Os desenvolvedores do Arch Linux enfrentam uma nova campanha de ataque à cadeia de suprimentos após a descoberta, em 13 de outubro de 2026, de pacotes maliciosos publicados na Arch User Repository (AUR) que se passavam por yay e paru — dois dos auxiliares de linha de comando mais populares do ecossistema. Os pacotes, publicados pela conta "marchos1as", combinavam código legítimo com um script de instalação (.install scriptlet) que baixava e executava um script remoto com privilégios de root. O malware instalado instalava Tor, implantava uma versão modificada do CHAOS RAT como serviço falso do systemd, varria chaves SSH privadas, injetava comandos em pacotes AUR mantidos pelos próprios usuários e republicava pacotes npm com ganchos maliciosos. A conta foi banida e os pacotes removidos em questão de minutos, mas qualquer sistema que tiver instalado os pacotes falsos deve ser tratado como comprometido.
A Arch User Repository é o repositório comunitário do Arch Linux, onde pacotes são mantidos por voluntários e explicitamente não são validados pelo projeto. O wiki do Arch Linux alerta que a AUR não foi vetada e que os usuários devem revisar manualmente cada PKGBUILD antes de compilá-lo. Essa arquitetura de confiança, projetada para dar flexibilidade à comunidade, é exatamente a fraqueza explorada pelos atacantes. Na campanha anterior, denominada "Atomic Arch" e descoberta em junho de 2026, mais de 1.500 pacotes órfãos foram comprometidos, distribuindo um coletor de credenciais Rust com rootkit eBPF. Em julho, o Arch Linux foi obrigado a desativar temporariamente a adoção de pacotes para conter o fluxo. A campanha de outubro segue a mesma lógica, mas com vetores diferentes: em vez de adotar pacotes abandonados, os atacantes criaram pacotes falsos que imitam diretamente os nomes dos auxiliares mais instalados.
Este ataque ilustra uma vulnerabilidade estrutural que afeta não apenas o Arch Linux, mas todo o ecossistema de software livre baseado em repositórios comunitários: a fronteira entre contribuições legítimas e malware é praticamente inexistente quando a instalação executa scripts arbitrários com privilégios elevados. O script de instalação dos pacotes falsos executava com permissões de root porque o pacman/makepkg roda com elevação automática. Isso significa que qualquer linha injetada no .install scriptlet tem acesso direto ao sistema operacional, ao sistema de arquivos e aos dados sensíveis do usuário. A cadeia de propagação observada — Tor para comunicação com C2, CHAOS RAT como backdoor, varredura de known_hosts para propagação lateral, envenenamento de pacotes AUR por commits falsificados e republicação de pacotes npm com ganchos preinstall — configura um worm de cadeia de suprimentos que usa o próprio ambiente de desenvolvimento do usuário como vetor de ataque.
Os usuários do Arch Linux e das distribuições derivadas devem inspecionar imediatamente o histórico de instalações do pacman para verificar se yyay ou qualquer variante de paru foi instalada entre 13 e 15 de outubro de 2026. Devem revisar todos os scripts .install de pacotes AUR instalados, buscando padrões de curl|bash ou wget|bash. A detecção de serviços falsos do systemd com nomes de rendering de fonte, tráfego de saída para redes Tor, e commits suspeitos em repositórios de pacotes AUR também são indicadores críticos. Todas as chaves SSH, tokens .npmrc, senhas e credenciais de sessões devem ser rotacionadas. Sistemas que instalaram os pacotes devem ser considerados totalmente comprometidos e, se possível, reinstalados a partir de mídia confiável.
Fontes: BleepingComputer, BleepingComputer, BleepingComputer, Arch Linux
✓ Fontes independentes cruzadas e verificadas antes da publicação
