- El equipo de Arch Linux ha suspendido las adopciones de paquetes en el AUR para frenar una ola de malware.
- Se ha detectado un troyano avanzado en Rust que roba credenciales, claves de criptomonedas y se propaga por red.
- El ataque ha comprometido cientos de paquetes, incluyendo herramientas de desarrollo y drivers de hardware.
La comunidad de Arch Linux se encuentra ahora mismo en un momento bastante movido. Resulta que el Arch User Repository (AUR), ese rincón tan querido donde los usuarios comparten sus propios paquetes, se ha convertido en el blanco de una serie de ataques bastante chungos que han puesto en jaque la seguridad de muchos sistemas.
Para frenar este desmadre, el equipo de desarrollo ha tenido que tomar una decisión drástica: deshabilitar temporalmente la adopción de paquetes. Básicamente, han cerrado el grifo para que nadie pueda hacerse cargo de paquetes huérfanos mientras ponen orden en la casa y limpian el repositorio de código malicioso.
¿Qué ha pasado exactamente con el AUR?
El problema radica en que el AUR es un repositorio abierto y comunitario, lo que significa que no tiene el mismo control estricto que los repositorios oficiales. Los atacantes han visto aquí un flanco débil y han empezado a secuestrar paquetes huérfanos (proyectos que ya no tienen un mantenedor activo). Una vez que toman el control, inyectan instrucciones maliciosas y hacen commits fraudulentos para engañar a los usuarios.
Este no es un incidente aislado, sino que forma parte de una ola de ataques a la cadena de suministro. A mediados de junio ya hubo un susto con la campaña «Atomic Arch», que comprometió más de 1.500 paquetes usando dependencias de npm. Poco después, hubo otra ronda de ataques que alteró decenas de paquetes para meter spam en ruso y configuraciones corruptas. Es un goteo constante que ha dejado al equipo de DevOps, con Ron Candau a la cabeza, trabajando a contrarreloj.
El funcionamiento del malware: una amenaza sigilosa
Lo que hace que este ataque sea especialmente peligroso es que el código malicioso, escrito en lenguaje Rust, es sumamente escurridizo. No se lanza a ciegas, sino que opera en dos fases muy bien pensadas para no ser pillado por los expertos en seguridad:
- Fase de evasión: El malware actúa primero como un cargador que escanea el sistema. Si detecta que está en una máquina virtual, un entorno de pruebas (sandbox) o un sistema de integración continua (CI/CD), se queda quieto para no levantar sospechas. Si ve que el entorno es «real», se asegura de sobrevivir al reinicio instalando servicios en systemd y tareas en cron, y descarga un cliente de Tor disfrazado de «dbus-daemon».
- Fase de robo y propagación: Una vez establecida la conexión cifrada con un servidor .onion, descarga un troyano de acceso remoto (RAT). Este bicho se dedica a saquear bases de datos de navegadores, claves de carteras de criptomonedas, tokens de la nube, contraseñas y claves de API de inteligencias artificiales. Además, funciona como un gusano, usando claves SSH robadas para saltar a otros ordenadores de la red.
Paquetes comprometidos y medidas de contención
La lista de paquetes infectados es variada y parece que los atacantes han ido a saco, sin importar si el paquete era popular o muy especializado. Entre los afectados se encuentran boringssl-git, i915-sriov-dkms, warp-terminal-git, astro-box, archutil, icloudpd y weather-display. Han atacado desde drivers de hardware hasta herramientas de desarrollo muy específicas.
Para combatir esto, Arch Linux ya había endurecido el registro de cuentas nuevas el pasado 15 de junio, prohibiendo correos desechables y obligando a una verificación por código en 24 horas. Ahora, al bloquear las adopciones, cortan el vector principal de entrada del malware. Mientras tanto, se recomienda a los usuarios extremar la vigilancia y revisar el historial de cambios de cualquier paquete antes de instalarlo, o mejor aún, evitar el AUR hasta que se anuncie que todo está limpio.
Alternativas y el riesgo inherente
Este caos nos recuerda que usar el AUR requiere un grado de atención que no todo el mundo tiene. Al ser un recurso no oficial, la responsabilidad cae sobre el usuario. Quienes busquen más tranquilidad pueden optar por formatos universales como Flatpak o Snap, que aunque no están libres de riesgos, ofrecen un entorno algo más controlado que el modelo de confianza ciega del AUR.
El impacto de esto es global, especialmente porque Arch Linux es la base de sistemas como SteamOS de Valve. Por ello, entidades como el Centro Australiano de Seguridad Cibernética (ACSC) han dado la voz de alarma. El equipo de Arch está considerando implementar medidas más robustas, como la obligatoriedad de firmas digitales, para que no cualquier desconocido pueda modificar un paquete y distribuir malware a miles de personas.
La situación actual deja claro que el modelo de gobernanza comunitaria debe evolucionar para sobrevivir a ataques tan sofisticados. Mientras el equipo de seguridad purga los paquetes afectados y diseña un sistema de moderación automática más eficaz, la comunidad se mantiene alerta, auditando voluntariamente el código para recuperar la estabilidad del repositorio.
