Arch Linux suspend l'adoption des paquets AUR après une vague de malwares — l'infostealer Rust se propage par clés SSH

Jeudi 31 juillet 2026. Robin Candau, contributeur du projet Arch Linux, annonce sur la liste de diffusion officielle la suspension temporaire de l’adoption des paquets AUR. La raison : une vague de prises de contrôle malveillantes visant des paquets orphelins, avec plus de 200 paquets compromis en quelques jours. Le malware distribué est un infostealer en Rust qui se propage automatiquement via les clés SSH des victimes.

Cette campagne est la deuxième en deux mois. En juin 2026, une attaque distincte avait infecté plus de 400 paquets AUR avec un rootkit Linux et un voleur d’informations. La récidive montre que le modèle de confiance de l’AUR — où n’importe quel mainteneur peut adopter un paquet orphelin — est devenu un vecteur d’attaque privilégié.

Une infection en deux étages

L’Independent Federated Intelligence Network (IFIN) a mené l’analyse technique de la campagne. Le chercheur qui a documenté l’attaque sur Reddit estime que plus de 200 paquets ont été compromis, soit par compromission de comptes mainteneurs, soit par adoption de paquets orphelins.

La chaîne d’infection fonctionne en deux étages :

• Étage 1 — Loader furtif. Le premier exécutable, un binaire Linux x86_64, vérifie la présence de débogueurs, de sandboxes, de machines virtuelles et d’environnements CI/CD avant de s’activer. S’il détecte un environnement d’analyse, il s’arrête. Sinon, il installe des services systemd et des tâches cron pour la persistance, puis télécharge un client Tor déguisé en dbus-daemon afin de contacter un serveur en .onion.
• Étage 2 — Infostealer Rust + ver SSH. Le second payload, écrit en Rust, cible les identifiants de navigateurs, les wallets de cryptomonnaie, les gestionnaires de mots de passe, les secrets cloud et développeur, les clés API de services IA, les clés SSH et les tokens de plateformes de messagerie. Il offre également à l’attaquant une exécution de commandes à distance sur un canal Tor chiffré. Sa signature la plus agressive : il utilise les clés SSH volées pour se copier et s’exécuter automatiquement sur d’autres machines accessibles.

La campagne a débuté le 29 juillet avec le paquet openconnect-sso. Selon IFIN, elle partage de nombreuses similarités avec la campagne de juin, notamment l’utilisation du réseau Tor pour le staging des payloads.

Les paquets touchés

La liste complète des 200 paquets compromis n’a pas été publiée, mais plusieurs noms ont été confirmés par des recoupements communautaires :

• boringssl-git — bibliothèque cryptographique
• icloudpd — client iCloud non officiel
• windscribe-cli-v2-bin — client VPN
• stirling-pdf-desktop-bin — outil de manipulation PDF
• openconnect-sso — client VPN d’entreprise
• arduino-language-server-noclang-bin — outil de développement embarqué
• pgadmin4-server — interface d’administration PostgreSQL

Le profil est clair : l’attaquant cible des outils utilisés par des développeurs, des administrateurs système et des utilisateurs avancés — précisément le public qui gère des serveurs, des bases de données et des accès SSH.

Le problème structurel de l’AUR

L’AUR (Arch User Repository) est un dépôt communautaire où n’importe quel utilisateur peut soumettre un PKGBUILD. Quand un paquet est orphelin (son mainteneur l’abandonne), n’importe quel autre utilisateur peut en demander l’adoption. Historiquement, ce mécanisme a permis de maintenir des milliers de paquets actifs. Aujourd’hui, il est devenu un vecteur d’attaque industrialisé.

Le modèle repose sur une hypothèse de bonne foi qui ne tient plus à l’échelle. L’AUR compte plus de 80 000 paquets, et la vérification manuelle de chaque adoption est impossible. Le projet Arch Linux n’a pas encore annoncé de solution permanente, mais la suspension de l’adoption est un aveu que le modèle actuel n’est plus tenable.

Comment vérifier si vous êtes infecté

Si vous utilisez Arch Linux et que vous avez installé ou mis à jour des paquets AUR depuis le 29 juillet 2026, voici les actions recommandées par les chercheurs :

# Vérifiez les services systemd suspects
systemctl list-units --type=service --state=running | grep -vE '(known-service-1|known-service-2)'

# Recherchez des processus Tor déguisés
ps aux | grep -i dbus-daemon | grep -v '/usr/bin/dbus-daemon'

# Vérifiez les tâches cron inhabituelles
crontab -l 2>/dev/null
ls -la /etc/cron.* 2>/dev/null

# Auditez vos clés SSH autorisées
cat ~/.ssh/authorized_keys

Si vous trouvez un processus dbus-daemon qui n’est pas dans /usr/bin/, ou des tâches cron que vous ne reconnaissez pas, isolez immédiatement la machine du réseau.

Verdict

La suspension de l’adoption AUR est une mesure d’urgence légitime, mais elle ne résout pas le problème de fond. L’AUR a besoin d’un modèle de signature et de vérification qui ne repose pas uniquement sur la confiance communautaire — par exemple une signature GPG obligatoire pour les mainteneurs, ou un système de réputation pondéré par l’ancienneté et l’historique des paquets.

Pour les auto-hébergeurs et les utilisateurs d’Arch Linux en production :

1. Gérez vos paquets AUR avec un helper qui supporte la vérification de signature, comme paru ou yay avec l’option --pgpfetch.
2. N’adoptez pas de paquets AUR sans vérifier l’historique du mainteneur — et si vous maintenez des paquets, activez l’authentification à deux facteurs sur votre compte AUR.
3. Surveillez activement les annonces de sécurité de la liste de diffusion arch-general et du canal IRC/Matrix officiel.

Cette campagne est un rappel brutal que l’open source communautaire n’est pas immunisé contre l’industrialisation de la menace. La confiance par défaut était suffisante quand la communauté était petite. Elle ne l’est plus.

Références

• Arch Linux Mailing List, Robin Candau, « AUR package adoption temporarily disabled », 31 juillet 2026
• Independent Federated Intelligence Network (IFIN), analyse technique de la campagne AUR, juillet 2026
• BleepingComputer, « Arch Linux disables AUR package adoption to stop malware flood », 31 juillet 2026
• Reddit r/archlinux, suivi de la campagne par la communauté, juillet-août 2026