The latest articles on DEV Community by Aglair (@aglairdev). https://dev.to/aglairdev https://media2.dev.to/dynamic/image/width=90,height=90,fit=cover,gravity=auto,format=auto/https:%2F%2Fdev-to-uploads.s3.us-east-2.amazonaws.com%2Fuploads%2Fuser%2Fprofile_image%2F3976556%2F94faf5ed-cbb1-4f2e-aa98-3fdc59a22a72.jpg https://dev.to/aglairdev en Aglair Sat, 13 Jun 2026 00:04:32 +0000 https://dev.to/aglairdev/400-pacotes-aur-foram-comprometidos-atomic-arch-4ad4 https://dev.to/aglairdev/400-pacotes-aur-foram-comprometidos-atomic-arch-4ad4 <p>Dia 11 de junho de 2026 (ontem), um atacante assumiu o controle de mais de 400 pacotes do <strong>Arch User Repository (AUR)</strong> modificando seus scripts de compilação para instalar malware em quem fizesse atualização ou instalação desses pacotes. O caso foi batizado de <strong>Atomic Arch</strong>.</p> <h2> O que aconteceu? </h2> <p>O AUR permite que qualquer usuário "adote" pacotes órfãos (abandonados pelos mantenedores originais). O atacante se aproveitou disso: assumiu centenas de pacotes e alterou os arquivos <code>PKGBUILD</code> para que, durante a instalação, fosse baixado e executado um pacote npm malicioso.</p> <p><strong>Duas ondas do ataque:</strong></p> <ul> <li> <strong>1ª onda:</strong> pacote npm <code>atomic-lockfile</code> (executado via <code>npm install</code> no build)</li> <li> <strong>2ª onda:</strong> pacote <code>js-digest</code> (usando Bun como runtime)</li> </ul> <p>O malware é um binário Linux chamado <code>deps</code> (Rust) que funciona como <strong>infostealer + rootkit eBPF</strong>.</p> <h2> O que o malware rouba? </h2> <p>O binário vasculha a máquina atrás de:</p> <ul> <li> <strong>GitHub</strong>: tokens de acesso, SSH keys</li> <li> <strong>Navegadores baseados em Chromium</strong>: cookies, sessões, tokens</li> <li> <strong>Slack, Discord, Microsoft Teams, Telegram</strong>: tokens de sessão e dados de API</li> <li> <strong>HashiCorp Vault</strong>: tokens</li> <li> <strong>SSH</strong>: chaves privadas, known_hosts</li> <li> <strong>Docker/Podman</strong>: credenciais de registro</li> <li> <strong>VPN</strong>: arquivos <code>.ovpn</code> </li> <li> <strong>Históricos de shell</strong> (bash, zsh, fish)</li> <li> <strong>npm, OpenAI/ChatGPT</strong>: tokens de API</li> </ul> <p>Se executado como <strong>root</strong>, o malware ativa um <strong>rootkit eBPF</strong> que se esconde dentro do kernel, escondendo processos, arquivos e sockets de ferramentas de inspeção comuns.</p> <p>Ele também cria <strong>persistência via systemd</strong> (como root ou usuário) e envia os dados roubados para um servidor C2 na rede Tor + upload externo via <code>temp.sh</code>.</p> <h2> O que <strong>NÃO</strong> foi afetado </h2> <ul> <li>Os repositórios <strong>oficiais</strong> do Arch Linux (<code>[core]</code>, <code>[extra]</code>, <code>[multilib]</code>) <strong>não</strong> foram comprometidos</li> <li>Apenas pacotes do <strong>AUR</strong> foram atingidos</li> </ul> <h2> Como verificar </h2> <p><strong>Manualmente</strong><br> </p> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code><span class="c"># Lista os pacotes AUR instalados</span> pacman <span class="nt">-Qm</span> </code></pre> </div> <p>Compare a saída com a lista oficial de pacotes comprometidos mantida pela equipe do Arch Linux:</p> <p><a href="https://md.archlinux.org/s/SxbqukK6IA" rel="noopener noreferrer">https://md.archlinux.org/s/SxbqukK6IA</a></p> <p><strong>Automatizado</strong></p> <p>Script que compara seus pacotes contra a lista oficial ao vivo:</p> <p><a href="https://gist.github.com/Kidev/85756c3dcad3623ca5604a8135bafd14" rel="noopener noreferrer">https://gist.github.com/Kidev/85756c3dcad3623ca5604a8135bafd14</a><br> </p> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code>curl <span class="nt">-fsSL</span> https://gist.githubusercontent.com/Kidev/85756c3dcad3623ca5604a8135bafd14/raw/check_aur_infected.sh | bash </code></pre> </div> <h2> E se meu sistema estiver infectado? </h2> <p><strong>Caso tenha fé:</strong></p> <ul> <li>Rotacione TODAS as credenciais: GitHub, SSH, tokens de API, cookies, senhas</li> </ul> <p><strong>Caso contrário:</strong></p> <ul> <li>Considere reinstalar o Arch: o rootkit eBPF pode sobreviver a tentativas normais de limpeza</li> <li>Se o malware foi executado como root, o sistema não pode mais ser confiado sem uma reinstalação completa</li> </ul> <h2> Links </h2> <ul> <li><a href="https://archlinux.org/news/active-aur-malicious-packages-incident/" rel="noopener noreferrer">Arch Linux News: comunicado oficial</a></li> <li><a href="https://md.archlinux.org/s/SxbqukK6IA" rel="noopener noreferrer">Lista oficial de pacotes (Arch Linux HedgeDoc)</a></li> <li><a href="https://gist.github.com/Kidev/85756c3dcad3623ca5604a8135bafd14" rel="noopener noreferrer">Script de verificação automatizada</a></li> </ul> linux security archlinux braziliandevs