Атака Atomic Arch ударила по доверенным пакетам AUR

16.06.2026

Исследователи выявили кампанию Atomic Arch, в которой злоумышленники берут под контроль заброшенные пакеты в Arch User Repository и меняют PKGBUILD так, чтобы при установке подтягивалась вредоносная npm-зависимость atomic-lockfile. По предварительной оценке, кампания могла затронуть около 1 500 пакетов.

Схема опасна тем, что вредоносный код не обязательно находится внутри самого доверенного пакета. Пользователь устанавливает или обновляет знакомый AUR-пакет, а измененный сценарий сборки запускает npm install и загружает сторонний компонент. В одной из новых волн исследователи также увидели варианты установки через Bun, а среди связанных пакетов названы atomic-lockfile, js-digest и lockfile-js.

Анализ atomic-lockfile показал встроенный Linux-пейлоад с признаками скрытности, антиотладки и сбора учетных данных. В бинарном файле нашли отсылки к eBPF и libbpf, механизмы скрытия процессов, файлов и сетевой активности, а также упоминания GitHub credentials, SSH-артефактов, токенов HashiCorp Vault, cookie-баз браузеров и данных Slack, Discord, Microsoft Teams и Telegram.

Исследователи считают, что зараженные хосты нужно рассматривать как скомпрометированные. Простого удаления пакета может быть недостаточно, если второй этап уже успел выполниться. Кампания показывает слабое место цепочек поставок: атакующим не нужно создавать новый вредоносный пакет с нуля, если можно получить управление над уже известным и привычным проектом.