die Vorfälle lediglich das AUR betreffen. Die Pakete aus den Arch-Repositorys sind in keiner Weise betroffen.
Die Treiber fuer meine GT 1030 GPU sind leider lediglich via AUR verfuegbar. Daher muss ich aktuell auf Arch verzichten. AUR, kenn ich mich zu wenig aus um das gefuehlt sicher zu benutzen.
Aber Arch ist klar meine favorisierte Distro dieser Tage. LG und schoenen Tag
AUR = Anachrie und Randale
Da wird sich auch nciht viel ändern.
Es wird ja darauf hingewiesen, dass jeder jedes Paket auf Manipulation prüft.
Als wüßte jeder, was zum Paket dazugehört oder nicht.
So langsam wird einem Unwohl das AUR zu nutzen, hab ich zum Glück aber lange nicht mehr und auch nichts daraus mehr installiert. Lang war RustDesk nur im AUR.
Ferdinand, leider geht aus dem Artikel nicht hervor, welche Pakete/Rezepte überhaupt betroffen sind. Magst Du das noch bitte ergänzen? Besonders den ersten Abschnitt finde ich insgesamt nicht besonders gelungen. Meine (zugegeben recht dilettantische) Recherche hat ergeben, dass ein maliziöses Rezept hochgeladen wurde (Quelle in englischer Sprache: https://cybersecuritynews.com/arch-linux-disables-aur-package/). Das würde auch erklären, warum das AUR nur in schreibender Richtung gesperrt wurde und Benutzer weiterhin Pakete/Rezepte herunterladen können. Sommerloch?
Es ist halt wieder das gleiche wie beim letzten Mal und beim vorletzten Mal. Leute melden sich als neue Betreuer für verwaiste AUR-Pakete und wenn sie dann die Kontrolle darüber haben, fügen sie Malware hinzu.
Arch hat deshalb erst die Adoption verwaister Pakete und nun alle Schreib-Zugriffe auf das AUR blockiert, während sie versuchen, aufzuräumen. Und wenn sie wieder nicht viel ändern, geht das ganze in ein paar Wochen dann in Runde 4.
Ja da habe ich tatsächlich nur den Unterartikel mit dem malifizösen Firefox Paket erwischt (das ist trivial). Ob es in Runde 4 geht, wird sich dann ja in ein paar Wochen zeigen.
Anscheinend hat man nach den letzten beiden Wellen keine nennenswerten Schritte unternommen, um solche Angriffe zu verhindern.