לפני מספר ימים , זוהתה תוכנה זדונית במאגר ההפצה הפופולרי של Arch Linux, ובפרט במאגר המשתמשים של Arch ( AUR) . אין בכך דבר חדש; ראינו בעבר פושעי סייבר תוקפים שרתים המארחים הפצות לינוקס וחבילות תוכנה, ומשנים אותם באמצעות קוד זדוני או דלתות אחוריות. הם אפילו שינו את סכומי הבדיקה כדי למנוע ממשתמשים להבין שהם מתקינים משהו לא בטוח במערכות שלהם.
ובכן, הפעם זה קרה במאגרי AUR, כך שהקוד הזדוני הזה היה יכול להדביק כמה משתמשים שהשתמשו במנהל החבילות הזה בהפצה שלהם ושההפצה שלהם הכילה את הקוד הזדוני הזה . החבילות היו צריכות לעבור אימות לפני ההתקנה, כי למרות כל הקלות שבה ה-AUR קומפיל ומתקין חבילות מקוד המקור, זה לא אומר שעלינו לסמוך על קוד המקור הזה. לכן, כל המשתמשים צריכים לנקוט באמצעי זהירות לפני ההתקנה, במיוחד אם הם עובדים כמנהלי מערכת של שרת או מערכת קריטית.
למעשה, אתר האינטרנט של AUR מזהיר עצמו כי השימוש בתוכן צריך להיות על אחריותו של המשתמש בלבד. גילוי התוכנה הזדונית מדגים נקודה זו. במקרה זה, Acroread שונתה ב-7 ביולי. חבילה יתומה זו, ללא מנהל תמיכה, שונתה על ידי משתמש בשם xeactor שכלל פקודת curl כדי להוריד אוטומטית קוד סקריפט מ-Pastebin. לאחר מכן, פקודה זו הפעילה רצף נוסף של פקודות שיצרו יחידת systemd לביצוע רצף נוסף של פקודות.
ונראה ששתי חבילות AUR נוספות שונו באותו אופן למטרות זדוניות. נכון לעכשיו, מנהלי המאגר הסירו את החבילות ששונו ומחקו את החשבון של המשתמש שעשה זאת, כך שנראה ששאר החבילות יהיו בטוחות לעת עתה. יתר על כן, לשמחתם של אלו שנפגעו , הקוד הזדוני שנכלל לא עשה שום דבר רציני באמת למכונות שנפגעו; הוא רק ניסה (כן, מכיוון ששגיאה באחד הסקריפטים מנעה נזק חמור יותר) לטעון מידע מסוים ממערכת הקורבן.