- Se han detectado más de 400 paquetes infectados con código malicioso dentro del repositorio comunitario Arch User Repository.
- Los atacantes utilizaron técnicas de suplantación de identidad de los mantenedores para introducir cambios en los commits de forma sigilosa.
- Expertos y comunidades como CachyOS recomiendan encarecidamente revisar manualmente los archivos PKGBUILD antes de cualquier instalación.
- El incidente no afecta a los repositorios oficiales de la distribución, limitándose exclusivamente al ecosistema de paquetes de terceros.
Vaya movida se ha montado en el mundo de Linux estos días. Resulta que el repositorio comunitario más famoso de Arch Linux, el AUR, ha sido blanco de una campaña de malware bastante gorda que ha dejado a más de uno con el corazón en un puño. Aunque la flexibilidad de este sistema es lo que enamora a muchos usuarios en España y en toda Europa, esta vez esa misma libertad les ha jugado una mala pasada a varios cientos de personas que confían en las recetas de software de terceros.
Aunque Arch Linux es conocido por su robustez, el hecho de que más de 400 paquetes hayan sido comprometidos demuestra que nadie está a salvo cuando se trata de repositorios donde cualquiera puede meter mano. Los responsables del proyecto llevan currando a destajo desde mediados de junio para limpiar el estropicio, borrando los cambios maliciosos y bloqueando las cuentas de los graciosos que han intentado colar estos regalitos en el código de la comunidad.
El origen del problema en los repositorios comunitarios
Para entender qué ha pasado, hay que tener claro que el AUR no funciona igual que los canales oficiales de la distribución. Es un mercadillo de software donde los usuarios suben sus propias configuraciones, y claro, si no te paras a revisar el archivo PKGBUILD con lupa, te pueden colar un troyano sin que te des cuenta. En esta ocasión, los atacantes se lo han currado bastante, llegando a imitar los nombres y correos de los mantenedores originales para que los cambios en el historial parecieran legítimos a simple vista.
No es la primera vez que ocurre algo así, ya que allá por 2018 tuvimos un susto similar, pero la escala actual es lo que ha hecho saltar todas las alarmas en los foros técnicos. Al parecer, la estrategia pasaba por introducir dependencias sospechosas mediante npm o modificar paquetes que estaban marcados como huérfanos para inyectar scripts que descargaban contenido desde sitios externos, similar a cómo Notepad fue hackeado durante meses manipulando sus actualizaciones. Es un recordatorio de que, aunque nos guste mucho el software libre, la seguridad siempre debe ser nuestra prioridad número uno.
Este tipo de riesgos no son exclusivos de los usuarios de Arch, ya que plataformas como los PPA de Ubuntu o los repositorios personales de openSUSE sufren de la misma vulnerabilidad conceptual. Sin embargo, la gran popularidad que ha ganado la distribución en los últimos años la convierte en un objetivo muy goloso para los ciberdelincuentes que buscan comprometer sistemas de usuarios con perfiles técnicos o que gestionan carteras de criptomonedas y otros activos digitales.
Cómo saber si tu sistema está en peligro
Si eres de los que actualiza el sistema cada mañana mientras te tomas el café, ojo al dato: si has instalado algo del AUR recientemente, te conviene echar un vistazo. Algunos de los nombres que han salido a la palestra incluyen paquetes como exodus-wallet-bin o anythingllm-appimage, aunque la lista definitiva todavía se está depurando. Desde la comunidad de CachyOS han lanzado incluso un pequeño script para ayudar a los usuarios a detectar si tienen alguna de las versiones infectadas corriendo en sus máquinas.
Para quedarte tranquilo, puedes usar comandos clásicos de la terminal como pacman -Qm para listar el software que viene de fuera de los canales oficiales. Si ves algo que no te cuadra o paquetes que han recibido actualizaciones raras en la última semana, lo mejor es que los borres por completo y limpies la caché del gestor de paquetes. No hace falta entrar en pánico, pero sí ser un poco más precavido de lo habitual durante unos cuantos días hasta que las aguas vuelvan a su cauce.
Los desarrolladores de Arch insisten en que los repositorios Core, Extra y Multilib están limpios y son totalmente seguros, por lo que el grueso del sistema operativo no corre peligro. Aun así, este incidente deja una lección muy clara para todos los que trasteamos con Linux: la comodidad de un instalador rápido no puede sustituir nunca a la verificación manual del código que estamos a punto de ejecutar con permisos de administrador en nuestro ordenador personal.
En definitiva, nos encontramos ante un evento de seguridad significativo que pone de manifiesto las vulnerabilidades de la cadena de suministro en el software comunitario. Mientras los equipos de respuesta terminan de sanear el repositorio y expulsar a los actores maliciosos, la recomendación para todos los usuarios es mantener la guardia alta y evitar instalaciones impulsivas sin comprobar quién está detrás del mantenimiento del paquete. Al final del día, la seguridad en estos sistemas tan abiertos depende en gran medida del sentido común y de la vigilancia activa de cada uno de nosotros.