La campagne Atomic Arch a injecté du code malveillant dans plus de 1 500 paquets AUR afin de voler des identifiants et des secrets de développeurs.
Une importante campagne malveillante vise actuellement l’Arch User Repository, plus connu sous le nom d’AUR. Baptisée Atomic Arch, l’attaque aurait touché plus de 1 500 paquets communautaires depuis le 11 juin 2026.
Il ne s’agit pas d’une compromission des serveurs ou des dépôts officiels d’Arch Linux. Les attaquants ont surtout exploité le fonctionnement normal de l’AUR pour adopter des paquets orphelins, puis modifier leurs fichiers PKGBUILD.
Du code injecté dans les scripts d’installation
Les modifications ajoutaient des commandes chargées de récupérer des paquets npm malveillants pendant la construction ou l’installation du logiciel.
Le programme final, écrit en Rust, se comporte comme un voleur d’informations. Selon les analyses disponibles, il recherche notamment :
- les clés SSH ;
- les jetons GitHub et npm ;
- les identifiants AWS, Azure et Google Cloud ;
- les cookies et sessions des navigateurs ;
- les accès Docker, Podman et HashiCorp Vault ;
- les sessions Discord, Slack, Teams et Telegram.
Les chercheurs ont également identifié des fonctionnalités utilisant eBPF, susceptibles de masquer certains processus, fichiers ou échanges réseau lorsque le programme obtient les privilèges nécessaires.
Au moins 1 579 paquets recensés
Une liste communautaire comptait 1 579 paquets affectés le 13 juin. Ce nombre reste provisoire : de nouvelles vagues utilisant du code obfusqué et différentes méthodes de téléchargement ont encore été découvertes le 14 juin.
Arch Linux confirme qu’il s’agit d’un incident actif. L’équipe a supprimé les modifications identifiées, bloqué les comptes concernés et temporairement limité les inscriptions, les adoptions de paquets et certaines opérations sur l’AUR.
Les paquets distribués par les dépôts officiels d’Arch Linux ne sont pas concernés. Les utilisateurs de Manjaro, EndeavourOS ou d’une autre distribution dérivée ne sont exposés que s’ils ont installé des logiciels provenant de l’AUR.
Que faire en cas de doute ?
Les utilisateurs peuvent commencer par afficher les paquets étrangers installés sur leur système :
pacman -Qqm
Il faut ensuite vérifier l’historique et le PKGBUILD de chaque paquet AUR récemment installé ou mis à jour. La liste communautaire des paquets affectés peut également servir de point de comparaison.
Si un paquet compromis a été exécuté, la machine doit être considérée comme potentiellement infectée. Il est prudent de l’isoler, de renouveler les clés SSH, mots de passe et jetons depuis un appareil sain, puis d’envisager une réinstallation depuis un support de confiance.
Mettre simplement le paquet à jour ne suffit pas nécessairement : les identifiants peuvent déjà avoir été copiés et transmis à l’attaquant.
Cet incident rappelle que l’AUR contient des recettes de construction fournies par la communauté. Elles ne bénéficient pas du même niveau de contrôle que les paquets officiels et doivent être examinées avant chaque installation ou mise à jour.
Un outil communautaire pour vérifier son système
Le projet aur-malware-check rassemble plusieurs scripts et listes d’indicateurs créés par la communauté. Il peut comparer les paquets installés avec ceux identifiés comme compromis et rechercher des traces dans les journaux de pacman, les caches npm ou Bun, systemd et les programmes eBPF.
L’outil évolue avec les nouvelles découvertes, mais un résultat négatif ne garantit pas que la machine est saine. Il est également recommandé d’examiner les scripts avant de les exécuter.
Si un indicateur est détecté, il faut isoler la machine, renouveler les identifiants depuis un appareil sain et envisager une réinstallation complète.
Outil communautaire aur-malware-check
Sources
Annonce officielle d’Arch Linux
Liste communautaire des paquets concernés
Analyse de Sonatype
Analyse de StepSecurity
Analyse technique en français de CryptoLab