La distribución GNU/Linux Arch Linux ha desactivado temporalmente la funcionalidad de adopción de paquetes en el Arch User Repository (AUR) como respuesta a una nueva oleada de paquetes maliciosos que han comprometido la seguridad de los usuarios. La medida fue anunciada el 1 de agosto de 2026 por el equipo DevOps de Arch Linux, encabezado por Robin Candau —conocido como "Antiz"—, a través de la lista de correo oficial aur-general.
El detonante fue, según el comunicado, "el actual flujo de adopciones maliciosas de paquetes y commits de seguimiento realizados a través del AUR". El aviso inicial solamente suspendió la adopción de paquetes huérfanos, pero poco después se amplió la restricción: "Ahora también hemos deshabilitado los pushes por completo mientras gestionamos la situación", aclaró Candau en un mensaje posterior el mismo día. Los responsables pidieron a los usuarios que reportaran cualquier evento sospechoso y que permanecieran atentos.
El AUR es un repositorio comunitario donde los usuarios comparten recetas de construcción (los PKGBUILDs) para paquetes que no forman parte de los repositorios oficiales. A diferencia de estos últimos, el AUR no cuenta con un proceso de revisión centralizado: cualquiera puede subir paquetes y los usuarios los compilan e instalan bajo su propia responsabilidad. Precisamente ese modelo abierto es el que los atacantes están explotando.
Según el análisis publicado por Michael Taggart en el foro de iFin Network y recogido por LWN.net, el código malicioso insertado en los paquetes comprometidos corresponde a un troyano de acceso remoto (RAT) que recibe comandos a través de la red Tor y trata de exfiltrar un volumen muy amplio de datos del sistema afectado. En la lista de correo aur-general se difundió un hilo con un amplio listado de paquetes afectados en esta campaña, incluyendo numerosos que habían sido adoptados recientemente por cuentas sospechosas.
Este episodio es la continuación de un ataque que ya se había detectado en junio. Aquel mes, el equipo de Arch Linux suspendió por completo el registro de nuevas cuentas tras observar que un atacante —o varios— creaban cuentas nuevas con el único fin de adoptar paquetes huérfanos del AUR y publicar actualizaciones maliciosas que instalaban malware en los sistemas de los usuarios. El registro se reabrió el 13 de julio, una vez que el equipo DevOps aplicó restricciones adicionales —"menores y aparentemente ineficaces", según LWN.net— al proceso de creación de cuentas. Apenas dos semanas después, los atacantes regresaron con una nueva campaña, lo que motivó la desactivación de la adopción de paquetes.
El incidente pone de manifiesto las tensiones estructurales que enfrenta un modelo de repositorio comunitario. Por un lado, la apertura del AUR permite una agilidad enorme y una cantidad ingente de software empaquetado por la comunidad, lo que ha hecho de Arch una de las distribuciones más populares entre usuarios avanzados. Por otro, la ausencia de una moderación sistemática sobre quién adopta un paquete huérfano deja una superficie de ataque considerable, especialmente cuando un atacante consigue reputación suficiente para que el software que sube sea compilado e instalado por miles de usuarios sin demasiadas preguntas.
El RAT identificado se comunica mediante Tor, lo que dificulta el rastreo de los operadores, y su capacidad de exfiltración de datos parece amplia, según el análisis técnico del payload alojado en GitHub Gist por el investigador identificado como "ysf". Esto sugiere que los atacantes no buscan únicamente instalar mineros de criptomonedas o realizar acciones destructivas, sino obtener información sensible del sistema, lo que eleva la gravedad del incidente.
Mientras el equipo DevOps gestiona la situación, los usuarios de Arch Linux se encuentran en una posición incómoda: quienes habían adoptado paquetes huérfanos o tenían previsto hacerlo deben esperar a que el servicio se restablezca, y todos los usuarios del AUR deberían revisar cuidadosamente las compilaciones recientes de los paquetes que tengan instalados, prestando especial atención a los marcados como "adoptados" por cuentas nuevas o de actividad reciente. Las actualizaciones automáticas desde el AUR sin supervisión previa aumentan el riesgo.
A corto plazo, cabe esperar que Arch Linux restablezca la adopción de paquetes una vez haya saneado el repositorio y reforzado las medidas antiabuso, posiblemente endureciendo los requisitos para adoptar paquetes huérfanos o exigiendo un período de antigüedad mínimo para las cuentas. A medio plazo, el episodio reabre el debate sobre si el AUR debería incorporar algún tipo de firma obligatoria, revisión por pares más estricta o alertas automatizadas para los usuarios cuando un paquete cambie de maintainer. Por ahora, el mensaje del equipo DevOps es claro: ante la duda, no instalar, y reportar cualquier actividad sospechosa a la lista de correo oficial.