Valul de malware din AUR — Arch Linux a blocat push-urile in august 2026. Ce faci daca folosesti yay sau paru

Daca folosesti Arch Linux, Manjaro, EndeavourOS sau orice alta distributie bazata pe Arch, probabil ca ai folosit macar o data AUR — Arch User Repository. E locul ala de unde poti instala aproape orice program cu un simplu yay -S nume-pachet sau paru -S nume-pachet. Foarte comod. Si exact comoditatea asta a devenit o problema serioasa la final de iulie 2026.

Intre 30 iulie si 2 august 2026, Arch Linux a blocat complet sistemul de push-uri catre AUR. Nu s-a mai putut adauga niciun pachet nou, nu s-au mai putut face update-uri. Decizia a venit dupa ce echipa DevOps a descoperit un val coordonat de adoptii malitioase de pachete — atacatorii au preluat pachete abandonate de maintainerii originali si au injectat in surse binare ELF mascate ca utilitare normale. Linter, minifier, hasher, converter — suna inofensiv. In realitate, erau bucati de malware care iti executau cod pe sistem.

E al doilea incident major de acest gen in AUR, dupa pachetele firefox-patch-bin cu RAT CHAOS din iulie 2025. Dar de data asta scara e mult mai mare si reactia echipei Arch mult mai ferma.

Ce vei gasi in acest articol:

• Cronologia exacta a incidentului: ce s-a intamplat pe 30 iulie, 1 august si 2 august 2026
• Cum functioneaza atacul: adoptia de pachete orfane, commit cu binar ELF, nume banale care pacalesc
• Tabelul complet cu cele 28 de pachete afectate si numele binarului malitios din fiecare
• Comenzi concrete pentru a verifica daca esti afectat (cu yay si paru)
• Ce faci daca ai instalat deja un pachet infectat: pasi de dezinfectie

Ce s-a intamplat, cronologic

30 iulie 2026, ora 22:00 UTC. Utilizatorul „Saren” de pe Arch Linux forums a postat o lista cu 27 de pachete AUR care contineau binare malitioase. Pachetele fusesera adoptate de conturi noi si apoi comituite cu surse care includeau un fisier ELF suplimentar — cu nume aparent banal, de genul linter, minifier sau converter.

30 iulie, tarziu in aceeasi seara. Robin Candau, membru al echipei Arch Linux DevOps (cunoscut ca „Antiz”), a raspuns rapid. Echipa a dezactivat functia de adoptie a pachetelor orfane in AUR. Asta inseamna ca nimeni nu mai putea prelua un pachet al carui maintainer plecase sau renuntase.

1 august 2026. Situatia s-a agravat. Echipa Arch a descoperit tentative suplimentare de compromitere. Au decis sa dezactiveze complet si push-urile in AUR. Anuntul oficial: „We have now disabled pushes altogether as well for the moment”. Nimeni — nici macar maintainerii legitimi — nu mai putea actualiza pachetele.

Tot pe 1 august a fost raportat separat un pachet suspect numit brave-origin, care imita pachetul oficial brave-origin-bin (browserul Brave). Pachetul fals includea un binar ELF numit translator.

2 august 2026. Restrictiile sunt inca in vigoare la momentul scrierii acestui articol. Echipa Arch nu a anuntat cand va redeschide AUR-ul pentru push-uri.

Cum functioneaza atacul

AUR nu e un repozitoriu oficial Arch Linux. E important sa intelegi asta de la inceput. Pachetele din AUR sunt scripturi PKGBUILD trimise de utilizatori obisnuiti, care spun sistemului tau makepkg de unde sa descarce sursele si cum sa le compileze. Nimeni din echipa Arch nu verifica automat aceste scripturi.

Atacul a functionat in trei pasi simpli:

Pasul 1: Identificarea pachetelor orfane. AUR contine mii de pachete al caror maintainer original a plecat, si-a sters contul sau pur si simplu nu le mai actualizeaza. Aceste pachete sunt marcate ca „orphan” si, in mod normal, oricine le poate adopta pentru a le mentine. Pana pe 30 iulie 2026, procesul de adoptie era deschis.

Pasul 2: Adoptia si commit-ul malitios. Atacatorii au creat conturi noi si au adoptat pachetele orfane. Apoi au facut un commit in care au modificat fisierul PKGBUILD si au adaugat in source=() un URL suplimentar care descarca un binar ELF. Binarul avea un nume generic — linter, minifier, hasher, converter, indexer, parser, generator, validator, assembler, packer, compressor, serializer, migrator, optimizer, merger, encryptor, checker, tagger, preprocessor. Niste nume care par instrumente de developer, nu malware.

Pasul 3: Infectarea utilizatorilor. Cine avea pachetul respectiv instalat si rula yay -Sua sau paru -Sua (update general) primea automat versiunea noua, cu binarul malitios inclus. Daca nu citea PKGBUILD-ul inainte de confirmare — si majoritatea nu o fac — instala malware-ul fara sa stie.

Tabelul complet al pachetelor afectate

Lista de mai jos a fost raportata public de utilizatorul „Saren” pe 30 iulie 2026, la ora 22:00 UTC. Formatul este pachet / binar malitios:

Observa ca pylnker-git apare de doua ori — cu converter si cu packer. Atacatorii au adaugat mai multe binare in acelasi pachet.

Separat, pe 1 august 2026 a fost raportat pachetul brave-origin, care imita pachetul oficial brave-origin-bin (browserul Brave). Acesta includea un binar ELF numit translator.

In total, 28 de pachete compromise plus pachetul fals brave-origin.

Nu toti utilizatorii Arch sunt afectati

Inainte sa intri in panica, e important sa stii ca acest incident NU afecteaza pe toata lumea.

Daca folosesti Ubuntu, Fedora, Debian, Mint sau alta distributie non-Arch — nu esti afectat. AUR e specific distributiilor Arch-based. Pachetele tale vin din repozitorii complet diferite (apt, dnf, etc.) care nu au nicio legatura cu AUR.

Daca folosesti Arch dar nu folosesti AUR — nu esti afectat. Repo-urile oficiale Arch (core, extra, multilib) sunt separate de AUR si sunt verificate de echipa Arch. Daca instalezi programe doar cu pacman -S, esti in siguranta.

Daca folosesti Arch cu AUR dar nu ai instalat niciunul dintre pachetele de mai sus — probabil ca esti in regula. Dar merita sa verifici, pentru ca e posibil sa existe pachete compromise inca neraportate.

Daca folosesti Flatpak sau Snap in loc de AUR — nu esti afectat de acest incident.

Cum verifici daca esti afectat

Daca folosesti yay sau paru pe Arch Linux, iata exact ce sa faci. Pasii sunt valabile si pentru Manjaro, EndeavourOS si alte distributii Arch-based.

Pasul 1: Vezi toate pachetele instalate din AUR

Ruleaza in terminal:

pacman -Qm

Comanda asta iti arata toate pachetele instalate care nu fac parte din repo-urile oficiale. Asta include pachete din AUR, pachete instalate manual din makepkg, si pachete din repo-uri third-party. Compara lista cu tabelul de mai sus.

Daca preferi sa cauti automat:

pacman -Qm | grep -E "archutil|bigwebapp-manager|boringssl-git|cinnamon-no-nemo|duhh|eden-nightly|garlic-decompiler-gui|gigolo-git|gitarbor-bin|icloudpd|imago-bin|juicebox-plus-git|magic-context-dashboard-bin|option-term|pagerduty-short-circuiter|portless|pylnker-git|python-libipld-git|python-numkong|python-parallax|python-ultraplot-git|ramses-git|src-cli-bin|steamidra-bin|stirling-pdf-desktop-bin|wiki-go|windscribe-cli-v2-bin|brave-origin"

Daca primesti vreun rezultat, esti afectat. Treci direct la sectiunea „Ce faci daca ai instalat un pachet compromis”.

Pasul 2: Verifica daca pachetele tale au fost actualizate recent

Chiar daca nu gasesti pachetele exacte din tabel, e bine sa verifici daca vreun pachet AUR a primit update suspect in ultimele zile:

pacman -Qm --info | grep -B2 "Instalat"

Sau mai simplu, cu expac daca il ai instalat:

expac -S '%n %B' | sort -k2 -r | head -20

Pasul 3: Cauta binare ELF suspecte in cache

Atacul a adaugat fisiere ELF in sursele pachetelor. Verifica daca ai fisiere suspecte in cache-ul de build:

# Pentru yay
find ~/.cache/yay -type f -name "linter" -o -name "minifier" -o -name "hasher" -o -name "converter" -o -name "indexer" -o -name "parser" -o -name "generator" -o -name "validator" -o -name "assembler" -o -name "packer" -o -name "compressor" -o -name "serializer" -o -name "migrator" -o -name "optimizer" -o -name "merger" -o -name "encryptor" -o -name "checker" -o -name "tagger" -o -name "preprocessor" -o -name "translator"

# Pentru paru
find ~/.cache/paru -type f -name "linter" -o -name "minifier" -o -name "hasher" -o -name "converter" -o -name "indexer" -o -name "parser" -o -name "generator" -o -name "validator" -o -name "assembler" -o -name "packer" -o -name "compressor" -o -name "serializer" -o -name "migrator" -o -name "optimizer" -o -name "merger" -o -name "encryptor" -o -name "checker" -o -name "tagger" -o -name "preprocessor" -o -name "translator"

Daca gasesti fisiere ELF cu nume din lista de mai sus, sterge-le imediat.

Pasul 4: Verifica PKGBUILD-urile pachetelor instalate

Inainte de orice update cu yay sau paru, intotdeauna citeste PKGBUILD-ul. Poti genera o baza de date locala pentru a compara:

# Genereaza baza de date pentru pachetele AUR instalate
yay -G --print $(pacman -Qm | awk '{print $1}')

yay -G nume-pachet
cat nume-pachet/PKGBUILD

# Arata PKGBUILD-ul inainte de instalare (default activ)
paru -S nume-pachet

paru --gendb

paru -G nume-pachet
cat nume-pachet/PKGBUILD

Pasul 5: Verifica procesele si conexiunile active

Daca suspectezi ca un binar malitios ruleaza deja pe sistem:

# Vezi toate conexiunile de retea active
ss -tupn

# Cauta procese cu nume suspect
ps aux | grep -E "linter|minifier|hasher|converter|indexer|parser|generator|validator|assembler|packer|compressor|serializer|migrator|optimizer|merger|encryptor|checker|tagger|preprocessor|translator"

Daca vezi conexiuni catre IP-uri necunoscute sau procese cu nume din lista de mai sus pe care nu le recunosti, deconecteaza-te de la internet si incepe dezinfectia.

Pasul 6: Verifica pornirea automata

Malware-ul ar putea incerca sa se reporneasca automat. Verifica:

# Unitati systemd user
systemctl --user list-units --type=service

# Fisiere de autostart
ls -la ~/.config/autostart/

# Crontab
crontab -l

# Systemd system units (cauta ceva suspect)
systemctl list-units --type=service | grep -v "loaded"

Daca gasesti servicii, cron jobs sau fisiere de autostart pe care nu le recunosti, noteaza-le si sterge-le dupa dezinfectie.

Ce faci daca ai instalat un pachet compromis

Daca ai gasit vreunul dintre pachetele din tabel instalat pe sistemul tau, urmeaza pasii astia in ordine:

Reguli de igiena permanenta pentru AUR

Incidentul asta ar trebui sa fie un semnal de alarma pentru oricine foloseste AUR. Nu e prima data si nu va fi ultima. Iata ce ar trebui sa faci de fiecare data cand instalezi sau actualizezi pachete din AUR:

Citeste PKGBUILD-ul de fiecare data

Da, stiu — e enervant si majoritatea oamenilor apasa „Da” fara sa se uite. Dar e singurul lucru care te poate proteja. Cauta in source=() URL-uri care nu au legatura cu proiectul. Cauta fisiere suplimentare care nu ar trebui sa fie acolo. Daca vezi un linter sau converter in sursele unui pachet care nu are legatura cu linting-ul sau conversia, nu instala.

Fii atent la pachetele recent adoptate

Daca un pachet a fost orfan si cineva l-a adoptat recent, verifica cine e noul maintainer. Cont nou, fara istoric, care adopta multe pachete orfane? Semn mare de alarma.

Verifica numarul de voturi si data ultimei actualizari

Un pachet cu 0 voturi, fara comentarii, actualizat recent de un cont necunoscut — nu instala. Prefera pachetele cu voturi multe, comentarii si un maintainer activ si cunoscut.

Prefera repozitoriile oficiale sau Flatpak

De cate ori e posibil, instaleaza din repo-urile oficiale Arch (pacman -S). Daca un program nu e in repo-urile oficiale, ia in considerare Flatpak de pe Flathub in loc de AUR. Flatpak-urile sunt sandboxed si verificate.

Foloseste un helper AUR care iti arata diff-urile

Atat yay cat si paru pot afisa diferenta intre versiunea veche si cea noua a PKGBUILD-ului. Asigura-te ca functia asta e activa. La paru, e activata by default. La yay, foloseste yay -Sua --devel si citeste output-ul.

Securitatea ta in AUR depinde de vigilenta ta. Comoditatea de a apasa „Da” la orice update e exact ce exploateaza atacatorii. In contextul in care malware-ul se raspandeste si prin repo-uri GitHub, e clar ca supply chain-ul open-source are o problema structurala pe care nu o rezolva nimeni in locul tau.

Daca vrei un mediu mai controlat, poti lua in considerare mutarea proiectelor pe platforme mai sigure. Articolul despre Codeberg ca alternativa privata la GitHub iti explica de ce tot mai multi developeri aleg platforme gestionate de comunitate in loc de corporatii.

Ce invatam din incidentul AUR din 2026

Acest incident ridica intrebari mai largi despre securitatea ecosistemului open-source. Nu e doar problema Arch sau AUR — e o tema recurenta. Am vazut bug-ul GhostLock care a stat ascuns 15 ani in kernelul Linux, am vazut 10.000 de repo-uri GitHub cu malware, si am vazut si bug-ul LUKS care a lasat cheile de criptare in memorie 2 ani. Open-source-ul nu e automat mai sigur — e mai transparent, ceea ce e diferit.

Ce se putea imbunatati in cazul AUR:

• Verificare automata a binarelor ELF in PKGBUILD-uri — un sistem care alerteaza cand un pachet adauga un binar nou care nu era in versiunea anterioara
• Limitarea adoptiei de pachete orfane — poate ca adoptia ar trebui sa necesite o perioada de proba sau aprobare de la un Trusted User
• Semnare obligatorie a commit-urilor — PKGBUILD-urile ar trebui semnate cu GPG de maintaineri verificati
• Audit automat al continutului — un sistem care compara fisierele dintr-o noua versiune cu versiunea anterioara si semnaleaza adaugarile suspecte

Echipa Arch a reactionat repede si bine. Blocarea completa a push-urilor e o masura drastica, dar necesara cand ecosistemul tau e sub atac. Intrebarea e daca masurile vor fi permanente sau doar temporare.

Ce se intampla in continuare

La momentul scrierii (2 august 2026), AUR-ul ramane cu push-urile dezactivate. Echipa Arch nu a anuntat un calendar pentru redeschidere. Probabil ca vor implementa masuri suplimentare de verificare inainte sa redeschida complet sistemul.

Ce poti face tu intre timp:

• Nu dezactiva AUR-ul complet — e inca util, doar ca necesita mai multa atentie
• Verifica-ti sistemul daca ai pachete din lista compromisa
• Urmareste anunturile oficiale pe arch-dev-public si pe Arch Linux Forum
• Gandeste-te la alternative pentru pachetele pe care le folosesti din AUR — poate unele sunt disponibile si ca Flatpak