LONDON (IT BOLTWISE) – Eine aktuelle Supply-Chain-Attacke im Arch Linux User Repository (AUR) betrifft laut Branchenberichten Tausende Pakete und kombiniert einen Rust-basierten Credential-Stealer mit einem eBPF-Rootkit. Die Malware wird über kompromittierte AUR-„Adoptionen“ ausgeliefert, sobald Nutzer ein scheinbar legitimes PKGBUILD bauen. Auffällig ist, dass kein CVE veröffentlicht wurde und offizielle Arch-Repositorys unberührt bleiben. Sonatype bewertet die Kampagne mit CVSS 8,7 und empfiehlt eine sofortige System- und Token-Rotation.
Mit „Atomic Arch“ hat sich eine neue Variante von Supply-Chain-Angriffen im Linux-Ökosystem besonders hartnäckig in den Vordergrund geschoben: Laut Sonatype und weiteren Sicherheitsanalysen wurden zunächst 408, später mehr als 1.500 AUR-Pakete manipuliert. Der Kern des Problems liegt nicht in den offiziellen Arch-Repositorys, sondern im AUR selbst – einer Community-Plattform, in der Pakete von der ursprünglichen Pflege abgekoppelt und von anderen Nutzerinnen und Nutzern übernommen werden können. Genau diese „Orphaned Package“-Mechanik wird hier ausgenutzt, um Schadcode in den Build-Prozess zu injizieren und damit Vertrauen zu ernten, das eigentlich der Community-Entwicklung gilt.
Technisch betrachtet setzt die Attacke an einer Stelle an, die in der Praxis oft unterschätzt wird: der PKGBUILD-Datei, die beim Bauen eines Pakets von pacman genutzt wird. Angreifer beantragen zunächst die Übernahme etablierter, aber unmaintaineter Pakete im Rahmen des normalen AUR-Adoptions-Workflows. Sobald die Kontrolle über den entsprechenden AUR-Eintrag vorliegt, ändern sie gezielt einzelne Build-Schritte. Besonders bemerkenswert ist, dass die Eingriffstiefe eher klein als spektakulär wirkt: Eine scheinbar harmlose Zeile in den post-install hooks führt zu einem zusätzlichen npm install-Schritt, der wiederum den eigentlichen Payload-Mechanismus anstößt. Diese „kleinen“ Änderungen sind deshalb so gefährlich, weil sie in Code-Reviews oft übersehen werden.
Als „erste Welle“ wurden 408 betroffene Pakete gezählt, die ab dem 11. Juni 2026 mit der manipulierten Logik anstarteten; bis zum 12. Juni stieg die Gesamtzahl laut weiteren Berichten auf über 1.500 kompromittierte Pakete. Als Nachweis wird unter anderem eine Kampagnenkennung (Sonatype-2026-003775) genannt, zudem wird die Schadwirkung mit CVSS 8,7 bewertet. Auffällig ist das Fehlen eines CVE: Das unterstreicht, dass die Relevanz hier nicht über Standard-Sicherheitsbulletins, sondern über die konkrete Supply-Chain- und Build-Realität transportiert wird. Bestätigte Kompromittierungen werden unter anderem bei alvr und premake-git genannt, was zeigt, dass auch technisch anspruchsvolle Projekte betroffen sein können.
Die eigentliche Schadkomponente „atomic-lockfile v1.4.2“ wird als npm-Paket ausgeliefert und enthält einen preinstall hook, der einen Linux-ELF-Binary namens „deps“ aus ./src/hooks/deps startet. Die Payload ist in Rust implementiert, was im Linux-Umfeld zwar nicht neu ist, aber im Zusammenspiel mit AUR sehr gut zur Zielabweichung passt: Rust-basierte Tools lassen sich sauber paketieren, sind aber für viele Administratoren weniger „gewohnt“ als klassische Shell-Skripte. Der Stealer sammelt sehr breit Credentials und Sitzungsdaten, darunter Browser-Cookies, Tokens und Local-Storage aus Chrome, Edge und Brave, Electron-App-Sessions für Slack, Discord, Teams und Telegram sowie SSH-Private Keys und Shell-History. Hinzu kommen GitHub-, npm- und HashiCorp-Vault-Tokens, sogar OpenAI- und ChatGPT-API-Keys sowie Konfigurationen für Docker/Podman, VPN-Profile und Cloud-Provider-Schlüssel.
Das Exfiltrationsmuster folgt dabei einem klassischen, funktionalen Ansatz: Der Abfluss läuft über HTTP multipart POST an einen öffentlichen File-Sharing-Dienst (temp.sh), während die Command-and-Control-Logik über einen Tor-Onion-Service gesteuert wird. Besonders problematisch für die Abwehr ist, dass die Operatoren die Lieferkette aktiv iterieren. Laut den Beobachtungen wurde am 12. Juni in einer zweiten Welle in manchen Paketen die npm-Delivery teilweise durch „bun install js-digest“ ersetzt. Genau diese „Operator Maintenance“-Komponente ist ein Marktindikator: Es ist sehr wahrscheinlich, dass hier nicht nur ein einzelner Build-Vektor einmalig genutzt wurde, sondern dass die Angreifer mehrere Zustellwege vorbereiten, um Detektionssignaturen zu umgehen und unterschiedliche Build-Umgebungen abzudecken. Aus Sicht von Security-Teams ist das vergleichbar mit anderen Kampagnen, bei denen ein kompromittierter Baustein in mehreren Stufen weitergereicht und jeweils angepasst wird.
Der besonders gravierende Teil ist jedoch die nächste Ebene der Persistenz und Unsichtbarkeit: Wenn das Binary mit Root-Rechten ausgeführt wird, lädt es ein eBPF-Programm, das offenbar aus „scales.bpf.c“ kompiliert wurde. Das eBPF-Modul klinkt sich in die Systemlogik ein, indem es den getdents64()-Systemaufruf hookt und drei BPF-Maps in /sys/fs/bpf/ pinnt – hidden_pids, hidden_names und hidden_inodes. In der Folge werden ausgewählte Prozesse, Dateinamen und Inodes aus der Ausgabe von User-Space-Tools herausgefiltert, während die Malware aktiv ist. Praktisch bedeutet das: Selbst grundlegende Inspektionen wie ls, ps oder find können „sauber“ wirken, obwohl das System kompromittiert ist. Zusätzlich prüft der Binary per PTRACE nach Debuggern, was die dynamische Analyse vor Ort erschwert und Live-Forensik zusätzlich verkompliziert.
Unabhängig von den Privilegien setzt die Payload eine systemd-Persistenz durch, die beim Start zuverlässig zurückkehrt. In Root-Kontexten schreibt sie eine Service-Unit nach /etc/systemd/system/, während User-Kontexten eine Unit unter ~/.config/systemd/user/ verwendet wird. Dass die Datei über Reboots hinweg aktiv bleibt, macht die Bereinigung nicht nur zu einem einmaligen Paket-Entfernen, sondern zu einem tatsächlichen Incident-Response-Thema. Auch wenn der eBPF-Hebel vor allem bei Root greift, kann die Kombination aus Stealer und Persistenz dafür sorgen, dass Token-Rotation und Forensik zeitkritisch werden. Für Unternehmen heißt das im Alltag: Ein „Verdachtspaket“ ist nicht automatisch gleichbedeutend mit einem „harmlosen“ Build-Fehler – der Build war hier das Einfallstor.
Für die Reaktion nennt Sonatype konkrete Schritte, die über Standard-Hygiene hinausgehen. AUR-Betreuer Jonathan Grotelüschen hat dazu aufgerufen, verdächtige AUR-Pakete aktiv zu melden. Gleichzeitig hat ein Community-Mitwirkender (lenucksi) automatisierte Detektionsskripte veröffentlicht, die Administratoren beim systematischen Abgleich helfen sollen. Unmittelbar empfohlen wird, Pacman Build-Logs nach Updates ab dem 11. Juni 2026 zu durchsuchen, nach Vorkommen von atomic-lockfile, js-digest oder dem Pfad src/hooks/deps im Build-Output zu schauen sowie /sys/fs/bpf/ auf ungewöhnliche BPF-Map-Namen zu prüfen. Parallel sollten Verzeichnisse für systemd-Services – /etc/systemd/system/ und ~/.config/systemd/user/ – auf unerwartete Units kontrolliert werden.
Das wichtigste Lagebild ist gleichzeitig die härteste Empfehlung: Falls ein markiertes Paket auf einem System ausgeführt wurde, sollte der Host als kompromittiert betrachtet werden. Entfernen allein reicht nicht, weil der Stealer bereits aktiv war, bevor ein Uninstall-Vorgang überhaupt greifen kann. Daher empfiehlt sich eine konsequente Rotation sämtlicher betroffenen Authentifizierungsdaten, darunter SSH-Keys, GitHub-, npm- und Vault-Secrets sowie browsergespeicherte Credentials. Auch Tokens für kollaborative Dienste wie Slack, Discord und Teams sollten ersetzt werden. Ist der Build als Root gelaufen, rät Sonatype zu einer Neuinstallation von Arch aus vertrauenswürdigen Medien, da dann der eBPF-Rootkit-Fall realistisch sein kann und sich Artefakte unter Umständen „wegfilternd“ verhalten.
Historisch fügt sich „Atomic Arch“ in eine Entwicklung ein, die viele Security-Teams seit Jahren beschäftigt: AUR- und Dependency-basierte Angriffe zeigen, wie schnell die Supply-Chain zum Angriffsvektor wird, wenn Vertrauen in Build-Artefakte über automatisierte Mechanismen skaliert. 2018 gab es bereits eine ähnliche Technik, die einen verwaisten PDF-Viewer kompromittierte; später machte die 3CX-Krise deutlich, wie ein einzelner kompromittierter Baustein in mehreren Stufen eskalieren kann. Der Unterschied in 2026 ist, dass hier ein eBPF-Rootkit sowie iterativ anpassbare Lieferketten dazukommen. Für die Zukunft bedeutet das: AUR-Nutzer müssen das „Adopt-or-Trust“-Modell neu bewerten, und Tooling rund um Build-Reproducibility, Signierung und verhaltensbasierte Prüfungen wird vom Nice-to-have zum Pflichtbestandteil.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Atomic Arch: Tausende AUR-Pakete mit eBPF-Rootkit und Credential-Stealer" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Atomic Arch: Tausende AUR-Pakete mit eBPF-Rootkit und Credential-Stealer" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Atomic Arch: Tausende AUR-Pakete mit eBPF-Rootkit und Credential-Stealer« bei Google Deutschland suchen, bei Bing oder Google News!