Atomic Arch – מתקפת שרשרת האספקה שחטפה 1,900 חבילות AUR

דף הקמפיין של SafeDep ורשימות קהילתיות אחרות מנו בסופו של דבר 1,937 שמות חבילות AUR מושפעות, מה שמדגיש את טווח הפגיעה העצום . חשוב לציין שהמאגרים הרשמיים של Arch Linux (core, extra, community) לא נפגעו – התקרית הוגבלה למאגר AUR בלבד .

שיטת התקיפה: ניצול זרימת עבודה מבוססת אמון

מתקפת Atomic Arch לא הייתה פריצה לתשתיות Arch. במקום זאת, היא הייתה ניצול כירורגי של תהליך אימוץ חבילות נטושות (orphaned packages) ב-AUR, תהליך המאפשר לכל חבר קהילה לתבוע בעלות על חבילות שננטשו .

המתקפה התגלגלה בשני גלים נפרדים, כשהתוקפים שיפרו את הגישה שלהם כדי לחמוק מגילוי.

גל 1: Hook של npm (11 ביוני)

התוקפים אימצו באופן שיטתי חבילות נטושות. ברגע שקיבלו הרשאות מנהל, הם לא שינו את קוד המקור של התוכנה עצמה – צעד שהיה שובר את בדיקות ה-checksum ומפעיל אזעקות. במקום זאת, הם שינו את תסריטי הבנייה PKGBUILD כדי להזריק תלות npm זדוניות: atomic-lockfile (גרסה 1.4.2) ו-js-digest (גרסה 4.2.2) . חבילות אלו הוגדרו לרוץ אוטומטית במהלך תהליך ה-makepkg. כדי להסתיר את הפעילות הזדונית, הקוד הוטמע בתוך קבצי .install והוסווה באמצעות פיצול מחרוזות shell, quotation מעורב ו-hexadecimal escapes .

גל 2: המעבר ל-Bun (12 ביוני)

יום בלבד לאחר מכן, הופיע גל שני. הפעם, החליפו התוקפים את נתיב התקנת ה-npm בתהליך מבוסס Bun, תוך שימוש בחבילה זדונית אחרת בשם lockfile-js (גרסה 1.4.2) . השינוי סיבך את יכולות הגילוי, שכן רבים מסממני הזיהוי (IoC) הראשוניים התמקדו במאגר ה-npm, וכלי אבטחה נדרשו לעדכון כדי לנטר את סביבת הריצה והתלות החדשות .

על ידי הרעלה של הוראות הבנייה בלבד, במקום התוכנה עצמה, התוקפים עקפו את בדיקות התקינות המסורתיות. קוד המקור נראה נקי לחלוטין, והנוזקה נשלפה והורצה רק בזמן הבנייה, מה שהפך אותה לבלתי נראית למשתמשים שלא בדקו ידנית את תסריטי ה-PKGBUILD .

המטענים הזדוניים: גנב אישורים ו-Rootkit

מכונות שבנו את החבילות הנגועות קיבלו מטען דו-שלבי שנועד לריגול והשגת דריסת רגל.

• גנב אישורים מבוסס Rust: קובץ בינארי ממוקד שקצר סודות של מפתחים, כולל סשנים של הדפדפן, מפתחות SSH, אסימוני GitHub, אסימוני npm, סשנים של Slack/Teams, אסימוני Vault, אישורי Docker/Podman ומפתחות גישה לענן .
• Rootkit מסוג eBPF (למשתמשי Root בלבד): אם החבילה נבנתה עם הרשאות root, הנוזקה פרסה rootkit מסוג eBPF המסוגל להסתיר את הקבצים, התהליכים ופעילות הרשת של עצמו מכלי זיהוי סטנדרטיים כמו ps ו-htop. ה-rootkit השתמש בנתיב /sys/fs/bpf/ להשגת נוכחות קבועה, מה שהופך אותו לקשה במיוחד להסרה .

השילוב של גנב אישורים ו-rootkit ברמת הליבה הפך את האיום לחמור במיוחד, בייחוד עבור מפתחים שתחנות העבודה שלהם מכילות גישה למפתחות ומידע רגיש.

תגובת הקהילה והמפתחים

קהילת Arch Linux ותעשיית האבטחה התגייסו במהירות, אך התגובה הורכבה על ידי היקף התקיפה.

• פעולות צוות Arch: תורמי Arch פתחו שרשור דיווח מאוחד ב-AUR ב-11 ביוני והחלו בתהליך של שחזור commits זדוניים, חסימת חשבונות התוקפים וניקוי מאגר החבילות הנטושות. Arch Linux אף הקפיאה את הרשמות החשבונות החדשים ב-AUR ביום שני שלאחר מכן כדי למנוע ניצול נוסף . חבילת Arch, ג'ונתן גרוטלושן, אישר שהצוות עובד על "לשחזר או למחוק את כל ה-commits הזדוניים ולחסום את החשבונות האחראים" .
• עימות קהילתי: המתקפה הציתה ויכוח סוער. דיונים בפורומים כמו PrivacyGuides כללו קריאות של חלק מחברי הקהילה לסגור את ה-AUR כליל, בטענה שהמודל מבוסס האמון שלו נשבר ביסודו אל מול פגיעה בסדר גודל כזה .
• תגובת צד שלישי: חברות אבטחה כמו Sonatype, Corgea, Cloud Security Alliance (CSA) ו-TrueSec פרסמו ניתוחים מפורטים, סממני זיהוי (IoC) ותסריטי קהילה לבדיקה (כגון aur-malware-check) כדי לעזור למשתמשים לבצע ביקורת למערכות שלהם .

מקור מרכזי לחיכוך היה שצוות Arch הרשמי לא פרסם מיד רשימה קנונית אחת של כל החבילות המושפעות, מה שהוביל משתמשים להסתמך על רשימות צד שלישי ממקורות כמו SafeDep ו-Corgea .

לקחים עבור מערכת ההפעלה לינוקס

מתקפת Atomic Arch חושפת חולשות מבניות במאגרים קהילתיים מבוססי אמון הנשענים על תחזוקת מתנדבים.

• מלכודת החבילות הנטושות היא סיכון מערכתי: היכולת של כל משתמש לאמץ ולשנות חבילה נטושה באופן מיידי, ללא אימות זהות או בדיקת קוד חובה, הפכה תכונת נוחות לנתיב תקיפה בעל השפעה עצומה .
• הזרקה בזמן בנייה עוקפת בדיקות תקינות: מנגנוני הגנה מסורתיים מסתמכים על אימות תקינות חבילות קוד המקור. מאחר ש-Atomic Arch הרעילה את תסריטי הבנייה במקום את המקור, בדיקות checksum סטנדרטיות לא סיפקו שום הגנה .
• שרשראות אספקה חוצות-מערכות הן החזית החדשה: המתקפה השתמשה במאגרי ה-npm ו-Bun ככלי להפצת נוזקה אל תוך מערכת ההפעלה לינוקס, והוכיחה שחבילה אחת פגועה במאגר אחד עלולה לגרום לאפקט דומינו חוצה פלטפורמות .

מה משתמשים מושפעים חייבים לעשות עכשיו

חוקרי אבטחה והנחיות קהילת Arch תמימי דעים: זהו אינו מקרה בו הסרת חבילה בודדת מספיקה.

1. הניחו שהמערכת נפרצה לחלוטין: התייחסו לכל מחשב שבנה או עדכן חבילת AUR בין 9 ל-12 ביוני 2026 כנגוע לחלוטין .
2. התקינו מחדש ממדיה נקייה: סריקת נוזקות פשוטה אינה אמינה, שכן Rootkit ה-eBPF תוכנן להסתתר מכלי זיהוי. התיקון המובטח היחיד הוא לבנות את המערכת מחדש ממדיה התקנה מהימנה .
3. החליפו את כל האישורים מיד: הניחו שגנב האישורים הוציא כל סוד שהיה נגיש במכונה: מפתחות SSH, אסימוני GitHub ו-npm, אסימוני Vault, מפתחות גישה לענן, סשנים של הדפדפן ואישורי Docker/Podman .
4. ביקורת היסטוריית AUR: הריצו

   pacman -Qm

   כדי לרשום את כל החבילות החיצוניות המותקנות במערכת, וצליבו אותן מול רשימות החבילות הזדוניות שפורסמו על ידי הקהילה .
5. בדקו סימנים לפריצה: חפשו עקבות של atomic-lockfile, lockfile-js או js-digest במטמוני הבנייה, כמו גם רשומות חשודות תחת /sys/fs/bpf/ .
6. התייחסו לזה כאל אירוע אבטחה מלא: ארגונים אינם צריכים להתייחס לזה כאל תרגיל סריקה פשוט. כל תחנת עבודה של מפתח Arch או שרת CI/build ששלף מה-AUR בחלון התקיפה צריך להיות מטופל כאירוע אבטחה המחייב תגובה מלאה .