Ueber 400 verdaechtige beziehungsweise manipulierte Pakete im beliebten Arch User Repository (AUR) sorgen aktuell fuer massive Sicherheitsbedenken. Besonders brisant: viele Nutzer vertrauen der Plattform blind – obwohl genau davor seit Jahren gewarnt wird.
Das Problem betrifft nicht direkt die offiziellen Arch-Linux-Repositories, sondern das AUR – eine Community-Plattform, auf der Nutzer eigene PKGBUILDs hochladen koennen. Genau diese Offenheit macht das System beliebt – aber auch brandgefaehrlich.
Das Arch User Repository ist eine riesige Sammlung von Community-Paketen. Nutzer koennen dort Software bereitstellen, die nicht offiziell von Arch gepflegt wird.
Der gefaehrliche Punkt
Ein PKGBUILD ist im Grunde nichts anderes als ein Shell-Skript mit Installationsanweisungen . Diese Skripte laufen teilweise mit erweiterten Rechten auf dem System. Wer ein manipuliertes Paket installiert, fuehrt unter Umstaenden direkt Schadcode auf seinem eigenen Rechner aus.
Laut aktuellen Berichten wurden hunderte AUR-Pakete identifiziert, die potenziell schaedliche oder verdaechtige Inhalte enthielten. Alle gefundenen Pakete fuehren in ihren .install- oder .hook-Skripten einen npm install atomic-lockfile aus – zusammen mit wechselnden, harmlos klingenden Abhaengigkeiten.
Versteckte Downloads externer Payloads Verdaechtige Netzwerkverbindungen Manipulierte Build-Skripte Moegliche Remote-Access-Trojaner Typosquatting-Pakete mit bekannten Namen payload://npm_dependencies
atomic-lockfile axios got dotenv chalk kleur ora execa commander yargs figures fast-glob p-limit uuid lodash minimist cosmiconfig semver debug glob ansi-colors
Arch Linux ist extrem beliebt bei Entwicklern, Pentestern, DevOps-Administratoren und Linux-Enthusiasten. Gerade in diesen Umgebungen befinden sich oft besonders sensible Artefakte:
SSH-Keys API-Tokens Zugangsdaten Cloud-Credentials Build-Server-Zugriffe CI/CD-Systeme
Ein kompromittiertes Entwickler-System kann dadurch schnell zum Einstiegspunkt fuer komplette Unternehmensnetzwerke werden.
Die Arch-Community weist seit Jahren darauf hin, dass Nutzer PKGBUILDs vor der Installation selbst pruefen sollen. Genau das passiert in der Realitaet aber oft nicht. Viele verwenden sogenannte AUR-Helper wieyayoderparu, die Pakete nahezu vollautomatisch herunterladen und installieren. Komfort schlaegt Sicherheitsbewusstsein.
Angreifer / Maintainer-Account
Upload manipuliertes PKGBUILD
→
AUR-Repository
Paket erscheint legitim
→
User installiert via yay/paru
Shell-Skript laeuft mit Rechten
→
Stufe 04
Compromise
SSH-Keys, Tokens, CI/CD exfiltriert
Open Source bedeutet nicht automatisch sicher. Gerade Community-Repositories geraten zunehmend ins Visier von Angreifern. Oft reichen Mini-Aenderungen, die im Alltag uebersehen werden:
• neue Source-URLs • geaenderte Checksummen • zusaetzliche curl- oder wget-Befehle • manipulierte Install-Skripte Quelle: tagesaktueller Thread der aur-general Mailingliste . Die Liste wird stetig erweitert – bitte regelmaessig pruefen.
Komplette Paketliste ein-/ausklappen 123pan-bin 1code 8192eu-dkms-git actual-ai adblock2privoxy aion-git albion-online-launcher-bin android-signapk android-signapk-gui annobin ansible-language-server antfs-cli-git anythingllm-appimage apk-installer-gui apm_planner-bin apothem apple-music-desktop arch-update-vai archjh archlinux-themes-slim archmage archtex-git artanis-git astro-editor-appimage autolabel autologin bcachefs-kernel-dkms-git beebeep bitcoin-core-git blinkenlib blueproximity-py3-git booklore brow6el brow6el-git canon-pixma-mg3000-complete-fixed cartridge-cli ccl-git cgminer charcoal cinny-desktop-system-tray clai clang19 clash-mi cmuclmtk codenomad-bin codeql-cli-bin colorhug-client colorz compiler-rt19 compizconfig-python coolreader cowdancer cutefish-calculator cutefish-core cutefish-dock cutefish-filemanager cutefish-icons cutefish-launcher cutefish-qt-plugins cutefish-screenlocker cutefish-screenshot cutefish-settings cutefish-statusbar cutefish-wallpapers cvs-feature-bin cynthiune.app dagu-bin datatype99 dep dh-python difi difi-bin doctoc dots-hyprland-fork-git dvdrip dyad-bin edconv-bin eisl epson-inkjet-printer-escpr2-clos-bin exodus-wallet-bin exoduswallet farmmod-hub fastjet fatx fcitx5-pinyin-sougou-dict-git ffmpeg-bitrate-stats ffmpeg-quality-metrics findpkg-git firefox-extension-adnauseam-bin-amo firmium-desktop-git fishui fishui-git flexiblas flynarwhal fmlib forgecode-bin formidable-bin frame frutool futhark-bin gdl gdlmm git-annex-standalone gnome-contacts-git gnutls3.8.9 gopher2600 gopher2600-bin gosh gpx-viewer graveman green-tunnel-bin greetd-wlgreet-git gtkimageview guile-reader gummy gummy-git hackmatrix-git harmony-wad hearthstone-linux-gui-appimage hearthstone-linux-gui-bin hepmc2 hister-git hnswlib-git horst hydownloader-git hydrus-git i3bar-river ianny-bin ibm-sw-tpm2 ihaskell-git imageglass inadyn indicator-session infnoise-openssl-git interface99 ios-webkit-debug-proxy ipfs-desktop-bin ipsw iron-heart-git jasp-desktop k3sup kdb kddockwidgets-git kexi kiss kookbook kproperty kreport latex-digsig lazylpsolverlibs-git lib32-egl-wayland libafterimage libbobcat libcutefish libffi-static libgdata libjxl-noglycin libquvi libquvi-scripts libretro-hatari-enhanced-git libxdiff libxml-ruby libyami linux-cachyos-deckify-native linux-cachyos-native linux-cachyos-rc-native linux-tool liri-cmake-shared-git lite lll llvm-cbe-git lowfi-bin ls++ lucidvideo m5rcode magpie-wm mako-center-git manuskript maszyna-git mathsat-5 matrixbrandy mcp-probe mermaid-ascii-git mermark-editor mesa-dlss-reflex-git mimic-node-git mingw-w64-geos mingw-w64-libsndfile minimax-bin-hardened misuzu-music-bin mono-addins monochrome monochrome-git moor-git mopen n1-translator naemon naemon-livestatus natapp nebuchadnezzar-git neovim-autopairs-git neovim-nvim-treesitter nerf-pi neuro-karaoke-wrapper-git new-api-privacy-filter new-api-privacy-filter-git nexus-bin nginx-mod-vts nhentai-git nocodb noctyra-dotfiles-git notepad---bin nox-bin nrpe nwchem-bin ob-xd octocode opencode-codebase-index-bin openui5 opl-synth optimizevideo-git oracle-bin pacforge paper-desktop-bin paq8o parallel-python pass-cli pelican-git penguin-subtitle-player perl-proc-parallelloop perl-set-object perl-term-extendedcolor phonon-qt5-vlc php-geoip php-memcache php-openswoole-git php-xdiff picom-ftlabs-git pidgin-kwallet pipetoys pipewire-visualizer-git premake-git prisma4postgres-bin profile-sync-daemon-zen pymacs python-awkward python-calmjs python-celery python-ci-info python-coolname python-dataproperty python-dictobject python-dj-database-url python-fastmcp-slim python-firebase-admin python-fmu_manipulation_toolbox python-g4f python-hist python-histoprint python-hsaudiotag3k python-iminuit python-iso3166 python-isr-git python-jsmin python-json2xml python-luckydonald-utils python-milvus-lite-bin python-mmcif python-monotonic python-mplhep python-mplhep_data python-netaudio-git python-netaudio-lib python-newspaper4k python-nipype python-nodejs-wheel python-openai-harmony python-pdf2docx python-piecash python-pluginmgr python-poetry-plugin-dotenv python-pushbullet.py python-pychromecast-git python-pylsp-rope python-pymilvus python-pysocks-git python-scikit-hep-testdata python-sklearn-pandas python-sqliteschema python-starlette-compress python-starsessions python-steamcontroller-git python-tabledata python-tarantool python-uhi python-uproot python-vector python-xtarfile python2-appdirs python2-fusepy python2-lazr-uri python2-notify python2-packaging python2-paver python2-pyparsing python2-simplejson python2-simpleparse python2-stomper python2-twodict-git python2-xlib qhttpengine qlementine qmdnsengine qnapi qobuz-player-bin qtum-core quickswitch-i3 r-dbplyr reactphysics3d repoporge retibbs-client-git rhythmbox-git rimworld rog-helper-git ros2-humble-nav2-msgs ruah-orch ruby-excon ruby-kramdown-rfc2629 ruby-selenium-webdriver runescape-launcher sakura-launcher-gui sandlock screenpipe-bin sdcc-bin seahorse-nautilus shhmsg shhopt slipnet slipnet-bin smenu smenu-git smolrtsp smolrtsp-libevent snry-shell-qs soapyptezuka sonosano soundpaad-bin sshuttlee sshuttlee-bin stompbox-jack-git stripe-cli stylelint-config-recommended subbrute sublist3r-git subprocess subsync svu sway-xkb-switcher tack tarantool tesseract-gui thunar-nextcloud-plugin thunderbird-conversations tinyemu tlpui-git touchhle touchosc-bin transcreen tsm tunacode-cli typing-game-cli ukui-notification-daemon vapoursynth-preview-git vbam-git verso-git vidcutter vim-easymotion vim-gitgutter vim-indent-object vim-molokai vim-solidity vim-vital vocalinux-git voquill-gpu wallpaper-generator-next wayland-static we-layerd-git whatsie-git whisper2tr whisper2tr-git windowmaker-git wine-nine wire-desktop word-snatchers-cli workbench workbuddy-bin wrystr-git wsjtx-beta xorg-xfsinfo xplot xpra-html5 xray-domain-list-community yarg yt6801-dkms yy zerx-lab-dida-bin zerx-lab-zed-nightly-bin zing-21-bin
Mit Tools wie Traur entstehen erste Sicherheitsloesungen speziell fuer AUR-Pakete. Sie analysieren PKGBUILDs automatisiert auf verdaechtige Funktionen und potenziell gefaehrliche Shell-Kommandos. Doch auch hier gilt: automatisierte Tools ersetzen keine Sicherheitsstrategie – sie ergaenzen sie.
Der Vorfall ist ein weiterer Weckruf fuer die gesamte Open-Source-Welt. Supply-Chain-Angriffe treffen laengst nicht mehr nur Windows-Umgebungen oder grosse Cloud-Anbieter. Auch Linux-Oekosysteme und Community-Repositories stehen zunehmend unter Beschuss.
Und genau dort wird es besonders gefaehrlich: viele Nutzer vertrauen Linux-Systemen automatisch mehr als anderen Plattformen. Doch Sicherheit entsteht nicht durch das Betriebssystem allein – sondern durch Prozesse, Kontrolle und gesunden Menschenverstand. Einpacman -Syukann heute mehr Schaden anrichten als so mancher Phishing-Link.
Linux-Endpoints und Supply-Chain pruefen lassen Wasacon unterstuetzt Unternehmen im Kreis Heinsberg bei Linux-Hardening, EDR/XDR-Rollout auch auf Entwickler-Workstations, Build-Pipeline-Security und der Pruefung von Open-Source-Lieferketten.
IT-Sicherheit
IT-Sicherheit
IT-Sicherheit