एटॉमिक आर्क अटैक के अंदर की कहानी: कैसे 1,900 AUR पैकेजों को हथियार बना दिया गया

सेफडिप अभियान पृष्ठ और समुदाय-समेकित सूचियों ने अंततः 1,937 प्रभावित AUR पैकेज नामों की गणना की, जो हमले की व्यापक पहुंच को रेखांकित करता है । गौरतलब है कि आधिकारिक आर्क लिनक्स रिपॉजिटरी (core, extra, community) प्रभावित नहीं हुई थीं—यह विशेष रूप से एक AUR घटना थी ।

हमले का तरीका: विश्वास-आधारित वर्कफ़्लो का शोषण

एटॉमिक आर्क आर्क इंफ्रास्ट्रक्चर का उल्लंघन नहीं था। इसके बजाय, यह AUR की अनाथ-पैकेज अंगीकरण कार्यप्रणाली का एक सुनियोजित शोषण था, एक ऐसी प्रक्रिया जो किसी भी समुदाय के सदस्य को परित्यक्त पैकेजों पर स्वामित्व का दावा करने की अनुमति देती है ।

हमला दो अलग-अलग लहरों में सामने आया, जिसमें अपराधियों ने पहचान से बचने के लिए अपने दृष्टिकोण को परिष्कृत किया।

लहर 1: npm हुक (11 जून)

हमलावरों ने व्यवस्थित रूप से अनाथ पैकेजों को अपनाया। एक बार जब उन्होंने अनुरक्षक विशेषाधिकार प्राप्त कर लिए, तो उन्होंने सॉफ़्टवेयर स्रोत कोड में कोई बदलाव नहीं किया—यह एक ऐसा कदम था जिससे चेकसम टूट जाते और अलार्म बज जाते। इसके बजाय, उन्होंने PKGBUILD बिल्ड स्क्रिप्ट को संशोधित करके दुर्भावनापूर्ण npm निर्भरताएँ इंजेक्ट कीं: atomic-lockfile (v1.4.2) और js-digest (v4.2.2) । इन पैकेजों को makepkg प्रक्रिया के दौरान स्वचालित रूप से निष्पादित करने के लिए कॉन्फ़िगर किया गया था। दुर्भावनापूर्ण गतिविधि को और छिपाने के लिए, कोड को .install स्क्रिप्ट में एम्बेड किया गया था और शेल स्ट्रिंग स्प्लिटिंग, मिश्रित कोटिंग और हेक्साडेसिमल एस्केप का उपयोग करके छिपाया गया था ।

लहर 2: बन स्विच (12 जून)

ठीक एक दिन बाद, दूसरी लहर उभरी। इस बार, हमलावरों ने npm इंस्टॉलेशन पथ को बन-आधारित इंस्टॉल प्रक्रिया से बदल दिया, जिसमें lockfile-js (v1.4.2) नामक एक अलग दुर्भावनापूर्ण पैकेज का उपयोग किया गया । इस बदलाव ने पहचान को जटिल बना दिया, क्योंकि कई शुरुआती IoCs npm रजिस्ट्री पर केंद्रित थे, और सुरक्षा उपकरणों को नए रनटाइम और निर्भरता की निगरानी के लिए अपडेट करना पड़ा ।

सॉफ़्टवेयर के बजाय केवल बिल्ड निर्देशों को विषाक्त करके, हमलावरों ने पारंपरिक अखंडता जांच को दरकिनार कर दिया। अपस्ट्रीम स्रोत कोड साफ दिखाई दिया, और मैलवेयर केवल बिल्ड समय पर लाया और निष्पादित किया गया, जिससे यह उन उपयोगकर्ताओं के लिए अदृश्य हो गया जिन्होंने मैन्युअल रूप से PKGBUILD स्क्रिप्ट का निरीक्षण नहीं किया ।

दुर्भावनापूर्ण पेलोड: स्टीलर और रूटकिट

समझौता किए गए पैकेजों को बनाने वाली मशीनों को जासूसी और दृढ़ता के लिए डिज़ाइन किया गया दो-चरणीय पेलोड प्राप्त हुआ।

• रस्ट-आधारित क्रेडेंशियल स्टीलर: एक केंद्रित बाइनरी जिसने डेवलपर रहस्यों की कटाई की, जिसमें ब्राउज़र सत्र, SSH कुंजी, GitHub टोकन, npm टोकन, Slack/Teams सत्र, Vault टोकन, Docker/Podman क्रेडेंशियल और क्लाउड एक्सेस कुंजी शामिल हैं ।
• eBPF रूटकिट (केवल रूट): यदि पैकेज रूट विशेषाधिकारों के साथ बनाया गया था, तो मैलवेयर ने एक eBPF रूटकिट तैनात किया जो ps और htop जैसे मानक पहचान उपकरणों से अपनी फ़ाइलों, प्रक्रियाओं और नेटवर्क गतिविधि को छिपाने में सक्षम था। रूटकिट ने दृढ़ता के लिए /sys/fs/bpf/ का उपयोग किया, जिससे इसे हटाना असाधारण रूप से कठिन हो गया ।

एक क्रेडेंशियल स्टीलर और कर्नेल-स्तरीय रूटकिट के संयोजन ने इसे एक गंभीर खतरा बना दिया, विशेष रूप से उन डेवलपर्स के लिए जिनके वर्कस्टेशनों में अक्सर विशेषाधिकार प्राप्त एक्सेस कुंजी और संवेदनशील डेटा होता है।

समुदाय और डेवलपर प्रतिक्रिया

आर्क लिनक्स समुदाय और सुरक्षा उद्योग ने तेजी से कार्रवाई की, लेकिन हमले के पैमाने ने प्रतिक्रिया को जटिल बना दिया।

• आर्क टीम की कार्रवाइयां: आर्क योगदानकर्ताओं ने 11 जून को एक समेकित AUR रिपोर्ट थ्रेड खोला और दुर्भावनापूर्ण कमिट्स को वापस लाने, हमलावर खातों पर प्रतिबंध लगाने और अनाथ पैकेज पूल को साफ करने की प्रक्रिया शुरू की। आर्क लिनक्स ने अगले सोमवार को AUR पर नए खाता पंजीकरण को भी निलंबित कर दिया ताकि आगे दुरुपयोग को रोका जा सके । आर्क पैकेजर जोनाथन ग्रोटेलुशेन ने पुष्टि की कि टीम "सभी दुर्भावनापूर्ण कमिट्स को पुनर्स्थापित या हटाने और जिम्मेदार खातों पर प्रतिबंध लगाने" पर काम कर रही थी ।
• सामुदायिक संघर्ष: हमले ने तीव्र बहस छेड़ दी। प्राइवेसीगाइड्स फोरम जैसे प्लेटफार्मों पर गर्मागर्म चर्चा में कुछ समुदाय के सदस्यों ने AUR को पूरी तरह से बंद करने का आह्वान किया, यह तर्क देते हुए कि समझौते के इस पैमाने पर इसका विश्वास-आधारित मॉडल मौलिक रूप से टूट गया था ।
• तृतीय-पक्ष प्रतिक्रिया: सोनाटाइप, कॉर्जिया, क्लाउड सिक्योरिटी अलायंस (CSA), और ट्रूसेक सहित सुरक्षा फर्मों ने उपयोगकर्ताओं को अपने सिस्टम का ऑडिट करने में मदद करने के लिए विस्तृत विश्लेषण, समझौते के संकेतक (IoCs), और सामुदायिक पहचान स्क्रिप्ट (जैसे aur-malware-check) प्रकाशित किए ।

घर्षण का एक प्रमुख स्रोत यह था कि आधिकारिक आर्क टीम ने तुरंत सभी प्रभावित पैकेजों की एक एकल, विहित सूची प्रकाशित नहीं की, जिससे उपयोगकर्ताओं को सेफडिप और कॉर्जिया जैसे स्रोतों से तृतीय-पक्ष घोषणापत्रों पर निर्भर रहना पड़ा ।

लिनक्स इकोसिस्टम के लिए सबक

एटॉमिक आर्क हमला विश्वास-आधारित सामुदायिक रिपॉजिटरी में संरचनात्मक कमजोरियों को उजागर करता है जो स्वयंसेवी रखरखाव पर निर्भर हैं।

• अनाथ जाल एक प्रणालीगत जोखिम है: किसी भी उपयोगकर्ता की पहचान सत्यापन या अनिवार्य कोड समीक्षा के बिना एक परित्यक्त पैकेज को तुरंत अपनाने और संशोधित करने की क्षमता ने एक सुविधा सुविधा को एक उच्च-प्रभाव वाले हमले के वेक्टर में बदल दिया ।
• बिल्ड-टाइम इंजेक्शन अखंडता जांच को दरकिनार करता है: पारंपरिक रक्षा तंत्र स्रोत कोड टारबॉल की अखंडता की पुष्टि करने पर निर्भर करते हैं। चूंकि एटॉमिक आर्क ने स्रोत के बजाय बिल्ड स्क्रिप्ट को विषाक्त किया, इसलिए मानक चेकसम ने कोई सुरक्षा प्रदान नहीं की ।
• क्रॉस-इकोसिस्टम सप्लाई चेन नई सीमा हैं: हमले ने लिनक्स इकोसिस्टम में मैलवेयर वितरित करने के लिए npm और बन रजिस्ट्रियों को हथियार बनाया, यह साबित करते हुए कि एक रजिस्ट्री में एक भी समझौता किया गया पैकेज प्लेटफार्मों पर व्यापक प्रभाव डाल सकता है ।

प्रभावित उपयोगकर्ताओं को अब क्या करना चाहिए

सुरक्षा शोधकर्ता और आर्क समुदाय मार्गदर्शन एकमत हैं: यह ऐसा मामला नहीं है जहां एक पैकेज को हटाना पर्याप्त है।

1. पूर्ण समझौता मानें: 9 से 12 जून, 2026 के बीच AUR पैकेज बनाने या अपडेट करने वाले किसी भी होस्ट को पूरी तरह से समझौता किया हुआ मानें ।
2. क्लीन मीडिया से पुनर्स्थापित करें: एक साधारण मैलवेयर स्कैन अविश्वसनीय है क्योंकि eBPF रूटकिट को पहचान उपकरणों से छिपने के लिए डिज़ाइन किया गया है। एकमात्र गारंटीकृत उपचार प्रभावित सिस्टम को विश्वसनीय इंस्टॉलेशन मीडिया से फिर से बनाना है ।
3. सभी क्रेडेंशियल्स को तुरंत बदलें: मान लें कि क्रेडेंशियल स्टीलर ने मशीन पर सुलभ हर रहस्य को निकाल लिया है: SSH कुंजी, GitHub और npm टोकन, Vault टोकन, क्लाउड एक्सेस कुंजी, ब्राउज़र सत्र, और Docker/Podman क्रेडेंशियल ।
4. AUR इतिहास का ऑडिट करें: सिस्टम पर स्थापित सभी बाहरी पैकेजों को सूचीबद्ध करने के लिए

   pacman -Qm

   चलाएं और उन्हें समुदाय-प्रकाशित दुर्भावनापूर्ण पैकेज घोषणापत्रों के साथ क्रॉस-रेफरेंस करें ।
5. समझौते के संकेतकों की जांच करें: बिल्ड कैश में atomic-lockfile, lockfile-js, या js-digest के निशान, साथ ही /sys/fs/bpf/ के तहत संदिग्ध प्रविष्टियों की खोज करें ।
6. इसे एक घटना-प्रतिक्रिया घटना के रूप में मानें: संगठनों को इसे एक साधारण स्कैनिंग अभ्यास के रूप में नहीं मानना चाहिए। हमले की अवधि के दौरान AUR से खींचने वाले किसी भी आर्क डेवलपर वर्कस्टेशन या CI/बिल्ड सर्वर को एक सुरक्षा घटना के रूप में माना जाना चाहिए जिसके लिए पूर्ण प्रतिक्रिया की आवश्यकता होती है ।