Разработчики Arch Linux временно запретили передачу «осиротевших» (orphaned) пакетов в Arch User Repository (AUR) новым мейнтейнерам. Решение было принято после захвата злоумышленниками нескольких пакетов, через которые хакеры в итоге распространили малварь.

Разработчики Arch Linux временно запретили передачу «осиротевших» (orphaned) пакетов в Arch User Repository (AUR) новым мейнтейнерам. Решение было принято после захвата злоумышленниками нескольких пакетов, через которые хакеры в итоге распространили малварь.

О новых ограничениях сообщил в рассылке участник проекта Робин Кандо (Robin Candau). По его словам, передачу пакетов отключили из-за множества подозрительных заявок и последующих вредоносных коммитов. Запрет останется в силе до тех пор, пока команда Arch Linux не найдет иной способ решения этой проблемы. Пользователей просят сообщать обо всех подозрительных изменениях, которые разработчики еще не успели обработать.

Аналитики Independent Federated Intelligence Network (IFIN) считают, что новая вредоносная кампания, о которой пишет Кандо, началась 29 июля 2026 года с компрометации пакета openconnect-sso.

По словам исследователей, происходящее во многом напоминает предыдущую атаку на AUR, включая использование Tor для доставки полезной нагрузки. Напомним, что в июне 2026 года злоумышленники перехватили управление заброшенными проектами AUR, сохранили их названия и историю изменений, а затем изменили PKGBUILD-файлы таким образом, чтобы при сборке пакета загружалась и запускалась малварь. В итоге более 400 пакетов AUR распространяли Linux-руткит и инфостилер.

Новая кампания построена на двухэтапной цепочке заражения, где первый компонент работает как загрузчик, а второй представляет собой x86_64-стилер с функциями RAT и SSH-червя.

Перед установкой загрузчик проверяет окружение на наличие отладчика и определяет, не запущен ли он в песочнице, виртуальной машине или CI/CD-среде. Если ничего подозрительного не обнаружено, для закрепления в системе малварь создает сервисы systemd и cron-задачи. Затем вредонос скачивает клиент Tor, маскирует его под процесс dbus-daemon и через него получает основной пейлоад из зоны .onion.

Второй компонент этой атаки написан на Rust и представляет собой инфостилер, который похищает учетные данные из браузеров, криптовалютных кошельков и менеджеров паролей, секреты облачных сервисов и платформ для разработки, API-ключи ИИ-сервисов, SSH-ключи и токены мессенджеров.

Кроме того, малварь может выполнять команды через зашифрованный канал Tor, а похищенные SSH-ключи могут использоваться для бокового перемещения по сети: вредонос копирует и запускает себя на других доступных системах.

Один из пользователей Reddit, отслеживающий эту кампанию, утверждает, что злоумышленники уже успели скомпрометировать более 200 пакетов AUR. По его словам, хакеры якобы взламывали аккаунты мейнтейнеров, а также получали контроль над «осиротевшими» проектами.

В числе возможных жертв исследователь перечислил такие популярные пакеты, как boringssl-git, icloudpd, windscribe-cli-v2-bin, stirling-pdf-desktop-bin, openconnect-sso, arduino-language-server-noclang-bin и pgadmin4-server. Однако пока эта информация не получила независимого подтверждения.