Il punto non è più solo che i pacchetti AUR siano stati avvelenati. Il salto vero è che una normale build locale è diventata il momento in cui il codice dell’attaccante si esegue sulla macchina dell’utente, dentro un flusso che di solito viene considerato affidabile.
La campagna Atomic Arch ha superato i 1.500 pacchetti malevoli pubblicati entro il 11 giugno. Gli attaccanti hanno prima modificato PKGBUILDs abbandonati per far partire un payload NPM durante l’installazione, poi hanno spostato alcuni percorsi su Bun e hanno continuato a spingere nuovi pacchetti; Arch ha sospeso le nuove registrazioni all’AUR per fare pulizia.
Per chi costruisce software dall’AUR, il rischio non finisce con la rimozione del pacchetto. Se la build è già passata, credenziali, sessioni e segreti locali possono essere già usciti dalla macchina, e la compromissione può restare fuori dal package manager.