信任的代价：Atomic Arch 攻击如何劫持了 1900 个 AUR 软件包

2026 年 6 月，一场针对 Arch 用户软件仓库 的系统性供应链攻击，几乎在一夜之间攻陷了近 1900 个社区维护的软件包，成为该仓库历史上规模最大的安全事件之一。Sonatype 的研究人员将此次行动命名为 Atomic Arch，并为其分配了追踪编号 Sonatype-2026-003775，CVSS 评分为 8.7（高危）。攻击者利用了 AUR 一项合法的信任机制，神不知鬼不觉地将窃取凭证的恶意软件和内核级 Rootkit 部署到了开发者的工作站上 。

规模与时间线

起初看似一次小范围事件，但在一个周末内迅速演变为一场大规模的入侵。

• 2026 年 6 月 11 日（第一波）： Sonatype 识别出初始攻击波，确认约 408 个软件包被篡改 。
• 2026 年 6 月 12 日（第二波）： 第二波攻击扩大了影响范围。社区整理工作和 PrivacyGuides 的研究人员报告称，受影响软件包数量已激增至 1500 个以上 。
• 2026 年 6 月 14 日至 15 日（升级）： Corgea Research 的进一步分析核实了至少 1619 个独立的恶意包名，而 Risky.biz 则报道最终数字攀升至 1900 个以上 。

SafeDep 的攻击活动页面和社区整合的清单最终列出了 1937 个受影响的 AUR 包名，凸显了此次攻击的巨大覆盖面 。关键的一点是，Arch Linux 的官方仓库（core, extra, community）并未受到影响——这完全是 AUR 的独有事件 。

攻击方式：利用基于信任的工作流

Atomic Arch 并非对 Arch 基础设施的入侵。相反，它是对 AUR 孤儿包收养工作流 的一次外科手术式利用，该流程允许任何社区成员认领被原维护者放弃的软件包 。

攻击分两波展开，攻击者不断改进其手法以逃避检测。

第一波：npm 钩子（6 月 11 日）

攻击者系统性地收养了孤儿包。一旦获得维护者权限，他们并没有修改软件的源代码本身——这么做会破坏校验和并触发警报。相反，他们修改了 PKGBUILD 构建脚本，注入了恶意的 npm 依赖项：atomic-lockfile (v1.4.2) 和 js-digest (v4.2.2) 。这些包被配置为在 makepkg 构建过程中自动执行。为了进一步隐藏恶意活动，代码被嵌入到 .install 脚本中，并通过 Shell 字符串分割、混合引用和十六进制转义进行伪装 。

第二波：转向 Bun（6 月 12 日）

仅仅一天后，第二波攻击接踵而至。这一次，攻击者将 npm 安装路径替换为 基于 Bun 的安装流程，并使用了一个名为 lockfile-js (v1.4.2) 的新恶意包 。这一转变增加了检测的复杂性，因为许多初期的威胁指标都专注于 npm 仓库，安全工具必须更新才能监控新的运行时和依赖项 。

通过只污染构建指令而非软件本身，攻击者绕过了传统的完整性检查。上游源代码看起来是干净的，恶意软件只在构建时被拉取和执行，这使得那些不手动检查 PKGBUILD 脚本的用户根本无法察觉 。

恶意载荷：窃取器和 Rootkit

构建了受污染软件包的机器会接收到一个用于间谍活动和持久化的两阶段载荷。

• 基于 Rust 的凭证窃取器： 一个目标明确的二进制文件，专门收割开发者的机密信息，包括浏览器会话、SSH 密钥、GitHub 令牌、npm 令牌、Slack/Teams 会话、Vault 令牌、Docker/Podman 凭证以及云访问密钥 。
• eBPF Rootkit（仅限 Root 权限）： 如果软件包是以 root 权限构建的，恶意软件会部署一个 eBPF Rootkit，它能够向 ps、htop 等标准检测工具隐藏自身的文件、进程和网络活动。该 Rootkit 利用 /sys/fs/bpf/ 实现持久化，使其极难被清除 。

凭证窃取器和内核级 Rootkit 的组合，使得此次攻击构成了极其严重的威胁，特别是对开发者而言，他们的工作站往往持有高权限的访问密钥和敏感数据。

社区与开发者的回应

Arch Linux 社区和安全行业迅速行动起来，但攻击的庞大规模使得应对工作变得异常复杂。

• Arch 团队的行动： Arch 贡献者于 6 月 11 日开启了一个统一的 AUR 报告帖，开始回滚恶意提交、封禁攻击者账户并清理孤儿包池。Arch Linux 还在接下来的周一暂停了 AUR 的新账户注册，以防止进一步的滥用 。Arch 打包者 Jonathan Grotelüschen 证实，团队正在努力“恢复或删除所有恶意提交，并封禁相关责任人账户” 。
• 社区内的争论： 这次攻击引发了激烈的辩论。在 PrivacyGuides 论坛等平台上，一些社区成员情绪激动地呼吁彻底关闭 AUR，他们认为，在如此规模的入侵面前，AUR 基于信任的模式已经从根本上失效了 。
• 第三方的响应： Sonatype、Corgea、云安全联盟 (CSA) 和 TrueSec 等安全公司发布了详细的分析报告、威胁指标 (IoC) 以及社区检测脚本（如 aur-malware-check），以帮助用户审计他们的系统 。

一个关键的矛盾点在于，Arch 官方团队最初并未发布一份权威的、完整的受影响软件包清单，导致用户不得不依赖来自 SafeDep 和 Corgea 等第三方的名单 。

对 Linux 生态的教训

Atomic Arch 攻击暴露了依赖志愿者维护的、基于信任的社区仓库所存在的结构性弱点。

• “孤儿陷阱”是一个系统性风险： 任何用户都能在无需身份验证或强制性代码审查的情况下，立即收养并修改一个被遗弃的软件包，这一功能将原本的便利性设计变成了一个高危害的攻击向量 。
• 构建时注入绕过了完整性检查： 传统的防御机制依赖于验证源代码压缩包的完整性。由于 Atomic Arch 污染的是构建脚本而非源代码，标准的校验码在此次攻击中形同虚设 。
• 跨生态的软件供应链是新前沿： 此次攻击将 npm 和 Bun 仓库武器化，向 Linux 生态分发恶意软件，证明了在一个仓库中植入一个受污染的软件包，就能在整个平台间引发连锁反应 。

受影响用户必须立即采取的措施

安全研究人员和 Arch 社区给出的指导是高度一致的：这绝非仅仅删除一个软件包就能解决的问题。

1. 假设主机已被完全攻陷： 将在 2026 年 6 月 9 日至 12 日期间构建或更新过 AUR 包的任何主机，都视为已完全失陷 。
2. 从干净的介质重装系统： 简单的恶意软件扫描是不可靠的，因为 eBPF Rootkit 被设计用来躲避检测工具。唯一有保障的补救措施是从受信任的安装介质重建受影响系统 。
3. 立即轮换所有凭证： 假设凭证窃取器已经窃取了机器上可访问的所有机密：SSH 密钥、GitHub 和 npm 令牌、Vault 令牌、云访问密钥、浏览器会话以及 Docker/Podman 凭证 。
4. 审计 AUR 安装历史： 运行

   pacman -Qm

   来列出系统上安装的所有外部软件包，并将其与社区发布的恶意软件包清单进行交叉比对 。
5. 检查威胁指标 (IoC)： 在构建缓存中搜索 atomic-lockfile、lockfile-js 或 js-digest 的踪迹，以及 /sys/fs/bpf/ 下的可疑条目 。
6. 将此视为一次完整的安全事件响应： 组织机构不应将此视为一次简单的扫描演练。任何在攻击窗口期内从 AUR 拉取过软件包的 Arch 开发者工作站或 CI/构建服务器，都应被视为一起需要全面响应处理的安全事件 。