Atomic Arch 攻擊內幕：1900個AUR套件如何被變成惡意軟件載體

2026年6月，一場針對Arch User Repository（AUR）嘅系統性供應鏈攻擊，挾持咗近1,900個由社群維護嘅套件，成為該儲存庫有史以嚟最大規模嘅事故之一。Sonatype研究員將今次攻擊命名為Atomic Arch，追蹤代號Sonatype-2026-003775，CVSS評分高達8.7，攻擊者利用咗一個正當嘅信任機制，靜悄悄咁將憑證竊取惡意軟件同核心級rootkit植入開發者嘅工作站 。

規模同時間線

本來以為只係個別事件，點知喺短短一個週末之內，就演變成大規模嘅擴散。

• 2026年6月11日（第一波）： Sonatype識別出第一波攻擊，確認大約有408個套件被挾持 。
• 2026年6月12日（第二波）： 第二波攻擊擴大咗影響範圍。社群整合工作同PrivacyGuides嘅研究員報告，受影響套件數量已經飆升到超過1,500個 。
• 2026年6月14至15日（持續升級）： Corgea Research嘅進一步分析確認至少有1,619個獨立嘅惡意套件名稱，而Risky.biz就報導最終數字已經突破1,900個 。

SafeDep嘅攻擊活動專頁同社群整合嘅清單最終列出咗1,937個受影響嘅AUR套件名稱，凸顯咗今次攻擊覆蓋範圍之廣 。最重要嘅一點係，官方Arch Linux儲存庫（core、extra、community）並無受到影響——呢次純粹係AUR嘅事故 。

攻擊手法：利用以信任為基礎嘅工作流程

Atomic Arch並唔係Arch基礎架構被入侵，而係一種針對AUR孤兒套件領養工作流程嘅精準利用。呢個流程容許任何社群成員認領已被棄養嘅套件 。

攻擊分為兩波進行，攻擊者不斷改良手法以避開偵測。

第一波：npm勾子（6月11日）

攻擊者有系統咁領養孤兒套件。一旦取得維護者權限，佢哋並無改動軟件原始碼本身——咁做會破壞校驗和（checksum）而觸發警報。相反，佢哋修改咗PKGBUILD建置腳本，注入惡意嘅npm依賴項：atomic-lockfile（版本1.4.2）同js-digest（版本4.2.2） 。呢啲套件被設定為喺makepkg過程中自動執行。為咗進一步隱藏惡意活動，程式碼被嵌入到.install腳本入面，並利用Shell字串分割、混合引號同十六進制轉義碼嚟做掩飾 。

第二波：轉用Bun（6月12日）

只係過咗一日，第二波攻擊就出現咗。今次攻擊者將npm嘅安裝路徑，換成基於Bun嘅安裝流程，用到另一個名為lockfile-js（版本1.4.2）嘅惡意套件 。呢個轉變令偵測更加困難，因為好多初期嘅入侵指標（IoCs）都集中喺npm註冊表，保安工具需要更新先可以監控到新嘅執行環境同依賴項 。

透過只污染建置指令而唔係軟件本身，攻擊者繞過咗傳統嘅完整性檢查。上游原始碼睇落乾淨，惡意軟件只係喺建置嗰陣先會被提取同執行，對於無手動檢查PKGBUILD腳本嘅用戶嚟講，根本察覺唔到 。

惡意酬載：竊取器同Rootkit

建置咗被污染套件嘅機器，會接收到一個分兩階段植入嘅酬載，目的係間諜活動同埋持續控制。

• 用Rust編寫嘅憑證竊取器： 一個針對性嘅二進制檔案，負責收割開發者嘅機密，包括瀏覽器會話、SSH密鑰、GitHub令牌、npm令牌、Slack/Teams會話、Vault令牌、Docker/Podman憑證同雲端存取密鑰 。
• eBPF Rootkit（僅限Root權限）： 如果套件以root權限建置，惡意軟件就會部署一個eBPF rootkit，能夠喺ps同htop等標準偵測工具面前，隱藏自己嘅檔案、處理程序同網絡活動。呢個rootkit利用/sys/fs/bpf/達致持續性，令佢極難被移除 。

憑證竊取器同核心級rootkit嘅組合，令呢次攻擊變成一個嚴重威脅，尤其對於嗰啲工作站經常持有高權限存取密鑰同敏感數據嘅開發者嚟講。

社群同開發者嘅回應

Arch Linux社群同保安業界迅速動員，但攻擊規模令應對變得複雜。

• Arch團隊嘅行動： Arch貢獻者喺6月11日開設咗一個整合嘅AUR報告討論串，並開始還原惡意提交、封鎖攻擊者帳戶，同埋清理孤兒套件池。Arch Linux亦喺之後嘅星期一暫停咗AUR嘅新帳戶註冊，防止進一步嘅濫用 。Arch套件打包者Jonathan Grotelüschen確認團隊正努力「還原或刪除所有惡意提交，並封鎖涉事帳戶」 。
• 社群衝突： 呢次攻擊引發咗激烈辯論。喺PrivacyGuides論壇等平台上嘅熱烈討論入面，有啲社群成員直頭呼籲要全面關閉AUR，認為喺呢種規模嘅入侵下，佢嗰種基於信任嘅模型已經徹底崩壞 。
• 第三方回應： 包括Sonatype、Corgea、Cloud Security Alliance (CSA) 同TrueSec在內嘅保安公司，發布咗詳細分析、入侵指標（IoCs）同社群偵測腳本（例如aur-malware-check），幫助用戶審查自己嘅系統 。

一個關鍵嘅摩擦點係，官方Arch團隊無即時發布單一、權威嘅受影響套件完整清單，令用戶要依賴嚟自SafeDep同Corgea等第三方嘅清單 。

對Linux生態系統嘅教訓

Atomic Arch攻擊暴露咗依賴義工維護、以信任為基礎嘅社群儲存庫，存在結構性弱點。

• 孤兒陷阱係系統性風險： 任何用戶都可以喺無身份驗證或強制程式碼審查嘅情況下，即時領養並修改被棄養嘅套件，將一個方便嘅功能變成咗高影響力嘅攻擊途徑 。
• 建置時注入繞過完整性檢查： 傳統防禦機制依賴驗證原始碼壓縮檔嘅完整性。由於Atomic Arch污染嘅係建置腳本而唔係原始碼，標準嘅校驗和檢查完全無保護作用 。
• 跨生態系統供應鏈係新戰場： 今次攻擊將npm同Bun註冊表武器化，向Linux生態系統散播惡意軟件，證明咗單一註冊表中嘅一個被污染套件，可以引發跨平台嘅連鎖效應 。

受影響用戶現時必須採取嘅行動

保安研究員同Arch社群嘅指引一致：今次絕對唔係淨係刪除一個套件咁簡單。

1. 假設系統已全面淪陷： 將任何喺2026年6月9日至12日期間，曾經建置或更新過AUR套件嘅主機，視為已被全面入侵 。
2. 用乾淨媒體重裝系統： 簡單嘅惡意軟件掃描並唔可靠，因為eBPF rootkit係專為避開偵測工具而設計。唯一保證有效嘅補救方法，係用可靠嘅安裝媒體重建受影響嘅系統 。
3. 立即輪換所有憑證： 假設憑證竊取器已經將機器上所有可存取嘅機密外洩：SSH密鑰、GitHub同npm令牌、Vault令牌、雲端存取密鑰、瀏覽器會話同Docker/Podman憑證 。
4. 審查AUR歷史記錄： 執行

   pacman -Qm

   列出系統上所有安裝嘅外來套件，並同社群發布嘅惡意套件清單做對照 。
5. 檢查入侵指標： 搜尋建置快取入面有無atomic-lockfile、lockfile-js或js-digest嘅痕跡，以及/sys/fs/bpf/目錄下嘅可疑條目 。
6. 將今次事件視為事故回應處理： 企業唔應該將呢件事當成簡單嘅掃描練習。任何喺攻擊窗口期內，曾從AUR提取套件嘅Arch開發者工作站或CI/建置伺服器，都應該被視為保安事故，需要啟動全面嘅應變程序 。