【安全圈】超过 400 个 Arch Linux 软件包被攻破,用于推送 rootkit 和信息窃取程序

近日，Arch Linux 的社区用户软件仓库（AUR）遭遇了一场严重的供应链安全攻击。据多家安全机构与开源情报社区披露，超过400个AUR软件包被恶意篡改，用于分发针对开发者的凭证窃取器及具备Rootkit功能的恶意软件。

AUR作为Arch Linux生态中至关重要的组成部分，为开发者提供了大量官方仓库未收录的专有应用、Beta版本及小众工具。然而，由于AUR本质上是一个由社区维护的构建脚本（PKGBUILD）集合，缺乏官方的强制安全审查，这使其成为攻击者利用“孤儿包”或维护权变更漏洞进行投毒的温床。

攻击手法与恶意载荷

根据独立联邦情报网络（IFIN）及供应链管理公司Sonatype的报告，攻击者通过劫持或伪装成受信任的发布者，修改了软件包的构建脚本。他们在安装后脚本中暗中引入了一个名为 atomic-lockfile 的恶意 npm 包。

安全研究员分析指出，该恶意包包含一个 Linux ELF 有效载荷，专门针对开发者工作站和构建环境。其核心危害包括：

• 广泛的信息窃取：恶意软件会扫描并窃取浏览器Cookie、SSH密钥、GitHub凭证、HashiCorp Vault令牌，以及Slack、Discord、Microsoft Teams、Telegram等通讯工具的会话数据。

• eBPF Rootkit 功能：该载荷具备可选的 eBPF（扩展伯克利数据包过滤器）Rootkit 能力。在获取 root 权限后，它能在内核层面运行，隐藏恶意进程、文件及网络接口，极大地增加了检测和清除的难度。

• 数据外传：恶意二进制文件具备归档和多部分文件处理能力，可通过HTTP将窃取的敏感数据上传至外部服务器。

社区响应与处置

事件曝光后，AUR维护团队已展开紧急清理行动。Arch Linux 软件包维护者 Jonathan Grotelüschen 表示，团队正在努力重置或删除所有恶意提交，并封禁相关违规账号。同时，社区呼吁用户积极举报可疑软件包，并优先信任更新频繁、社区活跃的项目。

安全建议与补救措施

鉴于此次攻击的隐蔽性和Rootkit的潜在危害，安全专家向Arch用户发出以下警告：

1. 立即排查：用户应核对官方发布的受影响软件包列表，并检查系统中是否存在 atomic-lockfile 恶意软件。
2. 凭证轮换：若确认安装了受感染的软件包，必须立即轮换所有可能泄露的凭据、Token及密钥。
3. 系统重装：由于 eBPF Rootkit 可能在常规清理中幸存，专家强烈建议受感染用户从头开始重新安装 Arch Linux，以确保系统彻底净化。

此次事件再次凸显了开源供应链安全的脆弱性，即便是高度开放的社区仓库，也可能在缺乏严格审核的情况下被恶意利用。用户在享受AUR带来的便利时，务必保持警惕，定期审查构建脚本的安全性。