Arch Linux suspende la adopción de paquetes AUR tras una ola de malware

El 31 de julio de 2026 el proyecto Arch Linux deshabilitó temporalmente la posibilidad de adoptar paquetes del Arch User Repository (AUR). La decisión llegó tras el descubrimiento de una campaña maliciosa que se aprovechaba precisamente del mecanismo de adopción para distribuir malware a gran escala.

El incidente comenzó dos días antes, el 29 de julio, con el reporte del paquete openconnect-sso. Ese paquete había sido adoptado por un usuario malicioso que modificó su contenido para difundir código infectado. En pocas horas los reportes se multiplicaron. Según fuentes aún no confirmadas, el fenómeno afectó a más de 200 paquetes, entre ellos nombres populares como boringssl-git e icloudpd.

Un malware de dos etapas con persistencia y capacidad RAT

El código distribuido opera en dos fases. La primera etapa es un loader evasivo, dotado de técnicas anti‑debugger, anti‑sandbox y anti‑VM. Su objetivo es instalarse de forma silenciosa, y lo logra creando servicios systemd y trabajos cron para garantizar la persistencia en los sistemas comprometidos.

La segunda etapa es un troyano desarrollado en Rust. Se trata de un infostealer con funcionalidades de acceso remoto (RAT) y capacidad de propagación por SSH. Una vez ejecutado, recopila credenciales de navegadores, monederos de criptomonedas, datos de gestores de contraseñas, secretos de servicios en la nube y de desarrollo, claves API para plataformas de inteligencia artificial, claves SSH privadas y tokens de aplicaciones de mensajería.

La comunicación con el servidor de mando y control se realiza de manera atípica. El malware integra un cliente Tor que se camufla como proceso del sistema con el nombre dbus‑daemon y contacta una dirección .onion. Una elección que complica el rastreo y la interceptación del tráfico malicioso.

El papel del mecanismo de adopción de AUR

El ataque no explota una vulnerabilidad del software afectado, sino un punto débil procedimental del AUR. El Arch User Repository es un repositorio comunitario en el que cualquiera puede proponer paquetes. Cuando un mantenedor abandona un paquete, otro usuario registrado puede «adoptarlo», asumiendo su mantenimiento.

Los atacantes aplicaron esta lógica a paquetes huérfanos o no supervisados. Una vez obtenido el control, inyectaron el malware y lanzaron las actualizaciones a los usuarios desprevenidos. No hubo modificaciones en los fuentes originales ni compromiso de cuentas privilegiadas: el sistema se utilizó exactamente como estaba previsto, pero con intenciones hostiles.

La respuesta de Arch Linux y las medidas para los usuarios

La contramedida fue inmediata. El 31 de julio, mediante un mensaje en la lista de correo oficial, el proyecto anunció la suspensión de la adopción de paquetes AUR. En la práctica, hasta nuevo aviso ningún usuario puede solicitar hacerse cargo de un paquete huérfano. La intervención bloquea de raíz nuevas tomas de control, pero aún no existe una solución definitiva. Quienes instalaron actualizaciones sospechosas entre el 29 y el 31 de julio podrían tener el sistema comprometido.

Se recomienda a los usuarios:

• Verificar los paquetes antes de la instalación, comprobando la identidad del mantenedor y el historial de commits.
• Inspeccionar los archivos presentes en el PKGBUILD y en los scripts de instalación en busca de descargas sospechosas o comandos anómalos.
• Reportar cualquier actividad anormal en los canales oficiales de la distribución.

La confianza en el ecosistema AUR ha recibido un golpe. La transparencia del repositorio comunitario es también su punto débil: sin controles centralizados, la seguridad depende de la vigilancia de la comunidad. Arch Linux aún no ha comunicado si introducirá mecanismos de verificación adicionales para prevenir nuevos abusos, ni cómo.