מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה. התוקפים השתמשו בגישה רב שלבית שהתחילה מהזרקת תלות npm והמשיכה לשימוש ב Bun, תוך שימוש בקוד Shell מוסווה.
פורסם על ידינערך באמצעות DeepSeek-V4-Proהתמונות נוצרו באמצעות GPT Image 1.5
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה.
התוקפים השתמשו בגישה רב שלבית שהתחילה מהזרקת תלות npm והמשיכה לשימוש ב Bun, תוך שימוש בקוד Shell מוסווה.
חוקרי אבטחה תמימי דעים: כל מי שבנה חבילת AUR נגועה חייב להתקין מחדש ממדיה נקייה ולהחליף את כל האישורים מיד.
What were the key details, scale, methods, and fallout of the Arch Linux supply chain attack that compromised nearly 1,900 AUR packages sincThe Atomic Arch campaign hijacked the trust in orphaned AUR packages, turning a community workflow into a malware delivery system.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What were the key details, scale, methods, and fallout of the Arch Linux supply chain attack that compromised nearly 1,900 AUR packages sinc. Article summary: Here is a comprehensive breakdown of the "Atomic Arch" supply chain attack against the Arch User Repository (AUR).. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Arch Linux AUR Hit By NEW Malware Attack Over 1300 Packages Infected Mattscreative 36400 subscribers 64 likes 705 views 12 Jun 2026 https://ioctl.fail/preliminary-analysis-of-aur-m" source context "Arch Linux AUR Hit By NEW Malware Attack Over 1300 Packages Infected" Reference image 2: visual subject "# 400+ AUR Packages Hijacked: What the “Atomic Arch” Campaign Means for Supply-Chain Security. This post breaks down
openai.com
ביוני 2026, מתקפת שרשרת אספקה שיטתית נגד מאגר Arch User Repository, ה-AUR, פגעה בקרוב ל-1,900 חבילות, מה שהופך אותה לאחת התקריות הגדולות בתולדות המאגר. מסע התקיפה, שזכה לשם Atomic Arch על ידי חוקרי חברת Sonatype ומנוהל תחת המזהה Sonatype-2026-003775 עם ציון חומרה CVSS של 8.7, ניצל מנגנון אמון לגיטימי כדי לשתול בשקט תוכנת ריגול גונבת אישורים ו-rootkit ברמת הליבה על תחנות העבודה של מפתחים .
היקף ולוח זמנים
מה שנראה בתחילה כתקרית מקומית הפך תוך סוף שבוע אחד להשתלטות המונית.
11 ביוני 2026 (גל ראשון): Sonatype זיהתה את הגל הראשוני, שאישר פגיעה בכ-408 חבילות .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Atomic Arch – מתקפת שרשרת האספקה שחטפה 1,900 חבילות AUR"?
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה.
What are the key points to validate first?
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה. התוקפים השתמשו בגישה רב שלבית שהתחילה מהזרקת תלות npm והמשיכה לשימוש ב Bun, תוך שימוש בקוד Shell מוסווה.
What should I do next in practice?
חוקרי אבטחה תמימי דעים: כל מי שבנה חבילת AUR נגועה חייב להתקין מחדש ממדיה נקייה ולהחליף את כל האישורים מיד.
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה. התוקפים השתמשו בגישה רב שלבית שהתחילה מהזרקת תלות npm והמשיכה לשימוש ב Bun, תוך שימוש בקוד Shell מוסווה.
פורסם על ידינערך באמצעות DeepSeek-V4-Proהתמונות נוצרו באמצעות GPT Image 1.5
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה.
התוקפים השתמשו בגישה רב שלבית שהתחילה מהזרקת תלות npm והמשיכה לשימוש ב Bun, תוך שימוש בקוד Shell מוסווה.
חוקרי אבטחה תמימי דעים: כל מי שבנה חבילת AUR נגועה חייב להתקין מחדש ממדיה נקייה ולהחליף את כל האישורים מיד.
What were the key details, scale, methods, and fallout of the Arch Linux supply chain attack that compromised nearly 1,900 AUR packages sincThe Atomic Arch campaign hijacked the trust in orphaned AUR packages, turning a community workflow into a malware delivery system.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What were the key details, scale, methods, and fallout of the Arch Linux supply chain attack that compromised nearly 1,900 AUR packages sinc. Article summary: Here is a comprehensive breakdown of the "Atomic Arch" supply chain attack against the Arch User Repository (AUR).. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Arch Linux AUR Hit By NEW Malware Attack Over 1300 Packages Infected Mattscreative 36400 subscribers 64 likes 705 views 12 Jun 2026 https://ioctl.fail/preliminary-analysis-of-aur-m" source context "Arch Linux AUR Hit By NEW Malware Attack Over 1300 Packages Infected" Reference image 2: visual subject "# 400+ AUR Packages Hijacked: What the “Atomic Arch” Campaign Means for Supply-Chain Security. This post breaks down
openai.com
ביוני 2026, מתקפת שרשרת אספקה שיטתית נגד מאגר Arch User Repository, ה-AUR, פגעה בקרוב ל-1,900 חבילות, מה שהופך אותה לאחת התקריות הגדולות בתולדות המאגר. מסע התקיפה, שזכה לשם Atomic Arch על ידי חוקרי חברת Sonatype ומנוהל תחת המזהה Sonatype-2026-003775 עם ציון חומרה CVSS של 8.7, ניצל מנגנון אמון לגיטימי כדי לשתול בשקט תוכנת ריגול גונבת אישורים ו-rootkit ברמת הליבה על תחנות העבודה של מפתחים .
היקף ולוח זמנים
מה שנראה בתחילה כתקרית מקומית הפך תוך סוף שבוע אחד להשתלטות המונית.
11 ביוני 2026 (גל ראשון): Sonatype זיהתה את הגל הראשוני, שאישר פגיעה בכ-408 חבילות .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Atomic Arch – מתקפת שרשרת האספקה שחטפה 1,900 חבילות AUR"?
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה.
What are the key points to validate first?
מתקפת Atomic Arch פגעה בקרוב ל 1,900 חבילות AUR על ידי השתלטות על חבילות נטושות והזרקת נוזקה גונבת אישורים ו rootkit מסוג eBPF אל תוך תסריטי הבנייה. התוקפים השתמשו בגישה רב שלבית שהתחילה מהזרקת תלות npm והמשיכה לשימוש ב Bun, תוך שימוש בקוד Shell מוסווה.
What should I do next in practice?
חוקרי אבטחה תמימי דעים: כל מי שבנה חבילת AUR נגועה חייב להתקין מחדש ממדיה נקייה ולהחליף את כל האישורים מיד.
12 ביוני 2026 (גל שני): גל נוסף הרחיב את המתקפה. מאמצי קהילה וחוקרים ב-PrivacyGuides דיווחו שהמספר קפץ אל מעבר ל-1,500 חבילות .
14-15 ביוני 2026 (הסלמה): ניתוח נוסף של Corgea Research אימת לפחות 1,619 שמות חבילות זדוניות ייחודיות, בעוד ש-Risky.biz דיווח על מספר סופי הגבוה מ-1,900 .
דף הקמפיין של SafeDep ורשימות קהילתיות אחרות מנו בסופו של דבר 1,937 שמות חבילות AUR מושפעות, מה שמדגיש את טווח הפגיעה העצום . חשוב לציין שהמאגרים הרשמיים של Arch Linux (core, extra, community) לא נפגעו – התקרית הוגבלה למאגר AUR בלבד .
שיטת התקיפה: ניצול זרימת עבודה מבוססת אמון
מתקפת Atomic Arch לא הייתה פריצה לתשתיות Arch. במקום זאת, היא הייתה ניצול כירורגי של תהליך אימוץ חבילות נטושות (orphaned packages) ב-AUR, תהליך המאפשר לכל חבר קהילה לתבוע בעלות על חבילות שננטשו .
המתקפה התגלגלה בשני גלים נפרדים, כשהתוקפים שיפרו את הגישה שלהם כדי לחמוק מגילוי.
גל 1: Hook של npm (11 ביוני)
התוקפים אימצו באופן שיטתי חבילות נטושות. ברגע שקיבלו הרשאות מנהל, הם לא שינו את קוד המקור של התוכנה עצמה – צעד שהיה שובר את בדיקות ה-checksum ומפעיל אזעקות. במקום זאת, הם שינו את תסריטי הבנייה PKGBUILD כדי להזריק תלות npm זדוניות: atomic-lockfile (גרסה 1.4.2) ו-js-digest (גרסה 4.2.2) . חבילות אלו הוגדרו לרוץ אוטומטית במהלך תהליך ה-makepkg. כדי להסתיר את הפעילות הזדונית, הקוד הוטמע בתוך קבצי .install והוסווה באמצעות פיצול מחרוזות shell, quotation מעורב ו-hexadecimal escapes .
גל 2: המעבר ל-Bun (12 ביוני)
יום בלבד לאחר מכן, הופיע גל שני. הפעם, החליפו התוקפים את נתיב התקנת ה-npm בתהליך מבוסס Bun, תוך שימוש בחבילה זדונית אחרת בשם lockfile-js (גרסה 1.4.2) . השינוי סיבך את יכולות הגילוי, שכן רבים מסממני הזיהוי (IoC) הראשוניים התמקדו במאגר ה-npm, וכלי אבטחה נדרשו לעדכון כדי לנטר את סביבת הריצה והתלות החדשות .
על ידי הרעלה של הוראות הבנייה בלבד, במקום התוכנה עצמה, התוקפים עקפו את בדיקות התקינות המסורתיות. קוד המקור נראה נקי לחלוטין, והנוזקה נשלפה והורצה רק בזמן הבנייה, מה שהפך אותה לבלתי נראית למשתמשים שלא בדקו ידנית את תסריטי ה-PKGBUILD.
המטענים הזדוניים: גנב אישורים ו-Rootkit
מכונות שבנו את החבילות הנגועות קיבלו מטען דו-שלבי שנועד לריגול והשגת דריסת רגל.
גנב אישורים מבוסס Rust: קובץ בינארי ממוקד שקצר סודות של מפתחים, כולל סשנים של הדפדפן, מפתחות SSH, אסימוני GitHub, אסימוני npm, סשנים של Slack/Teams, אסימוני Vault, אישורי Docker/Podman ומפתחות גישה לענן .
Rootkit מסוג eBPF (למשתמשי Root בלבד): אם החבילה נבנתה עם הרשאות root, הנוזקה פרסה rootkit מסוג eBPF המסוגל להסתיר את הקבצים, התהליכים ופעילות הרשת של עצמו מכלי זיהוי סטנדרטיים כמו ps ו-htop. ה-rootkit השתמש בנתיב /sys/fs/bpf/ להשגת נוכחות קבועה, מה שהופך אותו לקשה במיוחד להסרה .
השילוב של גנב אישורים ו-rootkit ברמת הליבה הפך את האיום לחמור במיוחד, בייחוד עבור מפתחים שתחנות העבודה שלהם מכילות גישה למפתחות ומידע רגיש.
תגובת הקהילה והמפתחים
קהילת Arch Linux ותעשיית האבטחה התגייסו במהירות, אך התגובה הורכבה על ידי היקף התקיפה.
פעולות צוות Arch: תורמי Arch פתחו שרשור דיווח מאוחד ב-AUR ב-11 ביוני והחלו בתהליך של שחזור commits זדוניים, חסימת חשבונות התוקפים וניקוי מאגר החבילות הנטושות. Arch Linux אף הקפיאה את הרשמות החשבונות החדשים ב-AUR ביום שני שלאחר מכן כדי למנוע ניצול נוסף . חבילת Arch, ג'ונתן גרוטלושן, אישר שהצוות עובד על "לשחזר או למחוק את כל ה-commits הזדוניים ולחסום את החשבונות האחראים" .
עימות קהילתי: המתקפה הציתה ויכוח סוער. דיונים בפורומים כמו PrivacyGuides כללו קריאות של חלק מחברי הקהילה לסגור את ה-AUR כליל, בטענה שהמודל מבוסס האמון שלו נשבר ביסודו אל מול פגיעה בסדר גודל כזה .
תגובת צד שלישי: חברות אבטחה כמו Sonatype, Corgea, Cloud Security Alliance (CSA) ו-TrueSec פרסמו ניתוחים מפורטים, סממני זיהוי (IoC) ותסריטי קהילה לבדיקה (כגון aur-malware-check) כדי לעזור למשתמשים לבצע ביקורת למערכות שלהם .
מקור מרכזי לחיכוך היה שצוות Arch הרשמי לא פרסם מיד רשימה קנונית אחת של כל החבילות המושפעות, מה שהוביל משתמשים להסתמך על רשימות צד שלישי ממקורות כמו SafeDep ו-Corgea .
מלכודת החבילות הנטושות היא סיכון מערכתי: היכולת של כל משתמש לאמץ ולשנות חבילה נטושה באופן מיידי, ללא אימות זהות או בדיקת קוד חובה, הפכה תכונת נוחות לנתיב תקיפה בעל השפעה עצומה .
הזרקה בזמן בנייה עוקפת בדיקות תקינות: מנגנוני הגנה מסורתיים מסתמכים על אימות תקינות חבילות קוד המקור. מאחר ש-Atomic Arch הרעילה את תסריטי הבנייה במקום את המקור, בדיקות checksum סטנדרטיות לא סיפקו שום הגנה .
שרשראות אספקה חוצות-מערכות הן החזית החדשה: המתקפה השתמשה במאגרי ה-npm ו-Bun ככלי להפצת נוזקה אל תוך מערכת ההפעלה לינוקס, והוכיחה שחבילה אחת פגועה במאגר אחד עלולה לגרום לאפקט דומינו חוצה פלטפורמות .
מה משתמשים מושפעים חייבים לעשות עכשיו
חוקרי אבטחה והנחיות קהילת Arch תמימי דעים: זהו אינו מקרה בו הסרת חבילה בודדת מספיקה.
הניחו שהמערכת נפרצה לחלוטין: התייחסו לכל מחשב שבנה או עדכן חבילת AUR בין 9 ל-12 ביוני 2026 כנגוע לחלוטין .
התקינו מחדש ממדיה נקייה: סריקת נוזקות פשוטה אינה אמינה, שכן Rootkit ה-eBPF תוכנן להסתתר מכלי זיהוי. התיקון המובטח היחיד הוא לבנות את המערכת מחדש ממדיה התקנה מהימנה .
החליפו את כל האישורים מיד: הניחו שגנב האישורים הוציא כל סוד שהיה נגיש במכונה: מפתחות SSH, אסימוני GitHub ו-npm, אסימוני Vault, מפתחות גישה לענן, סשנים של הדפדפן ואישורי Docker/Podman .
ביקורת היסטוריית AUR: הריצו pacman -Qm כדי לרשום את כל החבילות החיצוניות המותקנות במערכת, וצליבו אותן מול רשימות החבילות הזדוניות שפורסמו על ידי הקהילה .
בדקו סימנים לפריצה: חפשו עקבות של atomic-lockfile, lockfile-js או js-digest במטמוני הבנייה, כמו גם רשומות חשודות תחת /sys/fs/bpf/.
התייחסו לזה כאל אירוע אבטחה מלא: ארגונים אינם צריכים להתייחס לזה כאל תרגיל סריקה פשוט. כל תחנת עבודה של מפתח Arch או שרת CI/build ששלף מה-AUR בחלון התקיפה צריך להיות מטופל כאירוע אבטחה המחייב תגובה מלאה .
12 ביוני 2026 (גל שני): גל נוסף הרחיב את המתקפה. מאמצי קהילה וחוקרים ב-PrivacyGuides דיווחו שהמספר קפץ אל מעבר ל-1,500 חבילות .
14-15 ביוני 2026 (הסלמה): ניתוח נוסף של Corgea Research אימת לפחות 1,619 שמות חבילות זדוניות ייחודיות, בעוד ש-Risky.biz דיווח על מספר סופי הגבוה מ-1,900 .
דף הקמפיין של SafeDep ורשימות קהילתיות אחרות מנו בסופו של דבר 1,937 שמות חבילות AUR מושפעות, מה שמדגיש את טווח הפגיעה העצום . חשוב לציין שהמאגרים הרשמיים של Arch Linux (core, extra, community) לא נפגעו – התקרית הוגבלה למאגר AUR בלבד .
שיטת התקיפה: ניצול זרימת עבודה מבוססת אמון
מתקפת Atomic Arch לא הייתה פריצה לתשתיות Arch. במקום זאת, היא הייתה ניצול כירורגי של תהליך אימוץ חבילות נטושות (orphaned packages) ב-AUR, תהליך המאפשר לכל חבר קהילה לתבוע בעלות על חבילות שננטשו .
המתקפה התגלגלה בשני גלים נפרדים, כשהתוקפים שיפרו את הגישה שלהם כדי לחמוק מגילוי.
גל 1: Hook של npm (11 ביוני)
התוקפים אימצו באופן שיטתי חבילות נטושות. ברגע שקיבלו הרשאות מנהל, הם לא שינו את קוד המקור של התוכנה עצמה – צעד שהיה שובר את בדיקות ה-checksum ומפעיל אזעקות. במקום זאת, הם שינו את תסריטי הבנייה PKGBUILD כדי להזריק תלות npm זדוניות: atomic-lockfile (גרסה 1.4.2) ו-js-digest (גרסה 4.2.2) . חבילות אלו הוגדרו לרוץ אוטומטית במהלך תהליך ה-makepkg. כדי להסתיר את הפעילות הזדונית, הקוד הוטמע בתוך קבצי .install והוסווה באמצעות פיצול מחרוזות shell, quotation מעורב ו-hexadecimal escapes .
גל 2: המעבר ל-Bun (12 ביוני)
יום בלבד לאחר מכן, הופיע גל שני. הפעם, החליפו התוקפים את נתיב התקנת ה-npm בתהליך מבוסס Bun, תוך שימוש בחבילה זדונית אחרת בשם lockfile-js (גרסה 1.4.2) . השינוי סיבך את יכולות הגילוי, שכן רבים מסממני הזיהוי (IoC) הראשוניים התמקדו במאגר ה-npm, וכלי אבטחה נדרשו לעדכון כדי לנטר את סביבת הריצה והתלות החדשות .
על ידי הרעלה של הוראות הבנייה בלבד, במקום התוכנה עצמה, התוקפים עקפו את בדיקות התקינות המסורתיות. קוד המקור נראה נקי לחלוטין, והנוזקה נשלפה והורצה רק בזמן הבנייה, מה שהפך אותה לבלתי נראית למשתמשים שלא בדקו ידנית את תסריטי ה-PKGBUILD.
המטענים הזדוניים: גנב אישורים ו-Rootkit
מכונות שבנו את החבילות הנגועות קיבלו מטען דו-שלבי שנועד לריגול והשגת דריסת רגל.
גנב אישורים מבוסס Rust: קובץ בינארי ממוקד שקצר סודות של מפתחים, כולל סשנים של הדפדפן, מפתחות SSH, אסימוני GitHub, אסימוני npm, סשנים של Slack/Teams, אסימוני Vault, אישורי Docker/Podman ומפתחות גישה לענן .
Rootkit מסוג eBPF (למשתמשי Root בלבד): אם החבילה נבנתה עם הרשאות root, הנוזקה פרסה rootkit מסוג eBPF המסוגל להסתיר את הקבצים, התהליכים ופעילות הרשת של עצמו מכלי זיהוי סטנדרטיים כמו ps ו-htop. ה-rootkit השתמש בנתיב /sys/fs/bpf/ להשגת נוכחות קבועה, מה שהופך אותו לקשה במיוחד להסרה .
השילוב של גנב אישורים ו-rootkit ברמת הליבה הפך את האיום לחמור במיוחד, בייחוד עבור מפתחים שתחנות העבודה שלהם מכילות גישה למפתחות ומידע רגיש.
תגובת הקהילה והמפתחים
קהילת Arch Linux ותעשיית האבטחה התגייסו במהירות, אך התגובה הורכבה על ידי היקף התקיפה.
פעולות צוות Arch: תורמי Arch פתחו שרשור דיווח מאוחד ב-AUR ב-11 ביוני והחלו בתהליך של שחזור commits זדוניים, חסימת חשבונות התוקפים וניקוי מאגר החבילות הנטושות. Arch Linux אף הקפיאה את הרשמות החשבונות החדשים ב-AUR ביום שני שלאחר מכן כדי למנוע ניצול נוסף . חבילת Arch, ג'ונתן גרוטלושן, אישר שהצוות עובד על "לשחזר או למחוק את כל ה-commits הזדוניים ולחסום את החשבונות האחראים" .
עימות קהילתי: המתקפה הציתה ויכוח סוער. דיונים בפורומים כמו PrivacyGuides כללו קריאות של חלק מחברי הקהילה לסגור את ה-AUR כליל, בטענה שהמודל מבוסס האמון שלו נשבר ביסודו אל מול פגיעה בסדר גודל כזה .
תגובת צד שלישי: חברות אבטחה כמו Sonatype, Corgea, Cloud Security Alliance (CSA) ו-TrueSec פרסמו ניתוחים מפורטים, סממני זיהוי (IoC) ותסריטי קהילה לבדיקה (כגון aur-malware-check) כדי לעזור למשתמשים לבצע ביקורת למערכות שלהם .
מקור מרכזי לחיכוך היה שצוות Arch הרשמי לא פרסם מיד רשימה קנונית אחת של כל החבילות המושפעות, מה שהוביל משתמשים להסתמך על רשימות צד שלישי ממקורות כמו SafeDep ו-Corgea .
מלכודת החבילות הנטושות היא סיכון מערכתי: היכולת של כל משתמש לאמץ ולשנות חבילה נטושה באופן מיידי, ללא אימות זהות או בדיקת קוד חובה, הפכה תכונת נוחות לנתיב תקיפה בעל השפעה עצומה .
הזרקה בזמן בנייה עוקפת בדיקות תקינות: מנגנוני הגנה מסורתיים מסתמכים על אימות תקינות חבילות קוד המקור. מאחר ש-Atomic Arch הרעילה את תסריטי הבנייה במקום את המקור, בדיקות checksum סטנדרטיות לא סיפקו שום הגנה .
שרשראות אספקה חוצות-מערכות הן החזית החדשה: המתקפה השתמשה במאגרי ה-npm ו-Bun ככלי להפצת נוזקה אל תוך מערכת ההפעלה לינוקס, והוכיחה שחבילה אחת פגועה במאגר אחד עלולה לגרום לאפקט דומינו חוצה פלטפורמות .
מה משתמשים מושפעים חייבים לעשות עכשיו
חוקרי אבטחה והנחיות קהילת Arch תמימי דעים: זהו אינו מקרה בו הסרת חבילה בודדת מספיקה.
הניחו שהמערכת נפרצה לחלוטין: התייחסו לכל מחשב שבנה או עדכן חבילת AUR בין 9 ל-12 ביוני 2026 כנגוע לחלוטין .
התקינו מחדש ממדיה נקייה: סריקת נוזקות פשוטה אינה אמינה, שכן Rootkit ה-eBPF תוכנן להסתתר מכלי זיהוי. התיקון המובטח היחיד הוא לבנות את המערכת מחדש ממדיה התקנה מהימנה .
החליפו את כל האישורים מיד: הניחו שגנב האישורים הוציא כל סוד שהיה נגיש במכונה: מפתחות SSH, אסימוני GitHub ו-npm, אסימוני Vault, מפתחות גישה לענן, סשנים של הדפדפן ואישורי Docker/Podman .
ביקורת היסטוריית AUR: הריצו pacman -Qm כדי לרשום את כל החבילות החיצוניות המותקנות במערכת, וצליבו אותן מול רשימות החבילות הזדוניות שפורסמו על ידי הקהילה .
בדקו סימנים לפריצה: חפשו עקבות של atomic-lockfile, lockfile-js או js-digest במטמוני הבנייה, כמו גם רשומות חשודות תחת /sys/fs/bpf/.
התייחסו לזה כאל אירוע אבטחה מלא: ארגונים אינם צריכים להתייחס לזה כאל תרגיל סריקה פשוט. כל תחנת עבודה של מפתח Arch או שרת CI/build ששלף מה-AUR בחלון התקיפה צריך להיות מטופל כאירוע אבטחה המחייב תגובה מלאה .
labs.cloudsecurityalliance.orgAtomic Arch: AUR Supply Chain Attack Deploys eBPF Rootkit
latesthackingnews.comAUR Supply Chain Attack: 400+ Arch Packages Backdoored
easternherald.comAtomic Arch Supply Chain Campaign Hijacks 400+ Linux Packages to Deploy Rootkit and Credential Stealer
privacyguides.orgAround 1,500 AUR Packages Compromised with "Rootkit-Like ...
