Das Arch Linux User Repository (AUR) ist von einer neuen, dritten Welle koordinierter Malware-Angriffe getroffen worden. Die ersten beiden Wellen überfluteten das AUR Mitte Juni mit über 1.500 Paketen, indem verwaiste Pakete übernommen und Schadcode in die PKGBUILD- oder Installationsskripte eingefügt wurde. Daraufhin wurde die unkontrollierte Übernahme verwaister Pakete gestoppt.
Dritte Welle
Als Reaktion auf die jetzige dritte Welle hat das Arch Linux DevOps-Team am 1. August 2026 sämtliche Schreibzugriffe und Paket-Pushes auf das AUR vorübergehend deaktiviert. Während das Entwickler- und Adminteam daran arbeitet, bösartige Commits zu identifizieren, betroffene Accounts zu sperren und die Integrität des Repositories wiederherzustellen, können keine neuen Pakete hochgeladen, keine Aktualisierungen eingereicht und keine Konten übernommen werden.
Stehlen von Informationen
Die verwendete Schadsoftware ist wie bei der ersten Welle ein in Rust verfasster Infostealer, der zugleich auch als Remote-Access-Trojaner (RAT) fungiert und über die Fähigkeiten eines SSH-Wurms verfügt. Die Kommunikation der Schadsoftware mit den Angreifern wird über Tor abgewickelt. Primäres Ziel der Schadsoftware ist das Stehlen von Informationen wie Passwörtern, Zugangsdaten und SSH-Schlüsseln.
System überprüfen
Anwender, die in den vergangenen Tagen Pakete aus dem AUR erstellt haben, sollten ihr System überprüfen. Dabei hilft die Suche in den Pacman-Logs nach Paketen, die in den Tagen vor der AUR-Sperre installiert oder aktualisiert wurden:
grep -E "installed|upgraded" /var/log/pacman.log | tail -n 50Die Entwickler betonen, dass die Vorfälle lediglich das AUR betreffen. Die Pakete aus den Arch-Repositorys sind in keiner Weise betroffen.
Anscheinend hat man nach den letzten beiden Wellen keine nennenswerten Schritte unternommen, um solche Angriffe zu verhindern.