Quella che inizialmente sembrava un’infezione contenuta si è trasformata, nel giro di quarantotto ore, in una crisi sistemica che ha costretto gli amministratori di Arch Linux a misure di emergenza straordinarie. E quando il peggio sembrava passato, una seconda ondata di malware ancora più sofisticata ha colpito AUR.
La crisi è iniziata venerdì 12 giugno 2026. I primi controlli di sicurezza condotti dai manutentori di Arch Linux hanno rivelato la presenza di codice malevolo all’interno di circa 400 pacchetti ospitati su AUR. Il meccanismo dell’attacco ha sfruttato alcune storiche vulnerabilità gestionali del repository: l’adozione di pacchetti “orfani” (ovvero rimasti senza un manutentore attivo) e tecniche di typosquatting (la creazione di pacchetti fittizi con nomi molto simili a utility famose per ingannare gli utenti). Non è stata esclusa, inoltre, la violazione diretta di account di manutentori legittimi tramite attacchi di forza bruta o a causa di credenziali deboli.
La situazione è precipitata sabato 13 giugno. Con l’estendersi delle verifiche automatizzate e manuali da parte dei developer, il contatore dei pacchetti infetti è letteralmente schizzato verso l’alto. A fine giornata, il bilancio ufficiale ha superato la spaventosa quota di 1.500 pacchetti compromessi (per l’esattezza, una lista parziale ma indicativa ne contava almeno 1.579). Di fronte a questa vera e propria epidemia digitale, il team di Arch Linux ha azionato il freno a mano: sono stati eliminati tutti i commit malevoli identificati, sono stati banditi gli account compromessi e, temporaneamente, sono state disabilitate le registrazioni di nuovi account e l’adozione di pacchetti orfani.
Domenica 14 giugno, mentre i developer speravano di aver finalmente arginato il problema portando l’AUR a livelli di sicurezza standard, è emersa un nuovo attacco.
Una nuova ondata di pacchetti infetti è stata rilevata dal manutentore e sviluppatore noto come a821. Questa volta i cybercriminali hanno preso di mira pacchetti legati all’ecosistema Node.js, applet per l’interfaccia Plasma 6, estensioni per Firefox e LibreWolf, il browser Aura e persino plug-in per NeoVim. Dopo qualche ora i pacchetti sono stati ripuliti ma subito dopo lo sviluppatore Boichat ha scoperto altro malware, questa volta più avanzato in quanto gli aggressori hanno implementato tecniche avanzate di offuscamento del codice (in particolare attorno all’esecuzione del comando Bun) e, secondo le analisi della community, il malware si comporta come un agente mutante: utilizza chiavi di cifratura AES-128-GCM dinamiche che cambiano in base alla repository di GitHub utilizzata come infrastruttura di Command and Control (C2), ridenominando continuamente i propri metodi interni. Un modus operandi che ricorda le tattiche di gruppi APT (Advanced Persistent Threat) statali, impegnati in una guerra di logoramento e automazione contro i sistemi di protezione centralizzati.
Ciò che preoccupa maggiormente gli esperti è il livello di sofisticazione tecnologica di questo secondo round. Il codice malevolo non è più facilmente rintracciabile dai comuni scanner di vulnerabilità basati sulle stringhe o sulle firme statiche.
Gli aggressori hanno implementato tecniche avanzate di offuscamento del codice (in particolare attorno all’esecuzione del comando Bun) e, secondo le analisi della community, il malware si comporta come un agente mutante: utilizza chiavi di cifratura AES-128-GCM dinamiche che cambiano in base alla repository di GitHub utilizzata come infrastruttura di Command and Control (C2), ridenominando continuamente i propri metodi interni. Un modus operandi che ricorda le tattiche di gruppi APT (Advanced Persistent Threat) statali,.
Nelle prossime settimane il team di Arch Linux sarà chiamato a ridefinire radicalmente le politiche di sicurezza di AUR, magari modificando il sistema di adozione dei pacchetti orfani su AUR introducendo un sistema di controlli più stringenti.
