Se utilizzate Arch Linux o una delle sue celebri derivate (come EndeavourOS o CachyOS) e attingete regolarmente ad AUR (Arch User Repository), questo è il momento di prestare la massima attenzione. Nelle ultime 24 ore è emersa una massiccia campagna di attacco coordinata che ha visto la compromissione di oltre 400 pacchetti all’interno del noto repository comunitario.
I manutentori di Arch Linux sono al lavoro per ripulire i pacchetti infetti e bandire gli account coinvolti, ma l’incidente riaccende inevitabilmente il dibattito sulla sicurezza dei repository gestiti dagli utenti e sulla fiducia cieca negli helper AUR.
Cosa è successo su AUR?
L’allarme è scattato l’11 giugno 2026, quando sulla mailing list ufficiale aur-general e sui canali di CachyOS sono apparse le prime segnalazioni relative a una serie di pacchetti modificati con scopi malevoli. I dettagli tecnici emersi indicano che l’attacco è legato a una campagna malware denominata “atomic-lockfile”, legata all’ecosistema JS/npm, che introduce carichi malevoli complessi, tra cui infostealer (software per il furto di credenziali e dati sensibili) e potenziali rootkit.
I criminali informatici hanno sfruttato il modello aperto di AUR per:
- Adottare pacchetti orfani: prendendo il controllo di PKGBUILD legittimi ma non più seguiti dal manutentore originale.
- Typosquatting o pacchetti fittizi: creando nuovi pacchetti con nomi simili a utility famose per trarre in inganno gli utenti.
- Compromissione di account: non è escluso che alcuni account di manutentori con password deboli o senza autenticazione robusta siano stati violati.
Questo incidente ci ricorda in modo brutale la natura stessa di AUR. Per definizione, l’Arch User Repository è uno spazio libero, non ufficiale e alimentato dai contributi degli utenti. Chiunque può caricare un pacchetto o un PKGBUILD.
Spesso, l’abitudine diffusa di installare software tramite helper come yay o paru premendo con non nonchalant “Invio” senza leggere gli script di compilazione espone il sistema a rischi enormi. In un clima di sicurezza informatica sempre più teso come quello del 2026, delegare la fiducia a repository non curati direttamente da sviluppatori ufficiali richiede estrema cautela.
Come verificare se il tuo sistema è compromesso
I manutentori hanno già rimosso la quasi totalità dei circa 446 pacchetti infetti da AUR e bannato gli account malevoli. Tuttavia, se avete installato o aggiornato software da AUR nelle ultime 48 ore, potreste avere il malware a bordo.
La community (grazie al lavoro del team di CachyOS) ha rilasciato uno script di controllo rapido che confronta i pacchetti installati localmente con la lista di quelli noti per essere stati infettati.
Potete eseguire un controllo preliminare via terminale. Nota di sicurezza: come giustamente ricorda la community, non bisognerebbe mai lanciare uno script preso da internet alla cieca. Il consiglio è quello di scaricarlo e ispezionare il codice prima di eseguirlo, altrimenti facciamo come quelli che si infettano su aur 😀
Bash
# Scarica lo script per ispezionarlo
curl -s https://cscs.pastes.sh/raw/aurvulntest20260611.sh > aur_check.sh
# Esamina il contenuto
nano aur_check.sh
# Se tutto vi sembra legittimo, eseguite lo script
bash aur_check.sh
Lo script verificherà se sul vostro sistema sono presenti i pacchetti incriminati installati o aggiornati di recente.
Attenzione: Lo script esegue solo un controllo basato sui nomi e sulla datazione dei pacchetti per scovare corrispondenze note. Non pulisce il sistema né garantisce un’analisi forense completa in caso di infezione profonda da rootkit.
Se lo script dovesse restituire dei positivi, verificate immediatamente la provenienza del pacchetto con pacman -Qi <nome_pacchetto> per capire quando è stato compilato e installato.
