Ataque a pacotes do Arch User Repository entrega malware tipo rootkit

O Atomic Arch não é só mais um ataque a dependências: é uma exploração direta da governança do AUR. Atacantes não criaram pacotes falsos, adotaram 1.500+ projetos órfãos com histórico legítimo, mantiveram os nomes e commits antigos (inclusive forjando assinaturas Git), e só alteraram o PKGBUILD para injetar npm install atomic-lockfile ou bun install. O payload final é um binário Rust que carrega um eBPF rootkit via scales.bpf.c, escondendo processos com getdents64(), bloqueando depuradores com PTRACE_SEIZE e extraindo dados de ~/.mozilla/firefox/, ~/.ssh/, /proc/sys/crypto/, /run/user/*/keyring/ e até carteiras de criptomoedas como Ledger Live.

O risco real está na cadeia de confiança: o AUR não tem revisão humana pré-instalação, e o processo de adoção de pacotes órfãos exige apenas uma solicitação pública e 24h de silêncio da comunidade. Nada impede que um atacante monitore repositórios abandonados por semanas, espere o momento certo e assuma a manutenção com credenciais limpas, exatamente o que aconteceu aqui. Esse modelo de confiança implícita, não verificada, é o vetor principal.

Empresas que usam Arch Linux em ambientes de desenvolvimento ou CI/CD estão expostas sem saber: um único paru -Syu pode instalar o rootkit. O eBPF roda no kernel, então ferramentas tradicionais de EDR ou AV não detectam o payload nativo, ele simplesmente não aparece em ps, ls ou netstat. Pior: o malware coleta tokens de HashiCorp Vault, GitHub App, Slack e Microsoft Teams, permitindo acesso persistente a pipelines, repositórios e chats corporativos. Não é só sobre máquinas comprometidas. É sobre contas de serviço invadidas, com privilégios que nem o sysadmin tem.