Arch Linux blocca adozioni AUR: terzo attacco supply chain in…

Il 30 luglio 2026 Arch Linux ha sospeso le adozioni di pacchetti AUR per fermare una campagna di attacchi alla supply chain. È la terza ondata da giugno, con malware

Il 30 luglio 2026 Arch Linux ha disabilitato temporaneamente la funzione di adozione dei pacchetti nell'Arch User Repository. La decisione, annunciata da Robin Candau del team DevOps, interrompe un attacco in corso che sfrutta la stessa architettura aperta che rende AUR attrattivo: la capacità di qualsiasi utente registrato di rivendicare pacchetti abbandonati e modificarne i sorgenti.

Secondo l'analisi tecnica di IFIN riportata da BleepingComputer, la campagna è iniziata il 29 luglio con il pacchetto openconnect-sso. Si tratta della terza ondata di attacchi alla supply chain contro AUR da giugno 2026, con un'escalazione tecnica che passa da comandi npm a downloader JavaScript offuscati fino a binari ELF embedded direttamente negli script di build.

Il meccanismo dell'attacco: quando l'open adoption diventa vettore

L'Arch User Repository permette a chiunque disponga di un account registrato di "adottare" pacchetti senza maintainer attivo, ottenendo accesso in scrittura al repository git associato. Gli attaccanti hanno automatizzato questa operazione per iniettare commit nei file PKGBUILD, gli script che definiscono come il codice sorgente viene scaricato, compilato e installato.

Il punto di esecuzione critico è la fase makepkg: quando un utente installa un pacchetto AUR tramite helper come yay o paru, lo script PKGBUILD viene eseguito con i privilegi necessari alla build. I binari ELF embedded nei commit malevoli si attivano in questo momento, prima che il software finale venga assemblato, sfuggendo a strumenti di analisi che si focalizzano sul codice sorgente o sul traffico di rete del pacchetto installato.

La tecnica rappresenta un'evoluzione mirata. La prima ondata, documentata a giugno con il nome "Atomic Arch" da LinuxCompatible, utilizzava comandi npm install atomic-lockfile. Phoronix riporta che tale campagna ha coinvolto oltre 1.500 pacchetti. La seconda ondata, descritta dallo sviluppatore Nicolas Boichat come "a little bit more elaborate" secondo LinuxCompatible, ha introdotto downloader JavaScript offuscati. La terza, attuale, elimina la dipendenza da npm e JavaScript, piazzando binari nativi che le contromisure sviluppate per le prime due ondate non intercettano.

La catena di infezione analizzata da IFIN

BleepingComputer pubblica l'analisi tecnica condotta da IFIN sul payload della terza ondata. Il primo stadio agisce da loader con controlli multipli: rilevamento di debugger, sandbox, macchine virtuali e ambienti CI/CD. Se i controlli passano, installa servizi systemd e job cron per la persistenza, scarica un client Tor mascherato da dbus-daemon e recupera il secondo stadio da un server .onion.

Il secondo stadio è un payload Rust per Linux x86_64 descritto come infostealer con funzionalità RAT e worm SSH. Secondo l'analisi di IFIN, il malware è progettato per rubare credenziali di browser, wallet crittografici, password manager, secret cloud e di sviluppo, chiavi API per servizi AI, chiavi SSH e token di messaggistica. La capacità di propagazione via SSH lo rende, secondo l'analisi di IFIN, un payload con potenziale per movimento laterale in infrastrutture che utilizzano Arch o distribuzioni derivate.

Il percorso di delivery via Tor e l'uso di processi camuffati da componenti di sistema indicano una progettazione orientata alla persistenza e all'occultamento, non a un attacco di opportunità.

"Due to the current influx of malicious package adoptions and follow-up commits made via the AUR, package adoption is currently disabled while we are handling the situation" — Robin Candau, Arch Linux DevOps team

I numeri in conflitto e i limiti del quadro attuale

Le fonti convergono sulla sostanza dell'attacco ma divergono sui numeri. ITNews riporta 27 pacchetti confermati compromessi secondo una lista compilata dai contributori AUR. BleepingComputer cita una stima di 200 pacchetti tratta da un post Reddit, esplicitamente etichettata come "not independently confirmed" dalla redazione stessa. Phoronix e LinuxCompatible si riferiscono a 1.500+ e 1.900+ pacchetti per le ondate cumulate, con LinuxCompatible che specifica 400+ pacchetti per la campagna di giugno con Linux rootkit/infostealer secondo BleepingComputer, e 70+ pacchetti per un'ondata di metà giugno con spam russo e volgarità secondo ITNews.

Il team Arch non ha divulgato al momento della sospensione né l'estensione esatta della compromissione né indicatori di compromissione (IOC) specifici. Candau ha aggiunto: "We will send a follow-up once we're able to. In the meantime, feel free to report suspicious adoption events or commits that haven't been dealt with yet, and stay vigilant!".

Nessuna fonte nel dossier verifica indipendentemente tutti i pacchetti nominati. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a gruppi noti, né informazioni sullo stato di compromissione di account maintainer legittimi rispetto a registrazioni di nuovi account da parte degli attaccanti.

Cosa fare adesso

Arch Linux non ha rilasciato guidance operativa ufficiale oltre alla sospensione delle adozioni e alla richiesta di segnalare eventi sospetti. In attesa di comunicazioni ufficiali, le seguenti mitigazioni si deducono dal pattern tecnico documentato da IFIN e dalle fonti:

Attendere il follow-up annunciato da Robin Candau e verificare eventuali aggiornamenti sulle mailing list ufficiali di Arch Linux.
Riesaminare i pacchetti AUR installati prima del 30 luglio 2026, con attenzione a quelli adottati da nuovi maintainer dopo lunghi periodi di inattività.
Verificare la data dell'ultimo commit e il nome del maintainer attuale per i pacchetti AUR in uso, operazione resa possibile dalla struttura pubblica del repository git.
Considerare che il mascheramento del client Tor come dbus-daemon è un pattern rilevato da IFIN, non una guidance ufficiale di monitoraggio.

La sospensione delle adozioni e la restrizione delle registrazioni di nuovi account, documentate da LinuxCompatible, sono le uniche contromisure strutturali attivate dal team Arch al momento della pubblicazione.

Il confronto con altre piattaforme

La differenza con altre piattaforme di package management che hanno adottato misure strutturali di verifica è evidente: AUR non richiede 2FA obbligatorio per l'adozione, né provenance attestations, né segnalazioni automatizzate pre-pubblicazione. Questa architettura, che abbassa il costo del contributo software a zero, è ciò che rende AUR attrattivo per la community Arch e simultaneamente vulnerabile a campagne automatizzate di adozione malevola.

La recidività degli attaccanti — tre ondate in due mesi, con risposta adattiva alle contromisure precedenti — suggerisce che il vettore AUR è classificato come investimento sostenuto. Il passaggio da comandi npm a JavaScript offuscato a ELF embedded indica un'osservazione diretta delle difese deployate dopo ciascuna ondata.

La domanda che resta aperta

Arch Linux non ha indicato se modificherà permanentemente il processo di adozione dei pacchetti AUR, né ha fornito una timeline per la riattivazione. La sospensione del 30 luglio 2026 risolve l'emergenza immediata ma non il trade-off strutturale: la stessa apertura che alimenta l'ecosistema Arch lo espone a compromissione sistematica.

Il dossier non contiene informazioni su eventuali modifiche procedurali in corso di valutazione. La community attende il follow-up promesso da Candau per comprendere se la risposta sarà temporanea o se AUR attraverserà una ridefinizione del modello di trust.

Punti chiave

Arch Linux ha disabilitato le adozioni AUR e le registrazioni di nuovi account il 30 luglio 2026 per bloccare una campagna di compromissione di pacchetti abbandonati.
La terza ondata utilizza binari ELF statici con nomi generici (linter, hasher, parser, assembler, translator, minifier) eseguiti durante la fase di build makepkg, aggirando i sistemi di rilevamento network-based delle precedenti campagne.
Il malware analizzato da IFIN è bifase: un loader con controlli anti-debug/VM/sandbox/CI-CD che installa persistenza via systemd e cron, scarica un client Tor camuffato da dbus-daemon, e recupera un infostealer Rust con funzionalità RAT e worm SSH da un server .onion.
Almeno 27 pacchetti risultano compromessi secondo una lista compilata dai contributori AUR; una fonte non verificata su Reddit ha citato cifre superiori a 200.
Nessuna fonte ha verificato indipendentemente tutti i pacchetti nominati né ha confermato movimento laterale osservato oltre alla capacità worm SSH identificata da IFIN.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti