Atomic Arch: เมื่อแพ็กเกจกำพร้า 1,900 ตัวบน AUR กลายเป็นอาวุธ กับมหันตภัยมัลแวร์ที่ไม่เคยเกิดขึ้นมาก่อน

ในเดือนมิถุนายน 2026 เกิดเหตุโจมตีซัพพลายเชนอย่างเป็นระบบครั้งใหญ่ที่สุดครั้งหนึ่งในประวัติศาสตร์ของ Arch User Repository (AUR) เมื่อผู้ไม่หวังดีสามารถยึดครองและเปลี่ยนแพ็กเกจที่ดูแลโดยชุมชนได้เกือบ 1,900 ตัว ปฏิบัติการนี้ถูกตั้งชื่อว่า Atomic Arch โดยนักวิจัยจาก Sonatype และถูกติดตามด้วยรหัส Sonatype-2026-003775 พร้อมคะแนนความรุนแรง CVSS สูงถึง 8.7 แคมเปญนี้ใช้ประโยชน์จากกลไกความน่าเชื่อถือที่ถูกต้องตามกฎหมาย เพื่อแอบติดตั้งมัลแวร์ขโมยข้อมูลประจำตัวและ Rootkit ระดับเคอร์เนลลงในเครื่องของนักพัฒนา

ขนาดและลำดับเหตุการณ์ของภัยคุกคาม

เหตุการณ์ที่ดูเหมือนจะควบคุมได้ในตอนแรก กลับขยายวงกว้างอย่างรวดเร็วภายในสุดสัปดาห์เดียว

• 11 มิถุนายน 2026 (ระลอกแรก): Sonatype ระบุการโจมตีระลอกแรกได้ ยืนยันว่ามีแพ็กเกจถูกบุกรุกประมาณ 408 ตัว
• 12 มิถุนายน 2026 (ระลอกที่สอง): การโจมตีระลอกที่สองขยายวงออกไป ความพยายามรวบรวมข้อมูลของชุมชนและนักวิจัยที่ PrivacyGuides รายงานว่าตัวเลขเพิ่มขึ้นทะลุ 1,500 แพ็กเกจ
• 14-15 มิถุนายน 2026 (บานปลายหนัก): การวิเคราะห์เพิ่มเติมโดย Corgea Research ยืนยันชื่อแพ็กเกจอันตรายที่ไม่ซ้ำกันอย่างน้อย 1,619 ชื่อ ขณะที่ Risky.biz รายงานว่ายอดรวมสุดท้ายทะลุ 1,900 ตัว

หน้าแคมเปญของ SafeDep และรายชื่อที่รวบรวมโดยชุมชนได้ระบุชื่อแพ็กเกจ AUR ที่ได้รับผลกระทบรวมทั้งสิ้น 1,937 ชื่อ ตอกย้ำถึงขอบเขตการโจมตีที่กว้างขวางมหาศาล จุดสำคัญที่ต้องเน้นคือ คลังแพ็กเกจทางการของ Arch Linux (core, extra, community) ไม่ได้รับผลกระทบ เหตุการณ์นี้เกิดขึ้นเฉพาะบน AUR เท่านั้น

วิธีการโจมตี: ใช้ประโยชน์จากกลไกการทำงานบนพื้นฐานความไว้ใจ

Atomic Arch ไม่ใช่การเจาะระบบโครงสร้างพื้นฐานของ Arch แต่มันคือการจู่โจมที่แม่นยำบน ขั้นตอนการรับเลี้ยงแพ็กเกจกำพร้า (orphaned-package adoption workflow) ของ AUR ซึ่งเป็นกระบวนการที่อนุญาตให้สมาชิกในชุมชนทุกคนสามารถขอเป็นเจ้าของแพ็กเกจที่ถูกทิ้งร้างได้

การโจมตีเกิดขึ้นเป็นสองระลอกที่ชัดเจน โดยผู้โจมตีปรับเปลี่ยนแนวทางให้แนบเนียนขึ้นเพื่อหลบเลี่ยงการตรวจจับ

ระลอกแรก: ตะขอจาก npm (11 มิถุนายน)

ผู้โจมตีรับเลี้ยงแพ็กเกจกำพร้าอย่างเป็นระบบ เมื่อได้รับสิทธิ์ผู้ดูแลแล้ว พวกเขาไม่ได้แก้ไขซอร์สโค้ดของซอฟต์แวร์เอง ซึ่งการทำเช่นนั้นจะทำให้ค่า Checksum ไม่ตรงกันและส่งสัญญาณเตือน แต่พวกเขากลับดัดแปลงสคริปต์ build ที่เรียกว่า PKGBUILD เพื่อแทรกการพึ่งพา (dependency) ที่เป็นอันตรายจาก npm: atomic-lockfile (v1.4.2) และ js-digest (v4.2.2) แพ็กเกจเหล่านี้ถูกตั้งค่าให้ทำงานโดยอัตโนมัติในระหว่างกระบวนการ makepkg เพื่อปกปิดกิจกรรมที่อันตรายยิ่งขึ้น โค้ดถูกฝังในสคริปต์ .install และอำพรางด้วยเทคนิคการแยกสตริงใน shell, การใช้เครื่องหมายคำพูดหลากหลายรูปแบบ, และการเข้ารหัสเลขฐานสิบหก (hexadecimal escapes)

ระลอกที่สอง: การเปลี่ยนมาใช้ Bun (12 มิถุนายน)

เพียงหนึ่งวันต่อมา ระลอกที่สองก็ปรากฏขึ้น คราวนี้ผู้โจมตีเปลี่ยนจากวิธีการติดตั้งผ่าน npm ไปเป็น กระบวนการติดตั้งผ่าน Bun โดยใช้แพ็กเกจอันตรายที่ชื่อว่า lockfile-js (v1.4.2) การเปลี่ยนเครื่องมือนี้ทำให้การตรวจจับยากขึ้น เพราะตัวชี้วัดการบุกรุก (IoCs) ในช่วงแรกๆ มุ่งเน้นไปที่ npm registry และเครื่องมือรักษาความปลอดภัยต่างๆ ต้องรีบอัปเดตเพื่อเฝ้าระวังรันไทม์และการพึ่งพาใหม่

ด้วยการวางยาพิษที่คำสั่ง build แทนที่จะเป็นตัวซอฟต์แวร์เอง ผู้โจมตีจึงสามารถหลบเลี่ยงการตรวจสอบความสมบูรณ์แบบดั้งเดิมได้ ซอร์สโค้ดต้นทางดูสะอาด และมัลแวร์จะถูกดึงและทำงานเฉพาะในขั้นตอนการ build เท่านั้น ทำให้ผู้ใช้ที่ไม่ได้ตรวจสอบสคริปต์ PKGBUILD ด้วยตัวเองมองไม่เห็น

มัลแวร์สองภาค: โปรแกรมขโมยข้อมูลและ Rootkit

เครื่องที่ build แพ็กเกจติดเชื้อจะได้รับมัลแวร์สองส่วน ที่ออกแบบมาเพื่อการจารกรรมและฝังตัวในระยะยาว

• โปรแกรมขโมยข้อมูลประจำตัวที่เขียนด้วย Rust: เป็นไบนารีเฉพาะทางที่เก็บเกี่ยวความลับของนักพัฒนา รวมถึงเซสชันของเบราว์เซอร์, กุญแจ SSH, โทเค็น GitHub, โทเค็น npm, เซสชันของ Slack/Teams, โทเค็น Vault, ข้อมูลประจำตัวของ Docker/Podman, และกุญแจการเข้าถึงระบบคลาวด์
• eBPF Rootkit (เฉพาะเมื่อมีสิทธิ์ Root เท่านั้น): หากแพ็กเกจถูก build ด้วยสิทธิ์ root มัลแวร์จะติดตั้ง Rootkit ชนิด eBPF ที่สามารถซ่อนไฟล์, โพรเซส, และกิจกรรมเครือข่ายของตัวเองจากเครื่องมือตรวจจับมาตรฐานอย่าง ps และ htop Rootkit ใช้ /sys/fs/bpf/ สำหรับการคงอยู่ ทำให้ยากต่อการกำจัดเป็นอย่างยิ่ง

การผสมผสานระหว่างโปรแกรมขโมยข้อมูลและ Rootkit ระดับเคอร์เนล ทำให้ภัยคุกคามนี้ร้ายแรงอย่างมาก โดยเฉพาะสำหรับนักพัฒนาที่เวิร์กสเตชันมักจะเก็บกุญแจการเข้าถึงพิเศษและข้อมูลละเอียดอ่อน

ปฏิกิริยาจากชุมชนและนักพัฒนา

ชุมชน Arch Linux และอุตสาหกรรมความปลอดภัยตอบสนองอย่างรวดเร็ว แต่การรับมือกลับซับซ้อนเพราะขนาดอันใหญ่โตของการโจมตี

• การดำเนินการของทีม Arch: ผู้ร่วมพัฒนา Arch เปิดกระทู้รายงาน AUR แบบรวมศูนย์ในวันที่ 11 มิถุนายน และเริ่มดำเนินการย้อนกลับคอมมิตอันตราย, แบนบัญชีผู้โจมตี, และทำความสะอาดกองแพ็กเกจกำพร้า นอกจากนี้ Arch Linux ยังระงับการลงทะเบียนบัญชีใหม่บน AUR ในวันจันทร์ถัดมา เพื่อป้องกันการใช้ช่องทางเดิมในทางที่ผิด Jonathan Grotelüschen ผู้ดูแลแพ็กเกจของ Arch ยืนยันว่าทีมกำลังทำงานเพื่อ "กู้คืนหรือลบคอมมิตอันตรายทั้งหมด และแบนบัญชีที่รับผิดชอบ"
• ความขัดแย้งในชุมชน: การโจมตีจุดชนวนการถกเถียงอย่างดุเดือด บนเวทีอย่างฟอรั่ม PrivacyGuides มีสมาชิกชุมชนบางส่วนเรียกร้องให้ปิด AUR ลงอย่างถาวร โดยให้เหตุผลว่าโมเดลบนพื้นฐานความไว้วางใจนั้นพังทลายอย่างสิ้นเชิงเมื่อเกิดการบุกรุกขนาดนี้
• การตอบสนองจากภายนอก: บริษัทความปลอดภัยหลายแห่ง อาทิ Sonatype, Corgea, Cloud Security Alliance (CSA), และ TrueSec ได้เผยแพร่บทวิเคราะห์อย่างละเอียด, ตัวชี้วัดการบุกรุก (IoCs), และสคริปต์ตรวจจับของชุมชน (เช่น aur-malware-check) เพื่อช่วยผู้ใช้ตรวจสอบระบบของตน

ประเด็นขัดแย้งสำคัญคือ ทีมทางการของ Arch ไม่ได้เผยแพร่รายชื่อแพ็กเกจที่ได้รับผลกระทบทั้งหมดอย่างเป็นทางการในทันที ทำให้ผู้ใช้ต้องพึ่งพารายชื่อจากแหล่งภายนอกอย่าง SafeDep และ Corgea

บทเรียนต่อระบบนิเวศ Linux

การโจมตี Atomic Arch เปิดโปงจุดอ่อนเชิงโครงสร้างในคลังซอฟต์แวร์ชุมชนที่อาศัยความไว้เนื้อเชื่อใจและการดูแลโดยอาสาสมัคร

• กับดักแพ็กเกจกำพร้าคือความเสี่ยงเชิงระบบ: ความสามารถที่ผู้ใช้ทุกคนสามารถรับเลี้ยงและแก้ไขแพ็กเกจที่ถูกละทิ้งได้ทันที โดยไม่มีการยืนยันตัวตนหรือการตรวจสอบโค้ดที่จำเป็น ได้เปลี่ยนฟีเจอร์ที่สะดวกสบายให้กลายเป็นเวกเตอร์โจมตีที่มีผลกระทบสูง
• การแทรกคำสัั่งตอน Build เลี่ยงการตรวจสอบความสมบูรณ์: กลไกการป้องกันแบบดั้งเดิมอาศัยการตรวจสอบความถูกต้องของซอร์สโค้ดแบบ tarball เนื่องจาก Atomic Arch วางยาพิษที่สคริปต์ build แทนที่จะเป็นซอร์สโค้ด การตรวจสอบ Checksum มาตรฐานจึงไม่สามารถป้องกันอะไรได้
• ซัพพลายเชนข้ามระบบนิเวศคือพรมแดนใหม่: การโจมตีใช้ npm และ Bun registries เป็นอาวุธเพื่อกระจายมัลแวร์เข้าสู่ระบบนิเวศ Linux พิสูจน์ให้เห็นว่าแพ็กเกจที่ถูกบุกรุกเพียงแพ็กเกจเดียวใน registry หนึ่ง สามารถสร้างผลกระทบต่อเนื่องข้ามแพลตฟอร์มได้

สิ่งที่ผู้ใช้ที่ได้รับผลกระทบต้องทำตอนนี้

คำแนะนำจากนักวิจัยความปลอดภัยและชุมชน Arch เป็นเอกฉันท์: นี่ไม่ใช่กรณีที่แค่ลบแพ็กเกจเดียวแล้วจะจบ

1. ตั้งข้อสันนิษฐานว่าระบบถูกบุกรุกโดยสมบูรณ์: ระบบใดก็ตามที่ build หรืออัปเดตแพ็กเกจ AUR ระหว่างวันที่ 9 ถึง 12 มิถุนายน 2026 ควรถูกมองว่าถูกบุกรุกอย่างสมบูรณ์
2. ติดตั้งระบบปฏิบัติการใหม่จากสื่อที่สะอาด: การสแกนมัลแวร์ธรรมดาไม่น่าเชื่อถือ เพราะ eBPF Rootkit ถูกออกแบบมาให้ซ่อนตัวจากเครื่องมือตรวจจับ หนทางแก้ไขที่รับประกันได้เพียงทางเดียวคือการล้างระบบและติดตั้งใหม่จากสื่อติดตั้งที่ไว้ใจได้
3. เปลี่ยนข้อมูลประจำตัวทั้งหมดทันที: ตั้งสมมติฐานว่าโปรแกรมขโมยข้อมูลได้ขโมยทุกความลับที่เข้าถึงได้ในเครื่องไปแล้ว: กุญแจ SSH, โทเค็น GitHub และ npm, โทเค็น Vault, กุญแจการเข้าถึงระบบคลาวด์, เซสชันของเบราว์เซอร์, และข้อมูลประจำตัวของ Docker/Podman
4. ตรวจสอบประวัติการใช้ AUR: รันคำสั่ง

   pacman -Qm

   เพื่อแสดงรายการแพ็กเกจที่ติดตั้งจากภายนอกทั้งหมด (foreign packages) บนระบบ แล้วนำไปเทียบกับรายชื่อแพ็กเกจอันตรายที่เผยแพร่โดยชุมชน
5. ตรวจหาตัวชี้วัดการบุกรุก: ค้นหาร่องรอยของ atomic-lockfile, lockfile-js, หรือ js-digest ในแคช build รวมถึงรายการที่น่าสงสัยภายใต้ /sys/fs/bpf/
6. ถือว่านี่คือเหตุการณ์ที่ต้องตอบสนองตามกระบวนการ: องค์กรไม่ควรปฏิบัติต่อสิ่งนี้เหมือนเป็นแค่การสแกนทั่วๆ ไป เวิร์กสเตชันของนักพัฒนา Arch หรือเซิร์ฟเวอร์ CI/build ใดๆ ที่ดึงแพ็กเกจจาก AUR ในช่วงเวลาที่มีการโจมตี ควรถูกจัดการในฐานะเหตุการณ์ด้านความปลอดภัยที่ต้องตอบสนองอย่างเต็มรูปแบบ