Arch Linux stoppt AUR-Paketübernahmen nach Malware-Welle

Es reicht: Arch Linux hat die Reißleine gezogen. Am 30. Juli gab Robin Candau vom DevOps-Team bekannt, dass Paket-Adoptionen im Arch User Repository (AUR) bis auf Weiteres deaktiviert sind. Der Grund: ein anhaltender Zustrom bösartiger Paket-Übernahmen — schon die dritte Malware-Welle in diesem Jahr. Über die erste große Kampagne mit über 1.500 verseuchten Paketen hatten wir im Juni berichtet.

SO LIEF DER TRICK: Verwaiste Pakete als Einfallstor

Das AUR lebt davon, dass die Community Build-Rezepte pflegt. Gibt ein Maintainer ein Paket auf, wird es als „verwaist“ markiert — und jeder registrierte Nutzer kann es adoptieren, neuer Maintainer werden und aktualisierte Build-Anweisungen hochladen. Praktisch, um verlassene Pakete am Leben zu halten. Aber eben auch perfekt für Angreifer: Sie übernehmen vertrauenswürdige Paketnamen und tauschen den Inhalt gegen Schadcode.

Genau das passierte seit Ende Mai in mehreren Wellen der Kampagne, die unter dem Namen „Atomic Arch“ bekannt wurde: Angreifer adoptierten verwaiste Pakete und versteckten kompilierte ELF-Binärdateien direkt in den Build-Skripten. Hunderte Community-Pakete waren zwischenzeitlich kompromittiert — mit Credential-Stealern und Rootkit-artigen Payloads.

GEFAHR! Welle drei umgeht die Juni-Schutzmaßnahmen

Nach der zweiten Welle hatte das Arch-Team im Juni Gegenmaßnahmen eingezogen. Die dritte Welle zeigt jetzt: Die Angreifer haben dazugelernt. Laut Berichten kommt diesmal ein in Rust geschriebener Infostealer zum Einsatz, der seine Kommandos über das Tor-Netzwerk bezieht — und damit die bisherigen Erkennungsmuster unterläuft. Für das DevOps-Team war damit Schluss: Solange die Lage nicht bereinigt ist, gibt es keine Adoptionen mehr.

Wichtig zur Einordnung: Das betrifft nur das AUR, nicht die offiziellen Arch-Repositories. Pakete aus core, extra und multilib laufen über Arch-Maintainer und sind von der Adoptions-Masche nicht betroffen.

SO SCHÜTZT DU DICH: Drei Handgriffe vor jedem AUR-Update

Wenn du AUR-Helfer wie yay oder paru nutzt, gilt jetzt erst recht: Nicht blind updaten.

PKGBUILD lesen: Zeigen Quell-URLs plötzlich auf fremde Domains? Tauchen neue Binär-Downloads oder base64-Blöcke auf? Finger weg.
Install-Skripte prüfen: Auch .install-Dateien und Patches ansehen — dort versteckte sich zuletzt der Schadcode.
Maintainer-Wechsel checken: Ein frisch adoptiertes Paket mit sofortigem Update ist ein Warnsignal. Kommentare auf der AUR-Seite lesen lohnt sich.

Mit pacman -Qm listest du alle Fremdpakete auf deinem System — ein guter Startpunkt, um zu wissen, was du überhaupt aus dem AUR bezogen hast.

FAZIT: Das AUR bleibt Komfort MIT Verantwortung

Das AUR war nie ein kuratierter App-Store — die Freiheit, alles zu bekommen, bedeutet auch: Du bist die letzte Verteidigungslinie. Dass Arch jetzt die Adoptionen kappt, ist der richtige Schritt, löst aber das Grundproblem nicht: Supply-Chain-Angriffe auf Community-Repositories nehmen überall zu — von npm über PyPI bis zum AUR. Wer seine Homelab-Kisten auf Arch betreibt, sollte die kommenden Wochen besonders wachsam bleiben.

Häufige Fragen

Was ist eine Paket-Adoption im AUR?

Gibt ein Maintainer ein AUR-Paket auf, wird es als verwaist markiert. Jeder registrierte Nutzer kann es dann adoptieren und als neuer Maintainer weiterpflegen — inklusive der Möglichkeit, neue Build-Anweisungen hochzuladen. Genau diesen Mechanismus haben Angreifer missbraucht, um vertrauenswürdige Paketnamen mit Schadcode zu füllen. Deshalb ist die Funktion jetzt deaktiviert.

Bin ich betroffen, wenn ich nur offizielle Repos nutze?

Nein. Die Angriffe betreffen ausschließlich das Arch User Repository, in dem die Community Build-Rezepte pflegt. Die offiziellen Repositories core, extra und multilib werden von Arch-Maintainern betreut und sind von der Adoptions-Masche nicht betroffen. Mit pacman -Qm siehst du, welche Fremdpakete auf deinem System installiert sind.

Wie erkenne ich ein verseuchtes AUR-Paket?

Prüfe vor Installation oder Update das PKGBUILD und alle Install-Skripte: Verdächtig sind geänderte Quell-URLs, eingebettete Binärdateien, base64-kodierte Blöcke und plötzliche Maintainer-Wechsel mit sofortigem Update. Auch die Kommentare auf der AUR-Paketseite sind oft die schnellste Warnquelle, wenn etwas nicht stimmt.

Wann werden Adoptionen wieder freigeschaltet?

Das ist offen. Das Arch-Team spricht davon, die Funktion zu deaktivieren, während die Lage bereinigt wird — einen Zeitplan gibt es nicht. Denkbar sind strengere Regeln für Übernahmen, etwa Wartefristen oder zusätzliche Prüfungen, bevor die Funktion zurückkehrt.

Quellen: BleepingComputer, Phoronix, Linuxiac

NOTBREMSE! Arch Linux stoppt Paket-Übernahmen im AUR — die dritte Malware-Welle rollt