Arch Linux: Über 200 Pakete von Rust-Infostealer befallen
Veröffentlicht am: 01.08.2026 um 22:32 Uhr | Redaktion boerse-global.de
Arch Linux hat die Möglichkeit zur Übernahme verwaister Pakete im Arch User Repository (AUR) vorübergehend deaktiviert. Hintergrund dieser Entscheidung ist eine dritte Welle koordinierter Malware-Angriffe, bei denen Akteure systematisch Schwachstellen im Governance-Modell der Plattform ausnutzten. Durch die vorübergehende Sperre soll die Verbreitung schädlicher Software unterbunden werden, während das Sicherheitsteam an neuen Schutzmaßnahmen arbeitet.
Die aktuelle Kampagne, die unter der Bezeichnung „Atomic Arch“ geführt wird, stellt eine Eskalation bisheriger Angriffsversuche dar. Robin Candau vom DevOps-Team informierte die Community über die Mailingliste über den Stopp der Paketadoption, nachdem Ende Juli neue bösartige Aktivitäten festgestellt worden waren. Den Berichten zufolge nahm die aktuelle Welle ihren Anfang mit Manipulationen am Paket 'openconnect-sso'.
Technisch versierte Infektionswege umgehen Sicherheitsfilter
Die Angreifer setzen bei der „Atomic Arch“-Kampagne auf eine zweistufige Infektionsstrategie, die speziell darauf ausgelegt ist, bestehende Erkennungsmechanismen zu unterlaufen. Zum Einsatz kommen kompilierte ELF-Binaries und obfuskierte Shell-Downloader. Diese sind so konzipiert, dass sie die im Juni eingeführten Sicherheitsfilter sowie gängige npm-Pattern-Scanner umgehen.
In der ersten Phase der Infektion wird ein systemd-Dienst oder ein Cron-Job auf dem Zielsystem eingerichtet. Dabei tarnt sich der genutzte Tor-Client als dbus-daemon, um im Netzwerkverkehr unentdeckt zu bleiben. In der zweiten Stufe wird ein in der Programmiersprache Rust geschriebener Infostealer nachgeladen. Diese Schadsoftware verfügt über SSH-Wurm-Fähigkeiten und ist darauf spezialisiert, sensible Informationen zu extrahieren. Ziel der Angriffe sind insbesondere Browserdaten, Krypto-Wallets, SSH-Schlüssel sowie API-Zugangsdaten der betroffenen Nutzer.
Wer sich mit der Abwehr solch komplexer Cyberrisiken befasst, muss heute auch die rechtlichen und technischen Anforderungen genau kennen. Dieser kostenlose Report klärt darüber auf, welche Pflichten und Bedrohungen für die IT-Sicherheit jetzt entscheidend sind. Neue Cyberrisiken und gesetzliche Anforderungen jetzt verstehen
Über 200 Pakete von Kampagne betroffen
Nach derzeitigem Kenntnisstand sind mehr als 200 AUR-Pakete von den schädlichen Änderungen betroffen. Die Angreifer nutzten dabei gezielt den Status verwaister Pakete aus: Sie übernahmen die Verantwortung für Software, die keinen aktiven Betreuer mehr hatte, und schleusten anschließend den Schadcode ein. Zu den namentlich identifizierten betroffenen Paketen zählen unter anderem i915-sriov-dkms, rtk-git, boringssl-git/hasher, archutil/linter sowie warp-terminal-git, weather-display und astro-box.
Diese jüngste Angriffswelle folgt auf eine vorangegangene Kampagne, in deren Verlauf bereits über 1.500 bösartige Pakete identifiziert und aus dem Repository entfernt werden mussten. Die Intensität und die technischen Anpassungen der Angreifer zeigen eine hohe Persistenz bei dem Versuch, die Supply Chain der Linux-Distribution zu kompromittieren.
Konsequenzen für die AUR-Governance
Als unmittelbare Reaktion auf die Sicherheitsvorfälle wurden die Regeln für das Paketmanagement verschärft. Die Frist, nach der ein Paket als verwaist eingestuft wird, wurde signifikant von 90 auf 30 Tage verkürzt. Damit soll die Zeitspanne reduziert werden, in der Pakete ohne Aufsicht im Repository verbleiben.
Da Angriffe auf die digitale Infrastruktur immer häufiger vorkommen, ist eine proaktive Absicherung für IT-Verantwortliche unerlässlich. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und den Schutz Ihres Unternehmens ohne hohe Investitionen stärken. Kostenlosen Sicherheits-Ratgeber herunterladen
Trotz dieser Maßnahmen gibt es derzeit keinen konkreten Zeitplan für die Wiederherstellung der Paketadoptions-Funktion. Die Verantwortlichen betonen die Notwendigkeit einer gründlichen Überprüfung der Infrastruktur. Nutzer der Distribution werden dazu angehalten, PKGBUILD-Dateien vor einer Installation oder einem Update äußerst sorgfältig manuell zu prüfen. Verdächtige Aktivitäten oder Unregelmäßigkeiten in den Paketquellen sollten umgehend den zuständigen Administratoren gemeldet werden.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
