Более 400 пакетов в репозитории AUR (Arch User Repository) оказались заражены руткитом и инфостилером в результате атаки на заброшенные проекты. Злоумышленники перехватили управление этими пакетами, сохранив их оригинальные названия и историю изменений.

Вредоносная активность была реализована через модификацию PKGBUILD-файлов — при сборке такого пакета на машине пользователя автоматически загружалась и исполнялась малварь. Таким образом, жертвы сами запускали вредоносную полезную нагрузку, даже не подозревая об этом.

Атака затронула только репозиторий AUR, который поддерживается сообществом, а не официальные репозитории Arch Linux. Тем не менее, масштаб инцидента значителен, так как AUR активно используется пользователями для установки программ, отсутствующих в основной ветке.

После обнаружения атаки модераторы AUR начали удаление скомпрометированных пакетов и проверку остальных на предмет аналогичных изменений. Пользователям рекомендуется временно отказаться от установки пакетов из AUR до завершения полного аудита репозитория.